Khi một lỗ hổng chèn mã chưa được xác thực gây ra sự cố khẩn cấp lúc 2 giờ sáng, việc thiếu các HTTP header đã khiến trình duyệt của khách hàng hoàn toàn mất phòng thủ. Dưới đây là cách cấu hình Content Security Policy (CSP), X-Frame-Options và HSTS trực tiếp trên Nginx để ngăn chặn triệt để XSS và clickjacking.