Ayuda en temas técnicos de seguridad en el Wordpress

Hola Borja.

Vamos a ir por partes.

No X-Content-Type-Options, Falta de cabecera nosniff que protege contra sniffing de MIME types

La cabecera X-Content-Type-Options: nosniff evita que los navegadores interpreten incorrectamente el tipo de contenido (MIME type sniffing), para solucionarlo puedes añadir lo siguiente en el archivo htaccess:

<IfModule mod_headers.c>
Header set X-Content-Type-Options "nosniff"
</IfModule>

CSP demasiado permisivo

La Content Security Policy (CSP) define desde qué orígenes se pueden cargar recursos (scripts, imágenes, etc.), paar solucionarlo puedes añadir lo siguinete en el archivo .htaccess:

<IfModule mod_headers.c>
Header set Content-Security-Policy "default-src 'self'; script-src 'self'  https://trusted.cdn.com;  style-src 'self'  https://trusted.cdn.com;  img-src 'self' data:  https://trusted.cdn.com;  font-src 'self'  https://trusted.cdn.com;  connect-src 'self'  https://api.tu-sitio.com ;"
</IfModule>

Tienes que ajustar los dominios ( https://trusted.cdn.com) según los servicios que uses (Google Analytics, Cloudflare, etc.

Falta de cabecera X-Frame-Options

La cabecera X-Frame-Options previene ataques de clickjacking al evitar que tu sitio sea cargado en un iframe desde un dominio externo, para solucionarlo, lo mismo puedes añadir lo siguiente:

<IfModule mod_headers.c>
Header set X-Frame-Options "DENY"
</IfModule>

Para estas tres opciones, si no quieres añadir código puedes utilizar el siguiente plugin:

https://wordpress.org/plugins/headers-security-advanced-hsts-wp/

Prueba esto primero y luego vemos lo que falta.

Un saludo