Tietoturvaotsakkeet vuonna 2026: kolmelta neljästä verkkosivustosta puuttuu Content-Security-Policy
Tietoturvaotsakkeet vuonna 2026: kolmelta neljästä verkkosivustosta puuttuu Content-Security-Policy
Tietoturvaotsakkeet ovat muutama rivi palvelimen vastauksessa, ja ne kertovat selaimelle, kuinka tiukasti sivua tulee käsitellä. Niiden lähettäminen ei maksa mitään, ne suojaavat kävijöitä clickjackingilta, sekasisällöltä ja skriptien syöttämiseltä, ja ne ovat osa tietoturvapisteitä jokaisessa LANGR SEO -auditoinnissa. Aineistossamme ne ovat myös heikoimmat pisteet saava moduuli: mediaani on 40 pistettä sadasta.
Luvut perustuvat viimeisimpään auditointiin 94 853 verkkosivustosta, jotka vastasivat skanneriimme huhtikuun ja lokakuun 2026 välillä.
Kuinka moni sivusto lähettää kunkin otsakkeen
| Otsake | Sen lähettävät sivustot |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Yksikään otsake ei yllä puoleen sivustoista. HSTS puuttuu 58,1 %:lta, mikä tarkoittaa, että ensimmäinen käynti voidaan yhä pudottaa tavalliseen HTTP:hen. Lisäksi 17,7 % sivustoista ei ohjaa HTTP:tä HTTPS:ään lainkaan.
Alusta ratkaisee suurimman osan
| Alusta | Sivustoja | Ei Content-Security-Policyä |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Ei tunnistettua CMS:ää | 60 583 | 77,3 % |
Shopify lähettää CSP:n jokaiselle kaupalle, joten se puuttuu tuskin yhdeltäkään Shopify-sivustolta. WordPressissä ja useimmissa itse ylläpidetyissä verkkokauppajärjestelmissä otsakkeet riippuvat palveluntarjoajasta tai lisäosasta, eikä useimmilla sivustoilla niitä koskaan ole. Jos käytät WordPressiä, hosting-ympäristösi merkitsee tässä enemmän kuin teemasi.
Viisi riviä, jotka paikkaavat suurimman osan puutteista
Nämä otsakkeet ovat turvallisia lähes mille tahansa sivustolle, ja ne voi lisätä verkkopalvelimeen, Cloudflaren kaltaiseen CDN:ään tai tietoturvalisäosaan:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy vaatii enemmän huolellisuutta, koska tiukka käytäntö voi estää omat skriptisi. Aloita otsakkeella Content-Security-Policy-Report-Only, katso mitä se estäisi, ja vaihda varsinaiseen otsakkeeseen, kun raportit ovat puhtaat.
Vaikuttavatko tietoturvaotsakkeet sijoituksiin?
Eivät suoraan. Google on vahvistanut HTTPS:n sijoitussignaaliksi, mutta ei yksittäisiä otsakkeita. Käytännössä niillä on silti merkitystä SEO:lle: hakkeroitu sivusto, johon on upotettu roskapostilinkkejä, menettää sijoituksiaan nopeasti, ja selaimet varoittavat kävijöitä sivuista, jotka lataavat suojaamatonta sisältöä.
Tee ilmainen SEO-auditointi ja näe tarkalleen, mitkä otsakkeet sivustosi lähettää, sekä valmis korjaus jokaiseen puuttuvaan. Termit selitetään SEO-sanastossa A:sta Ö:hön.
Menetelmä: viimeisin kokonainen auditointi verkkotunnusta kohden, 94 853 verkkosivustoa, joilla on otsaketulos, kerätty huhtikuusta lokakuuhun 2026, enimmäkseen äskettäin rekisteröityjä ja pienyritysten verkkotunnuksia 15 maan markkinoilla. Alustat, joilla on alle 100 sivustoa, on jätetty pois, eikä yksittäisiä verkkotunnuksia nimetä.