Bezpečnostní hlavičky v roce 2026: 3 ze 4 webů nemají Content-Security-Policy
Bezpečnostní hlavičky v roce 2026: 3 ze 4 webů nemají Content-Security-Policy
Bezpečnostní hlavičky jsou několik řádků v odpovědi serveru, které prohlížeči říkají, jak přísně má se stránkou zacházet. Jejich odeslání nic nestojí, chrání návštěvníky před clickjackingem, smíšeným obsahem a vkládáním skriptů a jsou součástí bezpečnostního skóre v každém auditu LANGR SEO. V našich datech jsou zároveň modulem s nejnižším skóre: medián 40 ze 100.
Čísla pocházejí z nejnovějšího auditu 94 853 webů, které odpověděly našemu skeneru od dubna do října 2026.
Kolik webů posílá jednotlivé hlavičky
| Hlavička | Weby, které ji posílají |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ani jedna hlavička nedosahuje poloviny webů. HSTS chybí u 58,1 %, což znamená, že první návštěvu lze stále stáhnout na obyčejné HTTP. Navíc 17,7 % webů vůbec nepřesměrovává HTTP na HTTPS.
Většinu rozhoduje vaše platforma
| Platforma | Weby | Bez Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Žádný CMS nezjištěn | 60 583 | 77,3 % |
Shopify posílá CSP pro každý e-shop, takže téměř žádnému webu na Shopify nechybí. U WordPressu a většiny samostatně hostovaných e-shopových systémů závisí hlavičky na hostingu nebo na pluginu a většina webů je nikdy nedostane. Pokud provozujete WordPress, záleží tady víc na nastavení hostingu než na šabloně.
Pět řádků, které uzavřou většinu mezery
Tyto hlavičky jsou bezpečné téměř pro jakýkoli web a lze je přidat ve webovém serveru, v CDN, jako je Cloudflare, nebo v bezpečnostním pluginu:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy vyžaduje víc péče, protože přísná politika může zablokovat vaše vlastní skripty. Začněte s Content-Security-Policy-Report-Only, podívejte se, co by blokovala, a na skutečnou hlavičku přejděte, až budou reporty čisté.
Ovlivňují bezpečnostní hlavičky pozice ve vyhledávání?
Přímo ne. Google potvrdil HTTPS jako signál pro řazení, ale ne jednotlivé hlavičky. V praxi jsou pro SEO přesto důležité: napadený web s vloženými spamovými odkazy rychle ztrácí pozice a prohlížeče varují návštěvníky před stránkami, které načítají nezabezpečený obsah.
Spusťte bezplatný SEO audit a uvidíte přesně, které hlavičky váš web posílá, s hotovou opravou pro každou chybějící. Pojmy jsou vysvětleny v SEO od A do Z.
Metoda: nejnovější kompletní audit každé domény, 94 853 webů s výsledkem kontroly hlaviček, sběr dat od dubna do října 2026, převážně nově registrované domény a domény malých firem v 15 národních trzích. Platformy s méně než 100 weby jsou vynechány a žádná konkrétní doména není jmenována.