Säkerhetsheaders 2026: 3 av 4 webbplatser saknar Content-Security-Policy
Säkerhetsheaders 2026: 3 av 4 webbplatser saknar Content-Security-Policy
Säkerhetsheaders är några rader i serverns svar som talar om för webbläsaren hur strikt den ska vara med en sida. De kostar ingenting att skicka, de skyddar besökarna mot clickjacking, blandat innehåll och skriptinjektion, och de ingår i säkerhetspoängen i varje granskning från LANGR SEO. I vår data är de också den modul som får lägst poäng: en median på 40 av 100.
Siffrorna kommer från den senaste granskningen av 94 853 webbplatser som svarade vår skanner mellan april och oktober 2026.
Hur många webbplatser som skickar varje header
| Header | Webbplatser som skickar den |
|---|---|
| X-Content-Type-Options | 47,6 % |
| X-Frame-Options | 44,8 % |
| Strict-Transport-Security (HSTS) | 41,9 % |
| Referrer-Policy | 25,6 % |
| Content-Security-Policy | 23,5 % |
| Permissions-Policy | 8,4 % |
Inte en enda header når hälften av webbplatserna. HSTS saknas på 58,1 %, vilket betyder att det första besöket fortfarande kan nedgraderas till vanlig HTTP. Dessutom omdirigerar 17,7 % av webbplatserna inte HTTP till HTTPS över huvud taget.
Plattformen avgör det mesta
| Plattform | Webbplatser | Ingen Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6 % |
| Squarespace | 348 | 85,3 % |
| WordPress | 25 703 | 83,3 % |
| PrestaShop | 1 205 | 90,4 % |
| OpenCart | 455 | 94,3 % |
| Wix | 119 | 97,5 % |
| Inget CMS hittades | 60 583 | 77,3 % |
Shopify skickar en CSP för varje butik, så nästan ingen Shopify-webbplats saknar en. På WordPress och de flesta egenhostade butikssystem beror headers på webbhotellet eller på ett tillägg, och de flesta webbplatser får dem aldrig. Kör du WordPress spelar din hostinglösning större roll än ditt tema här.
De fem rader som täpper till det mesta av luckan
De här headers är säkra för nästan alla webbplatser och kan läggas till i webbservern, i ett CDN som Cloudflare eller med ett säkerhetstillägg:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()En Content-Security-Policy kräver mer omsorg, eftersom en strikt policy kan blockera dina egna skript. Börja med Content-Security-Policy-Report-Only, se vad den skulle blockera och byt till den riktiga headern när rapporterna är rena.
Påverkar säkerhetsheaders rankingen?
Inte direkt. Google har bekräftat HTTPS som rankingsignal, men inte de enskilda headers. De spelar ändå roll för SEO i praktiken: en hackad webbplats med injicerade spamlänkar tappar snabbt i ranking, och webbläsare varnar besökare för sidor som laddar osäkert innehåll.
Kör en gratis SEO-granskning för att se exakt vilka headers din webbplats skickar, med en färdig åtgärd för varje som saknas. Begreppen förklaras i SEO från A till Ö.
Metod: senaste fullständiga granskning per domän, 94 853 webbplatser med ett headerresultat, insamlat april till oktober 2026, främst nyregistrerade domäner och småföretagsdomäner på 15 nationella marknader. Plattformar med färre än 100 webbplatser är utelämnade, och ingen enskild domän nämns.