هدرهای امنیتی در 2026: از هر 4 وب‌سایت 3 تا Content-Security-Policy ندارند
هدرهای امنیتی در 2026: از هر 4 وب‌سایت 3 تا Content-Security-Policy ندارند
هدرهای امنیتی چند خط در پاسخ سرور هستند که به مرورگر می‌گویند با یک صفحه چقدر سخت‌گیر باشد. ارسالشان هزینه‌ای ندارد، از بازدیدکنندگان در برابر clickjacking، محتوای مختلط و تزریق اسکریپت محافظت می‌کنند و بخشی از امتیاز امنیتی در هر بررسی LANGR SEO هستند. در داده‌های ما این ماژول کمترین امتیاز را هم دارد: میانه 40 از 100.
این اعداد از آخرین بررسی 94,853 وب‌سایتی به دست آمده که بین آوریل و اکتبر 2026 به اسکنر ما پاسخ دادند.
هر هدر را چند سایت ارسال می‌کنند
| هدر | سایت‌هایی که آن را ارسال می‌کنند |
|---|---|
| X-Content-Type-Options | 47.6% |
| X-Frame-Options | 44.8% |
| Strict-Transport-Security (HSTS) | 41.9% |
| Referrer-Policy | 25.6% |
| Content-Security-Policy | 23.5% |
| Permissions-Policy | 8.4% |
هیچ هدری به نیمی از سایت‌ها نمی‌رسد. HSTS در 58.1% سایت‌ها وجود ندارد، یعنی اولین بازدید همچنان می‌تواند به HTTP ساده تنزل داده شود. افزون بر این، 17.7% سایت‌ها اصلاً HTTP را به HTTPS ریدایرکت نمی‌کنند.
بیشتر آن را پلتفرم شما تعیین می‌کند
| پلتفرم | سایت‌ها | بدون Content-Security-Policy |
|---|---|---|
| Shopify | 4,411 | 2.6% |
| Squarespace | 348 | 85.3% |
| WordPress | 25,703 | 83.3% |
| PrestaShop | 1,205 | 90.4% |
| OpenCart | 455 | 94.3% |
| Wix | 119 | 97.5% |
| بدون CMS شناسایی‌شده | 60,583 | 77.3% |
Shopify برای هر فروشگاه یک CSP ارسال می‌کند، بنابراین تقریباً هیچ سایت Shopify بدون آن نیست. در WordPress و بیشتر سیستم‌های فروشگاهی خودمیزبان، هدرها به هاست یا یک افزونه بستگی دارند و بیشتر سایت‌ها هرگز آن‌ها را دریافت نمی‌کنند. اگر از WordPress استفاده می‌کنید، در اینجا تنظیمات هاست شما از قالبتان مهم‌تر است.
پنج خطی که بیشتر شکاف را می‌بندند
این هدرها تقریباً برای هر سایتی بی‌خطرند و می‌توان آن‌ها را در وب‌سرور، یک CDN مثل Cloudflare یا یک افزونه امنیتی اضافه کرد:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy دقت بیشتری می‌خواهد، چون یک سیاست سخت‌گیرانه می‌تواند اسکریپت‌های خود شما را مسدود کند. با Content-Security-Policy-Report-Only شروع کنید، ببینید چه چیزهایی را مسدود می‌کرد و وقتی گزارش‌ها تمیز شدند به هدر اصلی بروید.
آیا هدرهای امنیتی بر رتبه‌بندی اثر دارند؟
نه به‌طور مستقیم. Google تأیید کرده که HTTPS یک سیگنال رتبه‌بندی است، اما هدرهای جداگانه را نه. با این حال در عمل برای SEO مهم‌اند: سایت هک‌شده‌ای که لینک‌های اسپم به آن تزریق شده به‌سرعت رتبه از دست می‌دهد و مرورگرها بازدیدکنندگان را از صفحه‌هایی که محتوای ناامن بارگذاری می‌کنند برحذر می‌دارند.
یک بررسی رایگان SEO اجرا کنید تا دقیقاً ببینید سایت شما کدام هدرها را ارسال می‌کند، همراه با راه‌حل آماده برای هر هدری که وجود ندارد. اصطلاحات در SEO از الف تا ی توضیح داده شده‌اند.
روش: آخرین بررسی کامل هر دامنه، 94,853 وب‌سایت با نتیجه هدر، گردآوری از آوریل تا اکتبر 2026، بیشتر دامنه‌های تازه ثبت‌شده و دامنه‌های کسب‌وکارهای کوچک در 15 بازار کشوری. پلتفرم‌هایی با کمتر از 100 سایت کنار گذاشته شده‌اند و نام هیچ دامنه‌ای ذکر نشده است.