Cabeçalhos de segurança em 2026: 3 em cada 4 sites não têm Content-Security-Policy
Cabeçalhos de segurança em 2026: 3 em cada 4 sites não têm Content-Security-Policy
Cabeçalhos de segurança são algumas linhas na resposta do servidor que dizem ao navegador o quanto ele deve ser rigoroso com uma página. Enviá-los não custa nada, eles protegem os visitantes contra clickjacking, conteúdo misto e injeção de scripts, e fazem parte da pontuação de segurança em toda auditoria do LANGR SEO. Nos nossos dados, eles também são o módulo com a pontuação mais baixa: uma mediana de 40 de 100.
Os números vêm da auditoria mais recente de 94.853 sites que responderam ao nosso scanner entre abril e outubro de 2026.
Quantos sites enviam cada cabeçalho
| Cabeçalho | Sites que o enviam |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Nenhum cabeçalho chega à metade dos sites. O HSTS está ausente em 58,1%, o que significa que a primeira visita ainda pode ser rebaixada para HTTP simples. Além disso, 17,7% dos sites nem sequer redirecionam HTTP para HTTPS.
Sua plataforma decide quase tudo
| Plataforma | Sites | Sem Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25.703 | 83,3% |
| PrestaShop | 1.205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Nenhum CMS detectado | 60.583 | 77,3% |
O Shopify envia uma CSP para todas as lojas, então quase nenhum site Shopify fica sem ela. No WordPress e na maioria dos sistemas de loja auto-hospedados, os cabeçalhos dependem da hospedagem ou de um plugin, e a maioria dos sites nunca os recebe. Se você usa WordPress, a configuração da sua hospedagem pesa mais aqui do que o seu tema.
As cinco linhas que fecham a maior parte da lacuna
Estes cabeçalhos são seguros para quase qualquer site e podem ser adicionados no servidor web, em uma CDN como a Cloudflare ou em um plugin de segurança:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Uma Content-Security-Policy exige mais cuidado, porque uma política rígida pode bloquear os seus próprios scripts. Comece com Content-Security-Policy-Report-Only, veja o que seria bloqueado e passe para o cabeçalho real quando os relatórios estiverem limpos.
Cabeçalhos de segurança afetam o ranqueamento?
Não diretamente. O Google confirmou o HTTPS como sinal de ranqueamento, mas não os cabeçalhos individuais. Mesmo assim, eles importam para o SEO na prática: um site invadido com links de spam injetados perde posições rapidamente, e os navegadores alertam os visitantes para não abrirem páginas que carregam conteúdo inseguro.
Faça uma auditoria de SEO gratuita para ver exatamente quais cabeçalhos o seu site envia, com uma correção pronta para cada um que estiver faltando. Os termos são explicados no SEO de A a Z.
Método: auditoria completa mais recente por domínio, 94.853 sites com resultado de cabeçalhos, coletados de abril a outubro de 2026, principalmente domínios recém-registrados e de pequenas empresas em 15 mercados nacionais. Plataformas com menos de 100 sites foram deixadas de fora, e nenhum domínio individual é citado.