Nagłówki bezpieczeństwa w 2026 roku: 3 na 4 strony nie mają Content-Security-Policy
Nagłówki bezpieczeństwa w 2026 roku: 3 na 4 strony nie mają Content-Security-Policy
Nagłówki bezpieczeństwa to kilka linijek w odpowiedzi serwera, które mówią przeglądarce, jak rygorystycznie ma traktować stronę. Ich wysyłanie nic nie kosztuje, chronią odwiedzających przed clickjackingiem, treściami mieszanymi i wstrzykiwaniem skryptów, a do tego są częścią wyniku bezpieczeństwa w każdym audycie LANGR SEO. W naszych danych to także moduł z najniższym wynikiem: mediana 40 na 100.
Liczby pochodzą z najnowszego audytu 94 853 stron internetowych, które odpowiedziały naszemu skanerowi od kwietnia do października 2026 roku.
Ile stron wysyła każdy nagłówek
| Nagłówek | Strony, które go wysyłają |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Żaden nagłówek nie dociera do połowy stron. HSTS brakuje na 58,1% z nich, co oznacza, że pierwsza wizyta wciąż może zostać zdegradowana do zwykłego HTTP. Do tego 17,7% stron w ogóle nie przekierowuje HTTP na HTTPS.
O większości decyduje platforma
| Platforma | Strony | Brak Content-Security-Policy |
|---|---|---|
| Shopify | 4411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25 703 | 83,3% |
| PrestaShop | 1205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Nie wykryto CMS | 60 583 | 77,3% |
Shopify wysyła CSP dla każdego sklepu, więc prawie żadnej stronie na Shopify go nie brakuje. W WordPressie i większości samodzielnie hostowanych systemów sklepowych nagłówki zależą od hostingu lub wtyczki, a większość stron nigdy ich nie dostaje. Jeśli korzystasz z WordPressa, konfiguracja hostingu ma tu większe znaczenie niż motyw.
Pięć linijek, które zamykają większość luki
Te nagłówki są bezpieczne dla niemal każdej strony i można je dodać w serwerze WWW, w CDN takim jak Cloudflare lub we wtyczce bezpieczeństwa:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy wymaga więcej uwagi, bo restrykcyjna polityka może zablokować Twoje własne skrypty. Zacznij od Content-Security-Policy-Report-Only, zobacz, co zostałoby zablokowane, i przełącz się na właściwy nagłówek, gdy raporty będą czyste.
Czy nagłówki bezpieczeństwa wpływają na pozycje?
Nie bezpośrednio. Google potwierdził HTTPS jako sygnał rankingowy, ale nie poszczególne nagłówki. W praktyce i tak mają znaczenie dla SEO: zhakowana strona ze wstrzykniętymi linkami spamowymi szybko traci pozycje, a przeglądarki ostrzegają odwiedzających przed stronami, które ładują niezabezpieczone treści.
Wykonaj bezpłatny audyt SEO, aby zobaczyć dokładnie, jakie nagłówki wysyła Twoja strona, z gotową poprawką dla każdego brakującego. Pojęcia wyjaśniamy w SEO od A do Z.
Metoda: najnowszy pełny audyt dla każdej domeny, 94 853 strony z wynikiem nagłówków, dane zebrane od kwietnia do października 2026 roku, głównie nowo zarejestrowane domeny i domeny małych firm na 15 rynkach krajowych. Pominięto platformy z mniej niż 100 stronami i nie podajemy nazwy żadnej pojedynczej domeny.