Pelo [que entendi][1], este cabeçalho de resposta controla o acesso ao conteúdos da aplicação, e em conjunto com outros cabeçalhos, como o `Referrer Policy` abordado [nesta pergunta][2], aumenta exponencialmente a segurança do site de diversos tipos de ataques (XSS especialmente).

No [Security Headers][3] por exemplo, ter apenas o https funcionando não te garante mais do que uma nota "D", porém com estas diretivas declaradas a nota aumenta muito.

Um exemplo de uso (citado no primeiro link acima) é:

    Feature-Policy: vibrate 'self'; usermedia *; sync-xhr 'self' https://example.com

No [Google Developers informa][4] que com `Featured Police` é possível realizar várias ações:

 - Alterar o comportamento padrão de autoplay em vídeos para dispositivos
   móveis e de terceiros;
 - Restringir um site de usar APIs confidenciais como câmera ou microfne. 
 - Permitir que `iframes` usem a fullscreenAPI.
 - Bloqueie o uso de APIs desatualizadas, como XHR e síncrono
   `document.write()`; 
 - Assegurar que as imagens estejam dimensionadas
   corretamente (por exemplo, evite a trituração de layout) e não sejam
   muito grandes para a `viewport` (por exemplo, desperdício de largura de
   banda do usuário).

(* traduzido com a ajuda do Google tradutor)

Então fiquei na dúvida de como declarar a `Feature Policy Header` no `.htaccess`, uma vez que **utilizo recursos de sites externos**, como a CDN do Cloudflare, o Google Analytics (tagmanager), o Google Fonts, a font-awesome, mas não utilizo acesso à câmera ou microfone, vídeos...

Por enquanto, com as modificações que já garantiram um 'A' no Security Headers :), a parte referente do .htaccess está assim:

    <IfModule mod_headers.c>
    	Header always set X-Xss-Protection "1; mode=block"
    	Header always append X-Frame-Options SAMEORIGIN
    	Header set X-Content-Type-Options nosniff
    	Header always set Referrer-Policy "strict-origin-when-cross-origin"
    </IfModule>

Considerando que quero que apenas o próprio servidor de origem, a CDN, o Google, a Font-awesome etc possam carregar dados na página, como deve ser a declaração no `.htaccess`?

Eu preciso declarar todos os tipos de conteúdo (p.ex.: .css, .pdf, .doc, .js...), ou apenas uma declaração já basta para cobrir todos os tipos de arquivos que o site utiliza, desde que sejam requisitados apenas pelas fontes autorizadas?

  [1]: https://scotthelme.co.uk/a-new-security-header-feature-policy/
  [2]: https://pt.stackoverflow.com/questions/194052/como-funcionar-o-header-referrer-policy
  [3]: https://securityheaders.com
  [4]: https://developers.google.com/web/updates/2018/06/feature-policy