Sikkerheitsheaderar i 2026: 3 av 4 nettstader har ingen Content-Security-Policy
Sikkerheitsheaderar i 2026: 3 av 4 nettstader har ingen Content-Security-Policy
Sikkerheitsheaderar er nokre få linjer i serverresponsen som fortel nettlesaren kor strengt han skal handsame ei side. Dei kostar ingenting å sende, dei vernar besøkjande mot clickjacking, blanda innhald og skriptinjeksjon, og dei er ein del av sikkerheitspoengsummen i kvar LANGR SEO-revisjon. I dataa våre er dei òg modulen med lågast poengsum: ein median på 40 av 100.
Tala kjem frå den siste revisjonen av 94 853 nettstader som svarte skannaren vår mellom april og oktober 2026.
Kor mange nettstader som sender kvar header
| Header | Nettstader som sender han |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ikkje éin header når halvparten av nettstadene. HSTS manglar på 58,1 %, noko som betyr at det første besøket framleis kan nedgraderast til vanleg HTTP. I tillegg vidaresender 17,7 % av nettstadene ikkje HTTP til HTTPS i det heile.
Plattforma di avgjer det meste
| Plattform | Nettstader | Ingen Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Ingen CMS funnen | 60 583 | 77,3 % |
Shopify sender ein CSP for kvar butikk, så nesten ingen Shopify-nettstad manglar han. På WordPress og dei fleste sjølvhosta butikksystem er headerane avhengige av vertsleverandøren eller eit tillegg, og dei fleste nettstader får dei aldri. Køyrer du WordPress, betyr hostingoppsettet ditt meir enn temaet her.
Dei fem linjene som tettar mesteparten av holet
Desse headerane er trygge for nesten alle nettstader og kan leggjast til i webtenaren, i eit CDN som Cloudflare eller i eit sikkerheitstillegg:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Ein Content-Security-Policy krev meir varsemd, fordi ein streng policy kan blokkere dine eigne skript. Start med Content-Security-Policy-Report-Only, sjå kva han ville ha blokkert, og byt til den verkelege headeren når rapportane er reine.
Påverkar sikkerheitsheaderar rangeringa?
Ikkje direkte. Google har stadfesta HTTPS som eit rangeringssignal, men ikkje dei einskilde headerane. Dei har likevel noko å seie for SEO i praksis: ein hacka nettstad med innsette spamlenkjer mistar rangeringar fort, og nettlesarar åtvarar besøkjande mot sider som lastar usikkert innhald.
Køyr ein gratis SEO-revisjon for å sjå nøyaktig kva headerar nettstaden din sender, med ein ferdig fiks for kvar som manglar. Omgrepa er forklarte i SEO frå A til Å.
Metode: siste komplette revisjon per domene, 94 853 nettstader med eit header-resultat, samla inn frå april til oktober 2026, for det meste nyregistrerte domene og domene til små verksemder i 15 landmarknader. Plattformer med færre enn 100 nettstader er utelatne, og ingen enkeltdomene er namngjevne.