Bezpečnostné hlavičky v roku 2026: 3 zo 4 webov nemajú Content-Security-Policy
Bezpečnostné hlavičky v roku 2026: 3 zo 4 webov nemajú Content-Security-Policy
Bezpečnostné hlavičky sú niekoľko riadkov v odpovedi servera, ktoré prehliadaču hovoria, ako prísne má so stránkou zaobchádzať. Ich odosielanie nič nestojí, chránia návštevníkov pred clickjackingom, zmiešaným obsahom a vkladaním skriptov a sú súčasťou bezpečnostného skóre v každom audite LANGR SEO. V našich dátach sú zároveň modulom s najnižším skóre: medián 40 zo 100.
Čísla pochádzajú z najnovšieho auditu 94 853 webov, ktoré odpovedali nášmu skeneru od apríla do októbra 2026.
Koľko webov posiela jednotlivé hlavičky
| Hlavička | Weby, ktoré ju posielajú |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Ani jedna hlavička nedosahuje polovicu webov. HSTS chýba na 58,1 %, čo znamená, že prvú návštevu stále možno znížiť na obyčajné HTTP. Navyše 17,7 % webov vôbec nepresmerúva HTTP na HTTPS.
O väčšine rozhoduje vaša platforma
| Platforma | Weby | Bez Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Nezistený žiadny CMS | 60 583 | 77,3 % |
Shopify posiela CSP pre každý obchod, takže takmer žiadnemu webu na Shopify nechýba. Na WordPresse a väčšine e-shopových systémov na vlastnom hostingu závisia hlavičky od hostingu alebo pluginu a väčšina webov ich nikdy nedostane. Ak používate WordPress, nastavenie hostingu je tu dôležitejšie ako téma.
Päť riadkov, ktoré uzavrú väčšinu medzery
Tieto hlavičky sú bezpečné takmer pre každý web a dajú sa pridať na webovom serveri, v CDN ako Cloudflare alebo cez bezpečnostný plugin:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy si vyžaduje viac pozornosti, pretože prísna politika môže zablokovať aj vaše vlastné skripty. Začnite s Content-Security-Policy-Report-Only, pozrite sa, čo by blokovala, a na skutočnú hlavičku prejdite, keď budú reporty čisté.
Ovplyvňujú bezpečnostné hlavičky pozície vo vyhľadávaní?
Priamo nie. Google potvrdil HTTPS ako signál pre hodnotenie, jednotlivé hlavičky však nie. V praxi sú pre SEO aj tak dôležité: hacknutý web s vloženými spamovými odkazmi rýchlo stráca pozície a prehliadače varujú návštevníkov pred stránkami, ktoré načítavajú nezabezpečený obsah.
Spustite bezplatný SEO audit a uvidíte presne, ktoré hlavičky váš web posiela, s pripravenou opravou pre každú chýbajúcu. Pojmy sú vysvetlené v SEO od A po Z.
Metóda: najnovší kompletný audit každej domény, 94 853 webov s výsledkom hlavičiek, zozbierané od apríla do októbra 2026, prevažne novo zaregistrované domény a domény malých firiem v 15 krajinách. Platformy s menej ako 100 webmi sme vynechali a žiadnu konkrétnu doménu neuvádzame.