Varnostne glave v letu 2026: 3 od 4 spletnih strani nimajo Content-Security-Policy
Varnostne glave v letu 2026: 3 od 4 spletnih strani nimajo Content-Security-Policy
Varnostne glave so nekaj vrstic v odzivu strežnika, ki brskalniku povedo, kako strog naj bo s stranjo. Pošiljanje ne stane nič, obiskovalce ščitijo pred clickjackingom, mešano vsebino in vrivanjem skript, poleg tega so del varnostne ocene v vsaki reviziji LANGR SEO. V naših podatkih so tudi modul z najnižjo oceno: mediana je 40 od 100.
Številke izhajajo iz zadnje revizije 94.853 spletnih strani, ki so se med aprilom in oktobrom 2026 odzvale našemu pregledovalniku.
Koliko strani pošilja posamezno glavo
| Glava | Strani, ki jo pošiljajo |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Nobena glava ne doseže polovice strani. HSTS manjka pri 58,1 %, kar pomeni, da je prvi obisk še vedno mogoče znižati na navaden HTTP. Poleg tega 17,7 % strani HTTP sploh ne preusmeri na HTTPS.
Večino odloči vaša platforma
| Platforma | Strani | Brez Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25.703 | 83,3 % |
| PrestaShop | 1.205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Ni zaznanega CMS | 60.583 | 77,3 % |
Shopify pošilja CSP za vsako trgovino, zato skoraj nobeni strani na Shopifyju ne manjka. Pri WordPressu in večini samogostovanih trgovinskih sistemov so glave odvisne od gostitelja ali vtičnika, večina strani pa jih nikoli ne dobi. Če uporabljate WordPress, so tu nastavitve gostovanja pomembnejše od teme.
Pet vrstic, ki zapre večino vrzeli
Te glave so varne za skoraj vsako stran in jih lahko dodate v spletnem strežniku, v CDN, kot je Cloudflare, ali z varnostnim vtičnikom:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy zahteva več previdnosti, ker lahko stroga politika blokira vaše lastne skripte. Začnite s Content-Security-Policy-Report-Only, poglejte, kaj bi blokirala, in preklopite na pravo glavo, ko so poročila čista.
Ali varnostne glave vplivajo na uvrstitve?
Ne neposredno. Google je HTTPS potrdil kot signal za uvrščanje, posameznih glav pa ne. V praksi so za SEO vseeno pomembne: vdrta stran z vrinjenimi povezavami do vsiljene vsebine hitro izgublja uvrstitve, brskalniki pa obiskovalce opozorijo pred stranmi, ki nalagajo nevarno vsebino.
Zaženite brezplačno revizijo SEO in natančno poglejte, katere glave pošilja vaša stran, s pripravljeno rešitvijo za vsako manjkajočo. Izrazi so razloženi v SEO od A do Ž.
Metoda: zadnja celotna revizija na domeno, 94.853 spletnih strani z rezultatom glav, zbrano od aprila do oktobra 2026, večinoma na novo registrirane domene in domene malih podjetij na 15 nacionalnih trgih. Platforme z manj kot 100 stranmi so izpuščene, nobena posamezna domena pa ni imenovana.