Capçaleres de seguretat el 2026: 3 de cada 4 webs no tenen Content-Security-Policy
Capçaleres de seguretat el 2026: 3 de cada 4 webs no tenen Content-Security-Policy
Les capçaleres de seguretat són unes quantes línies a la resposta del servidor que indiquen al navegador com ha de ser d'estricte amb una pàgina. Enviar-les no costa res, protegeixen els visitants contra el clickjacking, el contingut mixt i la injecció de scripts, i formen part de la puntuació de seguretat de totes les auditories de LANGR SEO. A les nostres dades també són el mòdul amb la puntuació més baixa: una mediana de 40 sobre 100.
Les xifres provenen de l'última auditoria de 94.853 webs que van respondre al nostre escàner entre l'abril i l'octubre del 2026.
Quants webs envien cada capçalera
| Capçalera | Webs que l'envien |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ni una sola capçalera arriba a la meitat dels webs. L'HSTS falta en el 58,1 %, cosa que vol dir que la primera visita encara es pot degradar a HTTP sense xifrar. A més, el 17,7 % dels webs no redirigeixen HTTP a HTTPS en absolut.
La plataforma ho decideix gairebé tot
| Plataforma | Webs | Sense Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25.703 | 83,3 % |
| PrestaShop | 1.205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Cap CMS detectat | 60.583 | 77,3 % |
Shopify envia una CSP per a totes les botigues, així que gairebé cap web de Shopify no en té cap. A WordPress i a la majoria de sistemes de botiga autoallotjats, les capçaleres depenen de l'allotjament o d'un connector, i la majoria de webs no les tenen mai. Si feu servir WordPress, aquí la configuració de l'allotjament importa més que el tema.
Les cinc línies que tanquen la major part de la bretxa
Aquestes capçaleres són segures per a gairebé qualsevol web i es poden afegir al servidor web, en una CDN com Cloudflare o amb un connector de seguretat:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Una Content-Security-Policy demana més cura, perquè una política estricta pot bloquejar els vostres propis scripts. Comenceu amb Content-Security-Policy-Report-Only, mireu què bloquejaria i passeu a la capçalera real quan els informes estiguin nets.
Les capçaleres de seguretat afecten el posicionament?
No directament. Google ha confirmat l'HTTPS com a factor de posicionament, però no les capçaleres individuals. Tot i així, a la pràctica importen per al SEO: un web piratejat amb enllaços de correu brossa injectats perd posicions ràpidament, i els navegadors adverteixen els visitants que s'allunyin de les pàgines que carreguen contingut no segur.
Feu una auditoria de SEO gratuïta per veure exactament quines capçaleres envia el vostre web, amb una solució a punt per a cada una que falti. Els termes s'expliquen al SEO de la A a la Z.
Mètode: última auditoria completa per domini, 94.853 webs amb resultat de capçaleres, dades recollides d'abril a octubre del 2026, sobretot de dominis registrats fa poc i de petites empreses en 15 mercats nacionals. Les plataformes amb menys de 100 webs s'han deixat fora, i no s'esmenta cap domini concret.