En-têtes de sécurité en 2026 : 3 sites web sur 4 n'ont pas de Content-Security-Policy
En-têtes de sécurité en 2026 : 3 sites web sur 4 n'ont pas de Content-Security-Policy
Les en-têtes de sécurité sont quelques lignes dans la réponse du serveur qui indiquent au navigateur à quel point il doit être strict avec une page. Les envoyer ne coûte rien, ils protègent les visiteurs contre le clickjacking, le contenu mixte et l'injection de scripts, et ils entrent dans le score de sécurité de chaque audit LANGR SEO. Dans nos données, c'est aussi le module qui obtient le score le plus bas : une médiane de 40 sur 100.
Les chiffres proviennent du dernier audit de 94 853 sites web qui ont répondu à notre scanner entre avril et octobre 2026.
Combien de sites envoient chaque en-tête
| En-tête | Sites qui l'envoient |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Aucun en-tête n'atteint la moitié des sites. HSTS manque sur 58,1 % d'entre eux, ce qui signifie que la première visite peut encore être rétrogradée en HTTP simple. Qui plus est, 17,7 % des sites ne redirigent pas du tout HTTP vers HTTPS.
Votre plateforme décide de presque tout
| Plateforme | Sites | Sans Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Aucun CMS détecté | 60 583 | 77,3 % |
Shopify envoie une CSP pour chaque boutique, si bien que presque aucun site Shopify n'en est dépourvu. Sur WordPress et sur la plupart des solutions e-commerce auto-hébergées, les en-têtes dépendent de l'hébergeur ou d'une extension, et la plupart des sites n'en bénéficient jamais. Si vous êtes sous WordPress, votre configuration d'hébergement compte ici davantage que votre thème.
Les cinq lignes qui comblent l'essentiel de l'écart
Ces en-têtes conviennent sans risque à presque tous les sites et peuvent être ajoutés dans le serveur web, dans un CDN comme Cloudflare ou dans une extension de sécurité :
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Une Content-Security-Policy demande plus de soin, car une politique stricte peut bloquer vos propres scripts. Commencez par Content-Security-Policy-Report-Only, regardez ce qu'elle bloquerait, puis passez au véritable en-tête quand les rapports sont propres.
Les en-têtes de sécurité influencent-ils le classement ?
Pas directement. Google a confirmé que HTTPS est un signal de classement, mais pas les en-têtes pris individuellement. Ils comptent pourtant pour le SEO dans la pratique : un site piraté truffé de liens de spam injectés perd vite ses positions, et les navigateurs détournent les visiteurs des pages qui chargent du contenu non sécurisé.
Lancez un audit SEO gratuit pour voir précisément quels en-têtes votre site envoie, avec un correctif prêt à l'emploi pour chaque en-tête manquant. Les termes sont expliqués dans le SEO de A à Z.
Méthode : dernier audit complet par domaine, 94 853 sites web avec un résultat d'en-têtes, données collectées d'avril à octobre 2026, principalement des domaines récemment enregistrés et des domaines de petites entreprises dans 15 marchés nationaux. Les plateformes comptant moins de 100 sites sont exclues, et aucun domaine n'est nommé individuellement.