Experimente

O que verifica

Lê os cabeçalhos que a página envia de facto, depois de qualquer redirecionamento.
Avalia HSTS, Content-Security-Policy, frames, nosniff, Referrer-Policy e Permissions-Policy.
Escreve cada cabeçalho em falta para Next.js, Apache, Nginx, Netlify ou Vercel quando consegue saber qual.
Conta os cookies que são ao mesmo tempo Secure e SameSite.