Ten eerste, wedstrijdje software schrijven is niet hetzelfde als hacken.

Daarnaast, de enige mensen die iets vinden over deze security headers zijn de scanskids uit India op zoek naar easy RD geld bij domme bedrijven. Als je niet weet wat deze "standaard testjes" inhouden moet je gewoon niet posten.

Een goeie indruk geven ze wel, namelijk door mensen te betrekken en te laten zien dat ze niet een supershady orga zijn.

tldr; stfu :)

De URL aivdhackathon.nl is gehost bij een virtuele server van Exonet. Dus niet eens bij de Rijksoverheid. Ik neem aan dat een particuliere partij de hosting doet, en dus ook verantwoordelijk is voor de headers die worden verstuurd. De webserver ondersteunt geen SSL2 of SSL3, dus qua beveiliging zit het wel snor.

De AIVD gaat tenminste niet stroomafwaarts.

Die security headers helpen de bezoeker die de website bezoeken met een browser die de headers ondersteunt.

Zo kan nl. geruisloos en zonder tussenkomst van de gebruiker de optimale beveiliging van de browser worden ingesteld tegen bijv. MITM, Cross site scripting en clickjack aanvallen zonder dat de werking van de betreffende website hierdoor wordt verstoord.
Maar als je zelf een beetje kennis van zaken hebt, kun je zulke zaken ook zelf regelen, of in het certificaat controleren.
En soms zul je misschien instellingen moeten wijzigen als blijkt dat er onderdelen niet goed genoeg werken met de bezochte website. Mogelijk staan dan je browserbeveiligingen "te strak" ingesteld.
Of anders kies je ervoor om de website links te laten liggen, of neem je genoegen met wat je nog wél ziet en kan.

Denk in Firefox aan about:config -instellingen en ook aan aanvullende tools als bijv. Noscript-instellingen e.d.
Daar kun je zelfs nog meer mee dan die security headers kunnen.
Die kennis om zelf de browser optimaal veilig in te stellen voor een website is echter de meeste mensen niet gegeven.
Maar dankzij de security headers kan een stukje veiligheid op recente browserversies door de bezochte server worden geregeld. Je zou kunnen zeggen: AIVD kandidaten weten zelf hoe ze veilig surfen, en hebben die headers niet nodig. ;-)

Een belangrijk probleem is echter wel, dat via die headers gemakkelijk meer informatie over het systeem naar buiten lekt dan wenselijk. Dit kan kwaadaardige hackers enorm helpen! Dus probeer dat als systeembeheerder te voorkomen.
Meer daarover in: https://www.troyhunt.com/shhh-dont-let-your-response-headers/

Goeroehoedjes