2026年のセキュリティヘッダー：ウェブサイトの4つに3つはContent-Security-Policyなし

セキュリティヘッダーは、サーバーの応答に含まれる数行の指示で、ページをどの程度厳しく扱うべきかをブラウザに伝えます。送信にコストはかからず、クリックジャッキング、混在コンテンツ、スクリプトインジェクションから訪問者を守り、LANGR SEOのすべての監査でセキュリティスコアの一部になっています。私たちのデータでは、スコアが最も低いモジュールでもあり、中央値は100点中40点です。

数値は、2026年4月から10月にかけて当社のスキャナーに応答した94,853件のウェブサイトの最新の監査に基づいています。

各ヘッダーを送信しているサイトの割合

ヘッダー	送信しているサイト
X-Content-Type-Options	47.6%
X-Frame-Options	44.8%
Strict-Transport-Security (HSTS)	41.9%
Referrer-Policy	25.6%
Content-Security-Policy	23.5%
Permissions-Policy	8.4%

半数のサイトに届いているヘッダーはひとつもありません。HSTSは58.1%で欠けており、初回の訪問がまだ通常のHTTPにダウングレードされうることを意味します。さらに、17.7%のサイトはそもそもHTTPをHTTPSにリダイレクトしていません。

ほとんどはプラットフォームで決まる

プラットフォーム	サイト数	Content-Security-Policyなし
Shopify	4,411	2.6%
Squarespace	348	85.3%
WordPress	25,703	83.3%
PrestaShop	1,205	90.4%
OpenCart	455	94.3%
Wix	119	97.5%
CMS検出なし	60,583	77.3%

Shopifyはすべてのショップに対してCSPを送信するため、CSPが欠けているShopifyサイトはほとんどありません。WordPressや多くのセルフホスト型ショップシステムでは、ヘッダーはホスティング会社かプラグイン次第で、ほとんどのサイトには設定されないままです。WordPressを使っているなら、この点ではテーマよりもホスティングの設定のほうが重要です。

不足の大部分を埋める5行

これらのヘッダーはほぼどのサイトでも安全に使え、ウェブサーバー、CloudflareのようなCDN、またはセキュリティプラグインで追加できます。

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Content-Security-Policyはもう少し慎重に扱う必要があります。厳しいポリシーは自分のスクリプトまでブロックしてしまうことがあるからです。まずContent-Security-Policy-Report-Onlyから始め、何がブロックされるかを確認し、レポートに問題がなくなったら本来のヘッダーに切り替えましょう。

セキュリティヘッダーは検索順位に影響するのか

直接的には影響しません。GoogleはHTTPSをランキングシグナルとして認めていますが、個々のヘッダーについては認めていません。それでも実際にはSEOにとって重要です。ハッキングされてスパムリンクを埋め込まれたサイトは急速に順位を落としますし、安全でないコンテンツを読み込むページについては、ブラウザが訪問者に警告を表示します。

無料のSEO監査を実行すれば、サイトがどのヘッダーを送信しているかを正確に確認でき、欠けているヘッダーごとにすぐ使える修正方法も表示されます。用語はSEO用語集 AからZで解説しています。

調査方法：各ドメインの最新の完全な監査、ヘッダーの結果がある94,853件のウェブサイト、2026年4月から10月に収集、主に15か国の市場における新規登録ドメインと小規模事業者のドメイン。100サイト未満のプラットフォームは除外し、個別のドメイン名は公表していません。