Security header nel 2026: 3 siti web su 4 non hanno una Content-Security-Policy
Security header nel 2026: 3 siti web su 4 non hanno una Content-Security-Policy
I security header sono poche righe nella risposta del server che dicono al browser quanto essere rigoroso con una pagina. Inviarli non costa nulla, proteggono i visitatori da clickjacking, contenuti misti e iniezione di script, e fanno parte del punteggio di sicurezza in ogni audit di LANGR SEO. Nei nostri dati sono anche il modulo con il punteggio più basso: una mediana di 40 su 100.
I numeri provengono dall'audit più recente di 94.853 siti web che hanno risposto al nostro scanner tra aprile e ottobre 2026.
Quanti siti inviano ciascun header
| Header | Siti che lo inviano |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Nessun header arriva alla metà dei siti. HSTS manca sul 58,1%, il che significa che la prima visita può ancora essere declassata a semplice HTTP. In più, il 17,7% dei siti non reindirizza affatto HTTP a HTTPS.
È la piattaforma a decidere quasi tutto
| Piattaforma | Siti | Nessuna Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25.703 | 83,3% |
| PrestaShop | 1.205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Nessun CMS rilevato | 60.583 | 77,3% |
Shopify invia una CSP per ogni negozio, quindi quasi nessun sito Shopify ne è privo. Su WordPress e sulla maggior parte dei sistemi e-commerce self-hosted gli header dipendono dall'hosting o da un plugin, e la maggior parte dei siti non li riceve mai. Se usi WordPress, qui conta più la configurazione dell'hosting che il tema.
Le cinque righe che colmano gran parte del divario
Questi header sono sicuri per quasi ogni sito e si possono aggiungere nel web server, in una CDN come Cloudflare o con un plugin di sicurezza:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Una Content-Security-Policy richiede più attenzione, perché una policy rigida può bloccare i tuoi stessi script. Inizia con Content-Security-Policy-Report-Only, guarda cosa bloccherebbe e passa all'header vero e proprio quando i report sono puliti.
I security header influiscono sul posizionamento?
Non direttamente. Google ha confermato HTTPS come segnale di ranking, ma non i singoli header. In pratica contano comunque per la SEO: un sito violato con link di spam iniettati perde posizioni in fretta, e i browser mettono in guardia i visitatori dalle pagine che caricano contenuti non sicuri.
Esegui un audit SEO gratuito per vedere esattamente quali header invia il tuo sito, con una correzione pronta per ognuno di quelli mancanti. I termini sono spiegati nella guida SEO dalla A alla Z.
Metodo: audit completo più recente per dominio, 94.853 siti web con un risultato sugli header, dati raccolti da aprile a ottobre 2026, per lo più domini registrati di recente e di piccole imprese in 15 mercati nazionali. Le piattaforme con meno di 100 siti sono escluse e nessun singolo dominio viene nominato.