Заголовки безопасности в 2026 году: у 3 из 4 сайтов нет Content-Security-Policy
Заголовки безопасности в 2026 году: у 3 из 4 сайтов нет Content-Security-Policy
Заголовки безопасности представляют собой несколько строк в ответе сервера, которые сообщают браузеру, насколько строго обращаться со страницей. Их отправка ничего не стоит, они защищают посетителей от кликджекинга, смешанного контента и внедрения скриптов и входят в оценку безопасности в каждом аудите LANGR SEO. В наших данных это ещё и модуль с самой низкой оценкой: медиана 40 из 100.
Цифры взяты из последнего аудита 94 853 сайтов, которые ответили нашему сканеру с апреля по октябрь 2026 года.
Сколько сайтов отправляют каждый заголовок
| Заголовок | Сайты, которые его отправляют |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ни один заголовок не встречается даже у половины сайтов. HSTS отсутствует у 58,1 %, а значит, первый визит всё ещё можно понизить до обычного HTTP. Вдобавок 17,7 % сайтов вообще не перенаправляют HTTP на HTTPS.
Почти всё решает ваша платформа
| Платформа | Сайты | Нет Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| CMS не определена | 60 583 | 77,3 % |
Shopify отправляет CSP для каждого магазина, поэтому он отсутствует почти ни у одного сайта на Shopify. На WordPress и большинстве самостоятельно размещаемых систем для магазинов заголовки зависят от хостинга или плагина, и у большинства сайтов их так и нет. Если у вас WordPress, здесь настройка хостинга важнее, чем тема.
Пять строк, которые закрывают большую часть пробела
Эти заголовки безопасны почти для любого сайта, и их можно добавить в веб-сервере, в CDN вроде Cloudflare или с помощью плагина безопасности:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy требует большей осторожности, потому что строгая политика может заблокировать ваши собственные скрипты. Начните с Content-Security-Policy-Report-Only, посмотрите, что он заблокировал бы, и переходите на настоящий заголовок, когда в отчётах будет чисто.
Влияют ли заголовки безопасности на ранжирование?
Напрямую нет. Google подтвердил HTTPS как сигнал ранжирования, но не отдельные заголовки. На практике они всё равно важны для SEO: взломанный сайт с внедрёнными спам-ссылками быстро теряет позиции, а браузеры предупреждают посетителей и уводят их со страниц, которые загружают небезопасный контент.
Запустите бесплатный SEO-аудит, чтобы точно увидеть, какие заголовки отправляет ваш сайт, с готовым исправлением для каждого отсутствующего. Термины объясняются в SEO от А до Я.
Методика: последний полный аудит по каждому домену, 94 853 сайта с результатом по заголовкам, данные собраны с апреля по октябрь 2026 года, в основном это недавно зарегистрированные домены и домены малого бизнеса на 15 национальных рынках. Платформы, у которых меньше 100 сайтов, не учитывались, и ни один отдельный домен не называется.