Загалоўкі бяспекі ў 2026 годзе: у 3 з 4 сайтаў няма Content-Security-Policy
Загалоўкі бяспекі ў 2026 годзе: у 3 з 4 сайтаў няма Content-Security-Policy
Загалоўкі бяспекі ўяўляюць сабой некалькі радкоў у адказе сервера, якія паведамляюць браўзеру, наколькі строга абыходзіцца са старонкай. Іх адпраўка нічога не каштуе, яны абараняюць наведвальнікаў ад клікджэкінгу, змешанага змесціва і ўкаранення скрыптоў і ўваходзяць у ацэнку бяспекі ў кожным аўдыце LANGR SEO. У нашых даных гэта яшчэ і модуль з самай нізкай ацэнкай: медыяна 40 са 100.
Лічбы ўзяты з апошняга аўдыту 94 853 сайтаў, якія адказалі нашаму сканеру з красавіка па кастрычнік 2026 года.
Колькі сайтаў адпраўляюць кожны загаловак
| Загаловак | Сайты, якія яго адпраўляюць |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ніводзін загаловак не сустракаецца нават у паловы сайтаў. HSTS адсутнічае ў 58,1 %, а значыць, першы візіт усё яшчэ можна панізіць да звычайнага HTTP. Акрамя таго, 17,7 % сайтаў наогул не перанакіроўваюць HTTP на HTTPS.
Амаль усё вырашае ваша платформа
| Платформа | Сайты | Няма Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| CMS не вызначана | 60 583 | 77,3 % |
Shopify адпраўляе CSP для кожнай крамы, таму ён адсутнічае амаль ні ў аднаго сайта на Shopify. На WordPress і большасці крамных сістэм, якія размяшчаюцца самастойна, загалоўкі залежаць ад хостынгу або плагіна, і ў большасці сайтаў іх так і няма. Калі ў вас WordPress, тут налады хостынгу важнейшыя за тэму.
Пяць радкоў, якія закрываюць большую частку прабелу
Гэтыя загалоўкі бяспечныя амаль для любога сайта, і іх можна дадаць у вэб-серверы, у CDN накшталт Cloudflare або з дапамогай плагіна бяспекі:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy патрабуе большай асцярожнасці, бо строгая палітыка можа заблакаваць вашы ўласныя скрыпты. Пачніце з Content-Security-Policy-Report-Only, паглядзіце, што ён заблакаваў бы, і пераходзьце на сапраўдны загаловак, калі ў справаздачах будзе чыста.
Ці ўплываюць загалоўкі бяспекі на ранжыраванне?
Наўпрост не. Google пацвердзіў HTTPS як сігнал ранжыравання, але не асобныя загалоўкі. На практыцы яны ўсё роўна важныя для SEO: узламаны сайт з укаранёнымі спам-спасылкамі хутка губляе пазіцыі, а браўзеры папярэджваюць наведвальнікаў і адводзяць іх ад старонак, якія загружаюць небяспечнае змесціва.
Запусціце бясплатны SEO-аўдыт, каб дакладна ўбачыць, якія загалоўкі адпраўляе ваш сайт, з гатовым выпраўленнем для кожнага адсутнага. Тэрміны тлумачацца ў SEO ад А да Я.
Метадалогія: апошні поўны аўдыт па кожным дамене, 94 853 сайты з вынікам па загалоўках, даныя сабраны з красавіка па кастрычнік 2026 года, пераважна гэта нядаўна зарэгістраваныя дамены і дамены малога бізнесу на 15 нацыянальных рынках. Платформы, у якіх менш за 100 сайтаў, не ўлічваліся, і ніводны асобны дамен не называецца.