2026년 보안 헤더: 웹사이트 4곳 중 3곳에 Content-Security-Policy가 없습니다

보안 헤더는 서버 응답에 들어가는 몇 줄로, 브라우저가 페이지를 얼마나 엄격하게 다뤄야 하는지 알려 줍니다. 보내는 데 비용이 들지 않고, 클릭재킹, 혼합 콘텐츠, 스크립트 삽입으로부터 방문자를 보호하며, 모든 LANGR SEO 진단의 보안 점수에 포함됩니다. 저희 데이터에서는 점수가 가장 낮은 모듈이기도 합니다. 중앙값이 100점 만점에 40점입니다.

이 수치는 2026년 4월부터 10월까지 저희 스캐너에 응답한 웹사이트 94,853개의 최신 진단에서 나온 것입니다.

각 헤더를 보내는 사이트 비율

헤더	헤더를 보내는 사이트
X-Content-Type-Options	47.6%
X-Frame-Options	44.8%
Strict-Transport-Security (HSTS)	41.9%
Referrer-Policy	25.6%
Content-Security-Policy	23.5%
Permissions-Policy	8.4%

절반의 사이트에 도달한 헤더는 하나도 없습니다. HSTS는 58.1%에서 빠져 있어, 첫 방문이 여전히 일반 HTTP로 다운그레이드될 수 있습니다. 게다가 사이트의 17.7%는 HTTP를 HTTPS로 아예 리디렉션하지 않습니다.

대부분은 플랫폼이 결정합니다

플랫폼	사이트 수	Content-Security-Policy 없음
Shopify	4,411	2.6%
Squarespace	348	85.3%
WordPress	25,703	83.3%
PrestaShop	1,205	90.4%
OpenCart	455	94.3%
Wix	119	97.5%
CMS 감지 안 됨	60,583	77.3%

Shopify는 모든 쇼핑몰에 CSP를 보내므로 CSP가 없는 Shopify 사이트는 거의 없습니다. WordPress와 대부분의 자체 호스팅 쇼핑몰 시스템에서는 헤더가 호스팅 업체나 플러그인에 달려 있고, 대부분의 사이트는 끝내 헤더를 갖추지 못합니다. WordPress를 쓴다면 이 부분에서는 테마보다 호스팅 설정이 더 중요합니다.

공백 대부분을 메우는 다섯 줄

다음 헤더는 거의 모든 사이트에 안전하며, 웹 서버, Cloudflare 같은 CDN 또는 보안 플러그인에서 추가할 수 있습니다.

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Content-Security-Policy는 더 신중하게 다뤄야 합니다. 엄격한 정책은 여러분 자신의 스크립트까지 차단할 수 있기 때문입니다. Content-Security-Policy-Report-Only로 시작해 무엇이 차단될지 확인하고, 보고서에 문제가 없으면 실제 헤더로 전환하세요.

보안 헤더가 순위에 영향을 줄까요?

직접적으로는 아닙니다. Google은 HTTPS를 순위 신호로 확인했지만 개별 헤더는 아닙니다. 그래도 실제로는 SEO에 중요합니다. 스팸 링크가 삽입된 해킹된 사이트는 순위를 빠르게 잃고, 브라우저는 안전하지 않은 콘텐츠를 불러오는 페이지에 대해 방문자에게 경고합니다.

무료 SEO 진단을 실행하면 내 사이트가 어떤 헤더를 보내는지 정확히 확인하고, 빠진 헤더마다 바로 쓸 수 있는 해결책을 받을 수 있습니다. 용어는 SEO A to Z에서 설명합니다.

방법: 도메인별 최신 전체 진단, 헤더 결과가 있는 웹사이트 94,853개, 2026년 4월부터 10월까지 수집, 주로 15개 국가 시장의 신규 등록 도메인과 소규모 사업체 도메인. 사이트가 100개 미만인 플랫폼은 제외했으며, 개별 도메인은 공개하지 않습니다.