Header-at e sigurisë në 2026: 3 nga 4 faqe interneti nuk kanë Content-Security-Policy
Header-at e sigurisë në 2026: 3 nga 4 faqe interneti nuk kanë Content-Security-Policy
Header-at e sigurisë janë disa rreshta në përgjigjen e serverit që i tregojnë shfletuesit sa i rreptë të jetë me një faqe. Dërgimi i tyre nuk kushton asgjë, ata i mbrojnë vizitorët nga clickjacking, përmbajtja e përzier dhe injektimi i skripteve, dhe janë pjesë e rezultatit të sigurisë në çdo auditim të LANGR SEO. Në të dhënat tona ata janë gjithashtu moduli me rezultatin më të ulët: një medianë prej 40 nga 100.
Shifrat vijnë nga auditimi më i fundit i 94 853 faqeve të internetit që iu përgjigjën skanerit tonë nga prilli deri në tetor 2026.
Sa faqe dërgojnë secilin header
| Header-i | Faqet që e dërgojnë |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Asnjë header nuk arrin te gjysma e faqeve. HSTS mungon në 58,1%, që do të thotë se vizita e parë ende mund të ulet në HTTP të thjeshtë. Për më tepër, 17,7% e faqeve nuk e ridrejtojnë fare HTTP-në në HTTPS.
Platforma juaj vendos pjesën më të madhe
| Platformë | Faqe | Pa Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25 703 | 83,3% |
| PrestaShop | 1 205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Asnjë CMS i zbuluar | 60 583 | 77,3% |
Shopify dërgon një CSP për çdo dyqan, kështu që pothuajse asnjë faqeje Shopify nuk i mungon. Në WordPress dhe në shumicën e sistemeve të dyqaneve të vetëhostuara, header-at varen nga hostingu ose nga një plugin, dhe shumica e faqeve nuk i marrin kurrë. Nëse përdorni WordPress, këtu konfigurimi i hostingut ka më shumë rëndësi se tema.
Pesë rreshtat që mbyllin pjesën më të madhe të boshllëkut
Këta header-a janë të sigurt për pothuajse çdo faqe dhe mund të shtohen në serverin web, në një CDN si Cloudflare ose me një plugin sigurie:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Një Content-Security-Policy kërkon më shumë kujdes, sepse një politikë e rreptë mund të bllokojë skriptet tuaja. Filloni me Content-Security-Policy-Report-Only, shikoni çfarë do të bllokonte dhe kaloni te header-i i vërtetë kur raportet të jenë të pastra.
A ndikojnë header-at e sigurisë në renditje?
Jo drejtpërdrejt. Google ka konfirmuar HTTPS si sinjal renditjeje, por jo header-at individualë. Megjithatë, në praktikë ata kanë rëndësi për SEO: një faqe e hakuar me lidhje spam të injektuara humbet renditjen shpejt, dhe shfletuesit i paralajmërojnë vizitorët të largohen nga faqet që ngarkojnë përmbajtje jo të sigurt.
Kryeni një auditim SEO falas për të parë saktësisht cilët header-a dërgon faqja juaj, me një rregullim të gatshëm për secilin që mungon. Termat shpjegohen te SEO nga A te Z.
Metoda: auditimi i fundit i plotë për çdo domen, 94 853 faqe interneti me rezultat për header-at, të mbledhura nga prilli deri në tetor 2026, kryesisht domene të regjistruara rishtazi dhe domene biznesesh të vogla në 15 tregje kombëtare. Platformat me më pak se 100 faqe janë lënë jashtë dhe asnjë domen individual nuk përmendet me emër.