Cabeceiras de seguridade en 2026: 3 de cada 4 sitios web non teñen Content-Security-Policy
Cabeceiras de seguridade en 2026: 3 de cada 4 sitios web non teñen Content-Security-Policy
As cabeceiras de seguridade son unhas poucas liñas na resposta do servidor que lle din ao navegador canto rigor debe aplicar a unha páxina. Envialas non custa nada, protexen os visitantes contra o clickjacking, o contido mixto e a inxección de scripts, e forman parte da puntuación de seguridade de cada auditoría de LANGR SEO. Nos nosos datos son ademais o módulo coa puntuación máis baixa: unha mediana de 40 sobre 100.
As cifras proceden da auditoría máis recente de 94.853 sitios web que responderon ao noso escáner entre abril e outubro de 2026.
Cantos sitios envían cada cabeceira
| Cabeceira | Sitios que a envían |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ningunha cabeceira chega á metade dos sitios. O HSTS falta no 58,1 %, o que significa que a primeira visita aínda se pode rebaixar a HTTP simple. Ademais, o 17,7 % dos sitios nin sequera redirixe HTTP a HTTPS.
A túa plataforma decide case todo
| Plataforma | Sitios | Sen Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25.703 | 83,3 % |
| PrestaShop | 1.205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Sen CMS detectado | 60.583 | 77,3 % |
Shopify envía unha CSP para cada tenda, así que case ningún sitio de Shopify carece dela. En WordPress e na maioría dos sistemas de tenda autoaloxados, as cabeceiras dependen do provedor de aloxamento ou dun plugin, e a maioría dos sitios nunca as chegan a ter. Se usas WordPress, aquí a configuración do teu aloxamento importa máis ca o teu tema.
As cinco liñas que pechan a maior parte da fenda
Estas cabeceiras son seguras para case calquera sitio e pódense engadir no servidor web, nunha CDN como Cloudflare ou nun plugin de seguridade:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Unha Content-Security-Policy require máis coidado, porque unha política estrita pode bloquear os teus propios scripts. Comeza con Content-Security-Policy-Report-Only, mira que bloquearía e cambia á cabeceira real cando os informes estean limpos.
Afectan as cabeceiras de seguridade ao posicionamento?
Non directamente. Google confirmou o HTTPS como sinal de posicionamento, pero non as cabeceiras individuais. Aínda así, importan para o SEO na práctica: un sitio pirateado con ligazóns de spam inxectadas perde posicións axiña, e os navegadores advirten os visitantes para que non entren en páxinas que cargan contido inseguro.
Fai unha auditoría SEO de balde para ver exactamente que cabeceiras envía o teu sitio, cunha corrección lista para cada unha que falte. Os termos explícanse no SEO da A á Z.
Método: auditoría completa máis recente por dominio, 94.853 sitios web con resultado de cabeceiras, datos recollidos entre abril e outubro de 2026, sobre todo de dominios recén rexistrados e de pequenas empresas en 15 mercados nacionais. As plataformas con menos de 100 sitios quedan fóra, e non se nomea ningún dominio concreto.