Некоторые заголовки могут работать как HTML теги (и наоборот)

Например, тег
<meta http-equiv="Content-Security-Policy" content="default-src https://hello; child-src 'none'; object-src 'none'">
включит соотвествующий CSP, как если бы он был в заголовках.

Заголовок
Refresh: 3;URL=https://hello/
покажет содержимое страницы на три секунды, а потом перенаправит пользователя, как если бы на странице был тег
<meta http-equiv="refresh" content="3;https://hello/">


Заголовок
Link: <https://hello/>;rel=stylesheet
попытается подгрузить и применить на страницу CSS, как если на странице был тег

<link rel="stylesheet" href="https://hello/">

правда, только для Firefox🦊