هدرهای امنیتی در سال ۲۰۲۶: از هر ۴ وب‌سایت ۳ تا Content-Security-Policy ندارند
هدرهای امنیتی در سال ۲۰۲۶: از هر ۴ وب‌سایت ۳ تا Content-Security-Policy ندارند
هدرهای امنیتی چند خط در پاسخ سرور استند که به مرورگر می‌گویند با یک صفحه تا چه اندازه سخت‌گیر باشد. ارسال آن‌ها هزینه‌ای ندارد، بازدیدکنندگان را در برابر clickjacking، محتوای مختلط و تزریق اسکریپت محافظت می‌کنند و بخشی از نمرهٔ امنیتی در هر بررسی LANGR SEO استند. در داده‌های ما، این‌ها همچنین ماژولی با پایین‌ترین نمره استند: میانهٔ ۴۰ از ۱۰۰.
ارقام از آخرین بررسی ۹۴٬۸۵۳ وب‌سایتی به دست آمده که از اپریل تا اکتوبر ۲۰۲۶ به اسکنر ما پاسخ دادند.
چه تعداد وب‌سایت هر هدر را ارسال می‌کنند
| هدر | وب‌سایت‌هایی که آن را ارسال می‌کنند |
|---|---|
| X-Content-Type-Options | ۴۷٫۶٪ |
| X-Frame-Options | ۴۴٫۸٪ |
| Strict-Transport-Security (HSTS) | ۴۱٫۹٪ |
| Referrer-Policy | ۲۵٫۶٪ |
| Content-Security-Policy | ۲۳٫۵٪ |
| Permissions-Policy | ۸٫۴٪ |
هیچ هدری به نیمی از وب‌سایت‌ها نمی‌رسد. HSTS در ۵۸٫۱٪ وجود ندارد، یعنی نخستین بازدید هنوز می‌تواند به HTTP ساده تنزل داده شود. افزون بر این، ۱۷٫۷٪ وب‌سایت‌ها اصلاً HTTP را به HTTPS ریدایرکت نمی‌کنند.
پلتفرم شما بیشتر آن را تعیین می‌کند
| پلتفرم | وب‌سایت‌ها | بدون Content-Security-Policy |
|---|---|---|
| Shopify | ۴٬۴۱۱ | ۲٫۶٪ |
| Squarespace | ۳۴۸ | ۸۵٫۳٪ |
| WordPress | ۲۵٬۷۰۳ | ۸۳٫۳٪ |
| PrestaShop | ۱٬۲۰۵ | ۹۰٫۴٪ |
| OpenCart | ۴۵۵ | ۹۴٫۳٪ |
| Wix | ۱۱۹ | ۹۷٫۵٪ |
| بدون CMS شناسایی‌شده | ۶۰٬۵۸۳ | ۷۷٫۳٪ |
Shopify برای هر فروشگاه یک CSP ارسال می‌کند، بنابراین تقریباً هیچ وب‌سایت Shopify بدون آن نیست. در WordPress و بیشتر سیستم‌های فروشگاهی خودمیزبان، هدرها به میزبان یا یک افزونه بستگی دارند و بیشتر وب‌سایت‌ها هرگز آن‌ها را نمی‌گیرند. اگر از WordPress استفاده می‌کنید، در اینجا تنظیمات میزبانی شما از قالب (theme) مهم‌تر است.
پنج خطی که بیشتر این کمبود را برطرف می‌کند
این هدرها برای تقریباً هر وب‌سایتی بی‌خطر استند و می‌توان آن‌ها را در وب‌سرور، در یک CDN مانند Cloudflare یا با یک افزونهٔ امنیتی اضافه کرد:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy به دقت بیشتری نیاز دارد، چون یک پالیسی سخت‌گیرانه می‌تواند اسکریپت‌های خود شما را مسدود کند. با Content-Security-Policy-Report-Only شروع کنید، ببینید چه چیزهایی را مسدود می‌کرد و وقتی گزارش‌ها پاک شدند به هدر اصلی بروید.
آیا هدرهای امنیتی بر رتبه‌بندی اثر دارند؟
نه به‌طور مستقیم. Google تأیید کرده که HTTPS یک سیگنال رتبه‌بندی است، اما هدرهای جداگانه را تأیید نکرده است. با این حال در عمل برای SEO مهم استند: وب‌سایت هک‌شده‌ای که لینک‌های اسپم در آن تزریق شده به‌سرعت رتبه از دست می‌دهد، و مرورگرها بازدیدکنندگان را از صفحه‌هایی که محتوای ناامن بارگذاری می‌کنند برحذر می‌دارند.
یک بررسی رایگان SEO اجرا کنید تا دقیقاً ببینید وب‌سایت شما کدام هدرها را ارسال می‌کند، همراه با یک راه‌حل آماده برای هر هدری که وجود ندارد. اصطلاحات در SEO از A تا Z توضیح داده شده‌اند.
روش: آخرین بررسی کامل برای هر دامنه، ۹۴٬۸۵۳ وب‌سایت با نتیجهٔ هدر، جمع‌آوری‌شده از اپریل تا اکتوبر ۲۰۲۶، بیشتر دامنه‌های تازه ثبت‌شده و دامنه‌های کسب‌وکارهای کوچک در ۱۵ بازار کشوری. پلتفرم‌هایی با کمتر از ۱۰۰ وب‌سایت کنار گذاشته شده‌اند و نام هیچ دامنهٔ مشخصی ذکر نشده است.