Нужно ли что-либо дополнительно при использовании HTTPS

HTTPS уже обеспечивает шифрование данных, но для полной безопасности стоит добавить:

1. HSTS - HTTP Strict Transport Security, чтобы браузер всегда использовал HTTPS:

Strict-Transport-Security: max-age=31536000; includeSubDomains; preload

2. Защита от сниффинга контента:

X-Content-Type-Options: nosniff

3. Защита от кликджекинга:

X-Frame-Options: DENY

4. CSP (Content Security Policy) для защиты от XSS:

Content-Security-Policy: default-src 'self'

5. Сертификаты от доверенных центров (Let's Encrypt, DigiCert и т.д.) и их своевременное обновление.

6. Проверка безопасности через инструменты типа SSL Labs.