Pruébala

Qué comprueba

Lee las cabeceras que la página envía de verdad, tras cualquier redirección.
Evalúa HSTS, Content-Security-Policy, marcos, nosniff, Referrer-Policy y Permissions-Policy.
Escribe cada cabecera que falta para Next.js, Apache, Nginx, Netlify o Vercel cuando sabe cuál es.
Cuenta las cookies que son a la vez Secure y SameSite.