Sikkerhetsheadere i 2026: 3 av 4 nettsteder har ingen Content-Security-Policy
Sikkerhetsheadere i 2026: 3 av 4 nettsteder har ingen Content-Security-Policy
Sikkerhetsheadere er noen få linjer i serverens svar som forteller nettleseren hvor streng den skal være med en side. De koster ingenting å sende, de beskytter besøkende mot clickjacking, blandet innhold og skriptinjeksjon, og de inngår i sikkerhetsscoren i hver LANGR SEO-revisjon. I våre data er de også modulen med lavest score: en median på 40 av 100.
Tallene kommer fra den nyeste revisjonen av 94 853 nettsteder som svarte skanneren vår mellom april og oktober 2026.
Hvor mange nettsteder som sender hver header
| Header | Nettsteder som sender den |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ikke én eneste header når opp i halvparten av nettstedene. HSTS mangler på 58,1 %, noe som betyr at det første besøket fortsatt kan nedgraderes til vanlig HTTP. I tillegg videresender 17,7 % av nettstedene ikke HTTP til HTTPS i det hele tatt.
Plattformen avgjør det meste
| Plattform | Nettsteder | Ingen Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Ingen CMS funnet | 60 583 | 77,3 % |
Shopify sender en CSP for hver butikk, så nesten ingen Shopify-nettsteder mangler en. På WordPress og de fleste selvhostede butikksystemer avhenger headerne av webhotellet eller av en utvidelse, og de fleste nettsteder får dem aldri. Kjører du WordPress, betyr hostingoppsettet ditt mer enn temaet her.
De fem linjene som tetter det meste av hullet
Disse headerne er trygge for nesten alle nettsteder og kan legges til i webserveren, i et CDN som Cloudflare eller i en sikkerhetsutvidelse:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()En Content-Security-Policy krever mer omtanke, fordi en streng policy kan blokkere dine egne skript. Begynn med Content-Security-Policy-Report-Only, se hva den ville ha blokkert, og bytt til den ekte headeren når rapportene er rene.
Påvirker sikkerhetsheadere rangeringen?
Ikke direkte. Google har bekreftet HTTPS som et rangeringssignal, men ikke de enkelte headerne. De betyr likevel noe for SEO i praksis: et hacket nettsted med innsatte spamlenker taper rangeringer raskt, og nettlesere advarer besøkende mot sider som laster usikkert innhold.
Kjør en gratis SEO-revisjon for å se nøyaktig hvilke headere nettstedet ditt sender, med en ferdig løsning for hver som mangler. Begrepene er forklart i SEO fra A til Å.
Metode: nyeste komplette revisjon per domene, 94 853 nettsteder med et headerresultat, samlet inn fra april til oktober 2026, for det meste nyregistrerte domener og domener for små bedrifter i 15 landsmarkeder. Plattformer med færre enn 100 nettsteder er utelatt, og ingen enkeltdomener er navngitt.