Biztonsági fejlécek 2026-ban: 4 weboldalból 3-nak nincs Content-Security-Policy fejléce
Biztonsági fejlécek 2026-ban: 4 weboldalból 3-nak nincs Content-Security-Policy fejléce
A biztonsági fejlécek néhány sort jelentenek a szerver válaszában, amelyek megmondják a böngészőnek, mennyire legyen szigorú egy oldallal. Küldésük semmibe sem kerül, védik a látogatókat a clickjacking, a vegyes tartalom és a szkriptbefecskendezés ellen, és minden LANGR SEO-auditban a biztonsági pontszám részét képezik. Adataink szerint egyben ez a legalacsonyabb pontszámú modul: a medián 100-ból 40.
A számok annak a 94 853 weboldalnak a legutóbbi auditjából származnak, amelyek 2026 áprilisa és októbere között válaszoltak a szkennerünknek.
Hány oldal küldi az egyes fejléceket
| Fejléc | Az azt küldő oldalak |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Egyetlen fejléc sem éri el az oldalak felét. A HSTS 58,1%-nál hiányzik, ami azt jelenti, hogy az első látogatás még visszaminősíthető sima HTTP-re. Ráadásul az oldalak 17,7%-a egyáltalán nem irányítja át a HTTP-t HTTPS-re.
A platformja dönti el a legtöbbet
| Platform | Oldalak | Nincs Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25 703 | 83,3% |
| PrestaShop | 1 205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Nem észlelt CMS | 60 583 | 77,3% |
A Shopify minden webshophoz küld CSP-t, így szinte egyetlen Shopify-oldalról sem hiányzik. WordPressen és a legtöbb saját tárhelyen futó webshoprendszeren a fejlécek a tárhelyszolgáltatótól vagy egy bővítménytől függenek, és a legtöbb oldal soha nem kapja meg őket. Ha WordPresst használ, itt a tárhelybeállítás többet számít, mint a téma.
Az öt sor, amely a hiány nagy részét bezárja
Ezek a fejlécek szinte bármely oldalon biztonságosan használhatók, és hozzáadhatók a webszerverben, egy CDN-ben, például a Cloudflare-ben, vagy egy biztonsági bővítményben:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()A Content-Security-Policy több odafigyelést igényel, mert egy szigorú szabályzat a saját szkriptjeit is blokkolhatja. Kezdje a Content-Security-Policy-Report-Only fejléccel, nézze meg, mit blokkolna, és váltson a valódi fejlécre, amikor a jelentések tiszták.
Befolyásolják a biztonsági fejlécek a rangsorolást?
Közvetlenül nem. A Google megerősítette, hogy a HTTPS rangsorolási jel, az egyes fejlécekről azonban ezt nem mondta. A gyakorlatban mégis számítanak a SEO-ban: egy feltört, befecskendezett spamlinkekkel teli oldal gyorsan veszít a helyezéseiből, a böngészők pedig figyelmeztetik a látogatókat a nem biztonságos tartalmat betöltő oldalakra.
Futtasson ingyenes SEO-auditot, hogy pontosan lássa, mely fejléceket küldi az oldala, és minden hiányzóhoz kész javítást kapjon. A fogalmakat a SEO A-tól Z-ig szótár magyarázza el.
Módszer: domainenként a legutóbbi teljes audit, 94 853 fejléceredménnyel rendelkező weboldal, gyűjtés 2026 áprilisától októberéig, többnyire újonnan regisztrált és kisvállalkozási domainek 15 ország piacán. A 100-nál kevesebb oldallal rendelkező platformokat kihagytuk, és egyetlen domaint sem nevezünk meg.