Estoy tratando de deshabilitar JS en mi sitio web usando encabezados HTTP, actualmente estoy usando CSP y he hecho que las comprobaciones fallen a propósito:

 Content-Security-Policy = "upgrade-insecure-requests; sandbox; script-src 'sha512-v'; object-src 'none';"

Principalmente las cosas de sha512, pero también otras cosas también ayudan como sandbox

¿Alguna forma de deshabilitar JS limpiamente usando encabezados http o estoy atascado con esto?

Probé none como valor de script-src, pero me arrojó una advertencia de que lo está ignorando, ¿de alguna otra manera?