El bloque

Va dentro del bloque server de tu sitio, normalmente en /etc/nginx/sites-available/tu-sitio.

/etc/nginx/sites-available/tu-sitio

server {
  # ... listen, server_name, root, etc.

  add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
  add_header X-Content-Type-Options "nosniff" always;
  add_header X-Frame-Options "SAMEORIGIN" always;
  add_header Referrer-Policy "strict-origin-when-cross-origin" always;
  add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
}

Recarga sin cortar el servicio, validando antes la sintaxis:

nginx -t && systemctl reload nginx

La forma de no pisarte

En lugar de repetir cinco líneas en cada location, ponlas en un fichero y haz include donde las necesites. Así solo hay un sitio que mantener.

/etc/nginx/snippets/cabeceras-seguridad.conf

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

y en el sitio

server {
  include snippets/cabeceras-seguridad.conf;

  location ~ \.php$ {
    include snippets/cabeceras-seguridad.conf;   # obligatorio: este location
    fastcgi_pass unix:/run/php/php8.2-fpm.sock;  # tiene su propio add_header
  }

  location /assets/ {
    include snippets/cabeceras-seguridad.conf;
    expires 30d;                                  # expires NO rompe la herencia
  }
}

Si estás detrás de un proxy o un balanceador

Con proxy_pass hacia otra aplicación, quien manda es la cabecera que devuelve la aplicación de detrás. Si esa aplicación ya envía X-Frame-Options, el navegador verá las dos y el comportamiento depende de la cabecera. Para quedarte con la del proxy, quita primero la de origen:

proxy_hide_header X-Frame-Options;
add_header X-Frame-Options "SAMEORIGIN" always;

Content-Security-Policy, aparte

La CSP depende de lo que cargue tu sitio, así que copiarla no funciona: o rompes la web o no proteges nada. Mide primero con la variante que no bloquea:

add_header Content-Security-Policy-Report-Only "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'" always;

Report-Only solo anota en la consola del navegador lo que habría bloqueado. Navega el sitio unos días, añade los orígenes legítimos que salgan y solo entonces pásala a Content-Security-Policy.

Verificar

No compruebes solo la portada. El punto de todo lo anterior es que las rutas distintas se comportan distinto:

for url in / /index.php /assets/app.css /ruta-que-no-existe; do
  echo "-- $url"
  curl -sI "https://tu-dominio.com$url" | grep -i -E "x-frame|strict-transport"
done

Si salen en / y no en /index.php, te falta el include en el location de PHP.
Si no salen en la ruta inexistente, te falta el always.
Si no salen en ninguna, revisa que editaste el server correcto: nginx -T | grep -A5 server_name te enseña la configuración que de verdad está cargada.

Cómo configurar las cabeceras de seguridad en nginx

El bloque

La forma de no pisarte

Si estás detrás de un proxy o un balanceador

Content-Security-Policy, aparte

Verificar

Otras guías