Befeiligingsheaders yn 2026: 3 fan de 4 websiden hawwe gjin Content-Security-Policy
Befeiligingsheaders yn 2026: 3 fan de 4 websiden hawwe gjin Content-Security-Policy
Befeiligingsheaders binne in pear rigels yn it serverantwurd dy't de browser fertelle hoe strang er mei in side wêze moat. It ferstjoeren kostet neat, se beskermje besikers tsjin clickjacking, mingde ynhâld en skriptynjeksje, en se hearre by de befeiligingsskoare yn elke LANGR SEO-audit. Yn ús gegevens binne se ek de module mei de leechste skoare: in mediaan fan 40 fan de 100.
De sifers komme út de lêste audit fan 94.853 websiden dy't tusken april en oktober 2026 op ús scanner antwurde hawwe.
Hoefolle siden elke header ferstjoere
| Header | Siden dy't him ferstjoere |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Net ien header berikt de helte fan de siden. HSTS ûntbrekt op 58,1%, wat betsjut dat it earste besyk noch altyd nei gewoan HTTP downgraded wurde kin. Boppedat ferwiist 17,7% fan de siden HTTP hielendal net troch nei HTTPS.
Jo platfoarm bepaalt it measte
| Platfoarm | Siden | Gjin Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25.703 | 83,3% |
| PrestaShop | 1.205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Gjin CMS fûn | 60.583 | 77,3% |
Shopify ferstjoert in CSP foar elke winkel, dus hast gjin inkele Shopify-side mist him. By WordPress en de measte selshoste winkelsystemen hingje de headers ôf fan de hoster of fan in plugin, en de measte siden krije se nea. As jo WordPress brûke, makket jo hostingopset hjir mear út as jo tema.
De fiif rigels dy't it measte fan it gat slute
Dizze headers binne feilich foar hast elke side en kinne tafoege wurde yn de webserver, in CDN lykas Cloudflare of in befeiligingsplugin:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()In Content-Security-Policy freget mear soarch, om't in strang belied jo eigen skripts blokkearje kin. Begjin mei Content-Security-Policy-Report-Only, sjoch wat it blokkearje soe, en skeakelje oer op de echte header as de rapporten skjin binne.
Hawwe befeiligingsheaders ynfloed op de ranglist?
Net streekrjocht. Google hat HTTPS befêstige as rankingsinjaal, mar net de yndividuele headers. Yn de praktyk binne se dochs wichtich foar SEO: in hackte side mei ynjektearre spamkeppelings ferliest rap syn posysjes, en browsers warskôgje besikers foar siden dy't ûnfeilige ynhâld lade.
Doch in fergese SEO-audit om krekt te sjen hokker headers jo side ferstjoert, mei in klearsteande oplossing foar elke ûntbrekkende. De termen wurde útlein yn de SEO A oant Z.
Metoade: lêste folsleine audit per domein, 94.853 websiden mei in headerresultaat, sammele fan april oant oktober 2026, meast nij registrearre domeinen en domeinen fan lytse bedriuwen yn 15 lânmerken. Platfoarms mei minder as 100 siden binne weilitten, en gjin inkeld domein wurdt neamd.