Хедъри за сигурност през 2026 г.: 3 от 4 уебсайта нямат Content-Security-Policy
Хедъри за сигурност през 2026 г.: 3 от 4 уебсайта нямат Content-Security-Policy
Хедърите за сигурност са няколко реда в отговора на сървъра, които казват на браузъра колко строг да бъде със страницата. Изпращането им не струва нищо, те защитават посетителите от clickjacking, смесено съдържание и инжектиране на скриптове и са част от оценката за сигурност във всеки одит на LANGR SEO. В нашите данни те са и модулът с най-ниска оценка: медиана 40 от 100.
Цифрите идват от последния одит на 94 853 уебсайта, които отговориха на нашия скенер между април и октомври 2026 г.
Колко сайта изпращат всеки хедър
| Хедър | Сайтове, които го изпращат |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Нито един хедър не достига до половината сайтове. HSTS липсва при 58,1%, което означава, че първото посещение все още може да бъде понижено до обикновен HTTP. Освен това 17,7% от сайтовете изобщо не пренасочват HTTP към HTTPS.
Платформата решава повечето неща
| Платформа | Сайтове | Без Content-Security-Policy |
|---|---|---|
| Shopify | 4411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25 703 | 83,3% |
| PrestaShop | 1205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Без открита CMS | 60 583 | 77,3% |
Shopify изпраща CSP за всеки магазин, така че почти никой Shopify сайт не е без такава. При WordPress и повечето самостоятелно хоствани системи за магазини хедърите зависят от хостинга или от плъгин и повечето сайтове никога не ги получават. Ако използвате WordPress, тук настройката на хостинга ви има по-голямо значение от темата.
Петте реда, които запълват по-голямата част от празнината
Тези хедъри са безопасни за почти всеки сайт и могат да се добавят в уеб сървъра, в CDN като Cloudflare или чрез плъгин за сигурност:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy изисква повече внимание, защото строгата политика може да блокира собствените ви скриптове. Започнете с Content-Security-Policy-Report-Only, вижте какво би блокирала и преминете към истинския хедър, когато докладите са чисти.
Влияят ли хедърите за сигурност на класирането?
Не пряко. Google е потвърдил HTTPS като сигнал за класиране, но не и отделните хедъри. На практика те все пак са важни за SEO: хакнат сайт с инжектирани спам връзки бързо губи позиции, а браузърите предупреждават посетителите да стоят далеч от страници, които зареждат несигурно съдържание.
Направете безплатен SEO одит, за да видите точно кои хедъри изпраща вашият сайт, с готово решение за всеки липсващ. Термините са обяснени в SEO от А до Я.
Методика: последен пълен одит за всеки домейн, 94 853 уебсайта с резултат за хедърите, събрани от април до октомври 2026 г., предимно новорегистрирани домейни и домейни на малки фирми в 15 национални пазара. Платформи с по-малко от 100 сайта са изключени и нито един отделен домейн не е посочен.