Sekuriteitsopskrifte in 2026: 3 uit 4 webwerwe het geen Content-Security-Policy nie
Sekuriteitsopskrifte in 2026: 3 uit 4 webwerwe het geen Content-Security-Policy nie
Sekuriteitsopskrifte (security headers) is ’n paar reëls in die bedienerantwoord wat vir die blaaier sê hoe streng dit met ’n bladsy moet wees. Dit kos niks om te stuur nie, dit beskerm besoekers teen clickjacking, gemengde inhoud en skripinspuiting, en dit is deel van die sekuriteitstelling in elke LANGR SEO-oudit. In ons data is dit ook die module met die laagste telling: ’n mediaan van 40 uit 100.
Die syfers kom uit die nuutste oudit van 94 853 webwerwe wat ons skandeerder tussen April en Oktober 2026 geantwoord het.
Hoeveel werwe stuur elke opskrif
| Opskrif | Werwe wat dit stuur |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Nie een opskrif bereik die helfte van die werwe nie. HSTS ontbreek op 58,1%, wat beteken dat die eerste besoek steeds na gewone HTTP afgegradeer kan word. Boonop herlei 17,7% van die werwe glad nie HTTP na HTTPS nie.
Jou platform bepaal die meeste daarvan
| Platform | Werwe | Geen Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25 703 | 83,3% |
| PrestaShop | 1 205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Geen CMS bespeur nie | 60 583 | 77,3% |
Shopify stuur ’n CSP vir elke winkel, so byna geen Shopify-werf mis een nie. Op WordPress en die meeste selfgehuisveste winkelstelsels hang die opskrifte af van die gasheer of van ’n inprop, en die meeste werwe kry hulle nooit nie. As jy WordPress gebruik, maak jou gasheeropstelling hier meer saak as jou tema.
Die vyf reëls wat die meeste van die gaping toemaak
Hierdie opskrifte is veilig vir byna enige werf en kan bygevoeg word in die webbediener, ’n CDN soos Cloudflare of ’n sekuriteitsinprop:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()’n Content-Security-Policy verg meer sorg, want ’n streng beleid kan jou eie skripte blokkeer. Begin met Content-Security-Policy-Report-Only, kyk wat dit sou blokkeer, en skakel oor na die regte opskrif wanneer die verslae skoon is.
Beïnvloed sekuriteitsopskrifte ranglyste?
Nie direk nie. Google het HTTPS as ’n rangskikkingsein bevestig, maar nie die individuele opskrifte nie. Tog maak hulle in die praktyk saak vir SEO: ’n gekaapte werf met ingespuite strooiposskakels verloor vinnig sy ranglys, en blaaiers waarsku besoekers weg van bladsye wat onveilige inhoud laai.
Doen ’n gratis SEO-oudit om presies te sien watter opskrifte jou werf stuur, met ’n gereede oplossing vir elke ontbrekende een. Die terme word verduidelik in die SEO A tot Z.
Metode: nuutste volledige oudit per domein, 94 853 webwerwe met ’n opskrifresultaat, ingesamel April tot Oktober 2026, meestal nuut geregistreerde domeine en domeine van klein besighede in 15 landmarkte. Platforms met minder as 100 werwe is weggelaat, en geen individuele domein word genoem nie.