Security headers το 2026: 3 στους 4 ιστότοπους δεν έχουν Content-Security-Policy
Security headers το 2026: 3 στους 4 ιστότοπους δεν έχουν Content-Security-Policy
Τα security headers είναι λίγες γραμμές στην απόκριση του διακομιστή που λένε στο πρόγραμμα περιήγησης πόσο αυστηρό να είναι με μια σελίδα. Δεν κοστίζουν τίποτα, προστατεύουν τους επισκέπτες από clickjacking, μεικτό περιεχόμενο και έγχυση scripts, και αποτελούν μέρος της βαθμολογίας ασφάλειας σε κάθε έλεγχο του LANGR SEO. Στα δεδομένα μας είναι επίσης η ενότητα με τη χαμηλότερη βαθμολογία: διάμεση τιμή 40 στα 100.
Τα στοιχεία προέρχονται από τον πιο πρόσφατο έλεγχο 94.853 ιστοτόπων που απάντησαν στον σαρωτή μας από τον Απρίλιο έως τον Οκτώβριο του 2026.
Πόσοι ιστότοποι στέλνουν κάθε header
| Header | Ιστότοποι που το στέλνουν |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Κανένα header δεν φτάνει ούτε στους μισούς ιστότοπους. Το HSTS λείπει από το 58,1%, που σημαίνει ότι η πρώτη επίσκεψη μπορεί ακόμη να υποβαθμιστεί σε απλό HTTP. Επιπλέον, το 17,7% των ιστοτόπων δεν ανακατευθύνει καθόλου το HTTP σε HTTPS.
Η πλατφόρμα σας καθορίζει τα περισσότερα
| Πλατφόρμα | Ιστότοποι | Χωρίς Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25.703 | 83,3% |
| PrestaShop | 1.205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Δεν εντοπίστηκε CMS | 60.583 | 77,3% |
Το Shopify στέλνει CSP για κάθε κατάστημα, οπότε σχεδόν κανένας ιστότοπος Shopify δεν το στερείται. Στο WordPress και στα περισσότερα αυτοφιλοξενούμενα συστήματα e-shop τα headers εξαρτώνται από τον πάροχο φιλοξενίας ή από ένα plugin, και οι περισσότεροι ιστότοποι δεν τα αποκτούν ποτέ. Αν χρησιμοποιείτε WordPress, η ρύθμιση της φιλοξενίας σας μετράει εδώ περισσότερο από το theme σας.
Οι πέντε γραμμές που κλείνουν το μεγαλύτερο μέρος του κενού
Αυτά τα headers είναι ασφαλή για σχεδόν κάθε ιστότοπο και μπορούν να προστεθούν στον web server, σε ένα CDN όπως το Cloudflare ή σε ένα plugin ασφαλείας:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Ένα Content-Security-Policy θέλει περισσότερη προσοχή, γιατί μια αυστηρή πολιτική μπορεί να μπλοκάρει τα δικά σας scripts. Ξεκινήστε με Content-Security-Policy-Report-Only, δείτε τι θα μπλόκαρε και περάστε στο πραγματικό header όταν οι αναφορές είναι καθαρές.
Επηρεάζουν τα security headers την κατάταξη;
Όχι άμεσα. Η Google έχει επιβεβαιώσει το HTTPS ως σήμα κατάταξης, αλλά όχι τα μεμονωμένα headers. Στην πράξη όμως μετράνε για το SEO: ένας ιστότοπος που έχει παραβιαστεί και γεμίσει με spam συνδέσμους χάνει γρήγορα θέσεις, και τα προγράμματα περιήγησης προειδοποιούν τους επισκέπτες να μην ανοίξουν σελίδες που φορτώνουν μη ασφαλές περιεχόμενο.
Κάντε δωρεάν έλεγχο SEO για να δείτε ακριβώς ποια headers στέλνει ο ιστότοπός σας, με έτοιμη διόρθωση για καθένα που λείπει. Οι όροι εξηγούνται στο SEO από το Α έως το Ω.
Μέθοδος: πιο πρόσφατος πλήρης έλεγχος ανά domain, 94.853 ιστότοποι με αποτέλεσμα headers, με συλλογή από τον Απρίλιο έως τον Οκτώβριο του 2026, κυρίως νεοκαταχωρισμένα domains και domains μικρών επιχειρήσεων σε 15 εθνικές αγορές. Πλατφόρμες με λιγότερους από 100 ιστότοπους παραλείπονται, και κανένα μεμονωμένο domain δεν κατονομάζεται.