Headerele de securitate în 2026: 3 din 4 site-uri nu au Content-Security-Policy
Headerele de securitate în 2026: 3 din 4 site-uri nu au Content-Security-Policy
Headerele de securitate sunt câteva linii din răspunsul serverului care îi spun browserului cât de strict să fie cu o pagină. Trimiterea lor nu costă nimic, îi protejează pe vizitatori de clickjacking, conținut mixt și injectare de scripturi și fac parte din scorul de securitate al fiecărui audit LANGR SEO. În datele noastre sunt și modulul cu cel mai mic scor: o mediană de 40 din 100.
Cifrele provin din cel mai recent audit al celor 94.853 de site-uri care au răspuns scanerului nostru între aprilie și octombrie 2026.
Câte site-uri trimit fiecare header
| Header | Site-uri care îl trimit |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Niciun header nu ajunge la jumătate din site-uri. HSTS lipsește la 58,1 %, ceea ce înseamnă că prima vizită poate fi încă retrogradată la HTTP simplu. Pe deasupra, 17,7 % dintre site-uri nu redirecționează deloc HTTP către HTTPS.
Platforma decide aproape totul
| Platformă | Site-uri | Fără Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25.703 | 83,3 % |
| PrestaShop | 1.205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Niciun CMS detectat | 60.583 | 77,3 % |
Shopify trimite un CSP pentru fiecare magazin, așa că aproape niciun site Shopify nu duce lipsă de el. Pe WordPress și pe majoritatea sistemelor de magazin găzduite pe cont propriu, headerele depind de furnizorul de hosting sau de un plugin, iar majoritatea site-urilor nu le primesc niciodată. Dacă folosești WordPress, aici configurația de hosting contează mai mult decât tema.
Cele cinci linii care închid cea mai mare parte a golului
Aceste headere sunt sigure pentru aproape orice site și pot fi adăugate în serverul web, într-un CDN precum Cloudflare sau printr-un plugin de securitate:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Un Content-Security-Policy cere mai multă grijă, pentru că o politică strictă îți poate bloca propriile scripturi. Începe cu Content-Security-Policy-Report-Only, uită-te la ce ar bloca și treci la headerul real când rapoartele sunt curate.
Influențează headerele de securitate clasamentul?
Nu direct. Google a confirmat HTTPS ca semnal de clasare, dar nu și headerele individuale. Totuși, în practică ele contează pentru SEO: un site spart, cu linkuri spam injectate, pierde rapid poziții, iar browserele îi avertizează pe vizitatori să evite paginile care încarcă conținut nesigur.
Fă un audit SEO gratuit ca să vezi exact ce headere trimite site-ul tău, cu o soluție gata pregătită pentru fiecare header lipsă. Termenii sunt explicați în SEO de la A la Z.
Metodă: cel mai recent audit complet pentru fiecare domeniu, 94.853 de site-uri cu rezultat pentru headere, colectate din aprilie până în octombrie 2026, în mare parte domenii nou înregistrate și domenii ale firmelor mici din 15 piețe naționale. Platformele cu mai puțin de 100 de site-uri sunt omise și niciun domeniu nu este numit individual.