Pengepala keselamatan pada 2026: 3 daripada 4 laman web tiada Content-Security-Policy
Pengepala keselamatan pada 2026: 3 daripada 4 laman web tiada Content-Security-Policy
Pengepala keselamatan (security headers) ialah beberapa baris dalam respons pelayan yang memberitahu pelayar betapa ketat ia patut terhadap sesuatu halaman. Ia tidak memerlukan kos untuk dihantar, ia melindungi pelawat daripada clickjacking, kandungan bercampur dan suntikan skrip, dan ia sebahagian daripada skor keselamatan dalam setiap audit LANGR SEO. Dalam data kami, ia juga modul dengan skor paling rendah: median 40 daripada 100.
Angka ini datang daripada audit terkini 94,853 laman web yang memberi respons kepada pengimbas kami antara April dan Oktober 2026.
Berapa banyak laman menghantar setiap pengepala
| Pengepala | Laman yang menghantarnya |
|---|---|
| X-Content-Type-Options | 47.6% |
| X-Frame-Options | 44.8% |
| Strict-Transport-Security (HSTS) | 41.9% |
| Referrer-Policy | 25.6% |
| Content-Security-Policy | 23.5% |
| Permissions-Policy | 8.4% |
Tiada satu pun pengepala yang mencapai separuh daripada laman. HSTS tiada pada 58.1%, bermakna lawatan pertama masih boleh diturunkan ke HTTP biasa. Tambahan pula, 17.7% laman langsung tidak mengubah hala HTTP ke HTTPS.
Platform anda menentukan sebahagian besarnya
| Platform | Laman | Tiada Content-Security-Policy |
|---|---|---|
| Shopify | 4,411 | 2.6% |
| Squarespace | 348 | 85.3% |
| WordPress | 25,703 | 83.3% |
| PrestaShop | 1,205 | 90.4% |
| OpenCart | 455 | 94.3% |
| Wix | 119 | 97.5% |
| Tiada CMS dikesan | 60,583 | 77.3% |
Shopify menghantar CSP untuk setiap kedai, jadi hampir tiada laman Shopify yang ketinggalan. Pada WordPress dan kebanyakan sistem kedai yang dihoskan sendiri, pengepala bergantung pada hos atau pemalam, dan kebanyakan laman tidak pernah mendapatnya. Jika anda menggunakan WordPress, tetapan pengehosan anda lebih penting daripada tema anda dalam hal ini.
Lima baris yang menutup sebahagian besar jurang
Pengepala ini selamat untuk hampir semua laman dan boleh ditambah dalam pelayan web, CDN seperti Cloudflare atau pemalam keselamatan:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy memerlukan lebih perhatian, kerana dasar yang ketat boleh menyekat skrip anda sendiri. Mulakan dengan Content-Security-Policy-Report-Only, lihat apa yang akan disekat, dan tukar kepada pengepala sebenar apabila laporannya bersih.
Adakah pengepala keselamatan menjejaskan kedudukan carian?
Tidak secara langsung. Google telah mengesahkan HTTPS sebagai isyarat kedudukan, tetapi bukan pengepala secara individu. Namun ia tetap penting untuk SEO dalam amalan: laman yang digodam dengan pautan spam yang disuntik cepat hilang kedudukan, dan pelayar memberi amaran kepada pelawat supaya menjauhi halaman yang memuatkan kandungan tidak selamat.
Jalankan audit SEO percuma untuk melihat dengan tepat pengepala yang dihantar oleh laman anda, dengan pembetulan sedia untuk setiap yang tiada. Istilah-istilahnya diterangkan dalam SEO A hingga Z.
Kaedah: audit lengkap terkini bagi setiap domain, 94,853 laman web dengan keputusan pengepala, dikumpul dari April hingga Oktober 2026, kebanyakannya domain yang baru didaftarkan dan domain perniagaan kecil di 15 pasaran negara. Platform dengan kurang daripada 100 laman tidak dimasukkan, dan tiada domain individu dinamakan.