Header keamanan pada 2026: 3 dari 4 situs web tidak punya Content-Security-Policy
Header keamanan pada 2026: 3 dari 4 situs web tidak punya Content-Security-Policy
Header keamanan adalah beberapa baris dalam respons server yang memberi tahu browser seberapa ketat ia harus memperlakukan sebuah halaman. Mengirimnya tidak memakan biaya, header ini melindungi pengunjung dari clickjacking, konten campuran, dan injeksi skrip, dan menjadi bagian dari skor keamanan di setiap audit LANGR SEO. Dalam data kami, ini juga modul dengan skor terendah: median 40 dari 100.
Angka-angka ini berasal dari audit terbaru atas 94.853 situs web yang merespons pemindai kami antara April dan Oktober 2026.
Berapa banyak situs yang mengirim setiap header
| Header | Situs yang mengirimnya |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Tidak satu pun header mencapai separuh situs. HSTS tidak ada di 58,1% situs, artinya kunjungan pertama masih bisa diturunkan ke HTTP biasa. Selain itu, 17,7% situs sama sekali tidak mengalihkan HTTP ke HTTPS.
Platform Anda menentukan sebagian besarnya
| Platform | Situs | Tanpa Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25.703 | 83,3% |
| PrestaShop | 1.205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Tidak ada CMS yang terdeteksi | 60.583 | 77,3% |
Shopify mengirim CSP untuk setiap toko, sehingga hampir tidak ada situs Shopify yang tidak memilikinya. Di WordPress dan sebagian besar sistem toko yang di-hosting sendiri, header bergantung pada penyedia hosting atau plugin, dan sebagian besar situs tidak pernah mendapatkannya. Jika Anda memakai WordPress, pengaturan hosting Anda lebih berpengaruh di sini daripada tema Anda.
Lima baris yang menutup sebagian besar celah
Header ini aman untuk hampir semua situs dan bisa ditambahkan di server web, di CDN seperti Cloudflare, atau lewat plugin keamanan:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy membutuhkan perhatian lebih, karena kebijakan yang ketat bisa memblokir skrip Anda sendiri. Mulailah dengan Content-Security-Policy-Report-Only, lihat apa yang akan diblokirnya, lalu beralih ke header yang sebenarnya setelah laporannya bersih.
Apakah header keamanan memengaruhi peringkat?
Tidak secara langsung. Google telah mengonfirmasi HTTPS sebagai sinyal peringkat, tetapi tidak dengan header satu per satu. Meski begitu, dalam praktiknya header ini tetap penting untuk SEO: situs yang diretas dan disusupi tautan spam cepat kehilangan peringkat, dan browser memperingatkan pengunjung agar menjauhi halaman yang memuat konten tidak aman.
Jalankan audit SEO gratis untuk melihat dengan tepat header apa saja yang dikirim situs Anda, lengkap dengan perbaikan siap pakai untuk setiap header yang belum ada. Istilah-istilahnya dijelaskan di SEO dari A sampai Z.
Metode: audit lengkap terbaru per domain, 94.853 situs web dengan hasil pemeriksaan header, dikumpulkan dari April hingga Oktober 2026, sebagian besar domain yang baru didaftarkan dan domain usaha kecil di 15 pasar negara. Platform dengan kurang dari 100 situs tidak disertakan, dan tidak ada domain yang disebutkan namanya.