Sikkerhedsheadere i 2026: 3 ud af 4 websites har ingen Content-Security-Policy
Sikkerhedsheadere i 2026: 3 ud af 4 websites har ingen Content-Security-Policy
Sikkerhedsheadere er nogle få linjer i serverens svar, der fortæller browseren, hvor streng den skal være med en side. De koster intet at sende, de beskytter de besøgende mod clickjacking, blandet indhold og indsprøjtede scripts, og de indgår i sikkerhedsscoren i hver LANGR SEO-analyse. I vores data er det også det modul, der scorer lavest: en median på 40 ud af 100.
Tallene kommer fra den seneste analyse af 94.853 websites, der svarede vores scanner fra april til oktober 2026.
Hvor mange sites sender hver header
| Header | Sites, der sender den |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ikke én header når op på halvdelen af sitene. HSTS mangler på 58,1 %, så det første besøg stadig kan nedgraderes til almindelig HTTP. Oven i det omdirigerer 17,7 % af sitene slet ikke fra HTTP til HTTPS.
Din platform afgør det meste
| Platform | Sites | Ingen Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25.703 | 83,3 % |
| PrestaShop | 1.205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Intet CMS fundet | 60.583 | 77,3 % |
Shopify sender en CSP for hver butik, så næsten ingen Shopify-sites mangler den. På WordPress og de fleste selvhostede butikssystemer afhænger headerne af hostingen eller af et plugin, og de fleste sites får dem aldrig. Kører du WordPress, betyder din hostingopsætning mere end dit tema her.
De fem linjer, der lukker det meste af hullet
Disse headere er sikre for næsten ethvert site og kan lægges ind i webserveren, i et CDN som Cloudflare eller via et sikkerhedsplugin:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()En Content-Security-Policy kræver mere omhu, fordi en streng politik kan blokere dine egne scripts. Start med Content-Security-Policy-Report-Only, se hvad den ville blokere, og skift til den rigtige header, når rapporterne er rene.
Påvirker sikkerhedsheadere placeringen i Google?
Ikke direkte. Google har bekræftet HTTPS som rankingsignal, men ikke de enkelte headere. De betyder alligevel noget for SEO i praksis: et hacket site med indsprøjtede spamlinks mister hurtigt sine placeringer, og browsere advarer de besøgende væk fra sider, der indlæser usikkert indhold.
Kør en gratis SEO-analyse og se præcis, hvilke headere dit site sender, med en færdig rettelse til hver, der mangler. Begreberne er forklaret i SEO fra A til Å.
Metode: seneste komplette analyse pr. domæne, 94.853 websites med et header-resultat, indsamlet fra april til oktober 2026, mest nyregistrerede domæner og små virksomheder i 15 landemarkeder. Platforme med færre end 100 sites er udeladt, og intet enkelt domæne er nævnt.