外部サイトでばかりチェックしてるようだけど
それ以前にローカルから curl やらで叩いてヘッダ確認しないの??
あとは運用ポリシーに従って X ヘッダ設定していくだけだろ。