Da habe ich mir fast die Zähne an den HTTP Security Headers ausgebissen. Was ich auch anstellte, die Angaben in der .htaccess wurden einfach nicht gezogen. Auch Plugins schafften nur graduelle Hilfe, die dann sogleich wieder verfolgen war. Erst als ich in der wp-config die Angaben in PHP übersetzte, war auf einmal Security Headers zufrieden. Nur den CSP bekomme ich noch nicht hin, ohne mein Layout des Blogs mal mehr und mal weniger zu zerschießen. Hier ist noch Arbeit angesagt, aber für’s erste reicht es erst einmal.