Cabeceras de seguridad en 2026: 3 de cada 4 sitios web no tienen Content-Security-Policy
Cabeceras de seguridad en 2026: 3 de cada 4 sitios web no tienen Content-Security-Policy
Las cabeceras de seguridad son unas pocas líneas en la respuesta del servidor que indican al navegador con cuánto rigor debe tratar una página. Enviarlas no cuesta nada, protegen a los visitantes frente al clickjacking, el contenido mixto y la inyección de scripts, y forman parte de la puntuación de seguridad de cada auditoría de LANGR SEO. En nuestros datos son también el módulo con la puntuación más baja: una mediana de 40 sobre 100.
Las cifras proceden de la auditoría más reciente de 94.853 sitios web que respondieron a nuestro escáner entre abril y octubre de 2026.
Cuántos sitios envían cada cabecera
| Cabecera | Sitios que la envían |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ninguna cabecera llega a la mitad de los sitios. HSTS falta en el 58,1 %, lo que significa que la primera visita todavía puede rebajarse a HTTP sin cifrar. Además, el 17,7 % de los sitios ni siquiera redirige HTTP a HTTPS.
Tu plataforma decide casi todo
| Plataforma | Sitios | Sin Content-Security-Policy |
|---|---|---|
| Shopify | 4411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25.703 | 83,3 % |
| PrestaShop | 1205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Sin CMS detectado | 60.583 | 77,3 % |
Shopify envía una CSP para cada tienda, así que casi ningún sitio de Shopify carece de ella. En WordPress y en la mayoría de los sistemas de tienda autoalojados, las cabeceras dependen del hosting o de un plugin, y la mayoría de los sitios nunca las recibe. Si usas WordPress, aquí tu configuración de hosting importa más que tu tema.
Las cinco líneas que cierran la mayor parte de la brecha
Estas cabeceras son seguras para casi cualquier sitio y se pueden añadir en el servidor web, en una CDN como Cloudflare o con un plugin de seguridad:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Una Content-Security-Policy requiere más cuidado, porque una política estricta puede bloquear tus propios scripts. Empieza con Content-Security-Policy-Report-Only, mira qué bloquearía y cambia a la cabecera real cuando los informes estén limpios.
¿Afectan las cabeceras de seguridad al posicionamiento?
No directamente. Google ha confirmado HTTPS como señal de posicionamiento, pero no las cabeceras individuales. Aun así, en la práctica importan para el SEO: un sitio hackeado con enlaces de spam inyectados pierde posiciones rápidamente, y los navegadores advierten a los visitantes para que se alejen de las páginas que cargan contenido inseguro.
Haz una auditoría SEO gratuita para ver exactamente qué cabeceras envía tu sitio, con una solución lista para cada una que falte. Los términos se explican en el SEO de la A a la Z.
Método: auditoría completa más reciente por dominio, 94.853 sitios web con resultado de cabeceras, datos recogidos de abril a octubre de 2026, sobre todo de dominios recién registrados y de pequeñas empresas en 15 mercados nacionales. Se omiten las plataformas con menos de 100 sitios y no se nombra ningún dominio concreto.