HSTS — 平文接続そのものを断つ
このヘッダーを一度受け取ったブラウザは、以後そのサイトへ https 以外では接続しなくなります。共有 Wi-Fi などで攻撃者が入り込む余地をふさげます。
CSP — スクリプトの出所を絞る
どこから来たコードなら実行してよいかを決める規則です。5 つの中で最も効果が大きく、同時に最も設定が面倒でもあります。まず default-src 'self' 程度から始め、壊れる箇所を見ながら広げるとよいでしょう。
残りの 3 つとサーバー表示
X-Frame-Options は他サイトからの埋め込みを、X-Content-Type-Options はブラウザによる形式の推測を防ぎます。Referrer-Policy は外部リンクをたどる際に渡るアドレスの量を減らします。そして応答にサーバーの版が書かれていると自動化された攻撃の標的になるため、併せて隠すのが賢明です。