Falta el header Content-Security-Policy

Qué es

No hay header Content-Security-Policy. Este header es una capa extra de defensa que limita qué scripts, estilos y recursos puede cargar una página — sin él, un script malicioso inyectado tiene más facilidad para correr sin restricciones si el sitio llega a estar comprometido.

Cómo solucionarlo

Agregá un header Content-Security-Policy apropiado para los scripts, estilos y embeds de tu sitio. Si no estás seguro cómo, instalá el Plugin de WordPress: su pestaña de Seguridad aplica arreglos como este automáticamente.