Falta el header X-Frame-Options (riesgo de clickjacking)

Qué es

Tu sitio puede cargarse dentro de un iframe invisible en la página de otra persona ("clickjacking") — un truco común para que los visitantes hagan clic en un botón real de tu sitio (seguir, comprar, cambiar una configuración) creyendo que están haciendo clic en otra cosa.

Cómo solucionarlo

Agregá un header X-Frame-Options (o una regla frame-ancestors en tu CSP) que niegue el enmarcado, salvo que embebas este sitio deliberadamente en otro lado. Si no estás seguro cómo, instalá el Plugin de WordPress: su pestaña de Seguridad aplica arreglos como este automáticamente.