2026'da güvenlik başlıkları: Her 4 web sitesinden 3'ünde Content-Security-Policy yok

Güvenlik başlıkları, sunucu yanıtında yer alan ve tarayıcıya bir sayfaya ne kadar sıkı davranması gerektiğini söyleyen birkaç satırdır. Göndermek hiçbir şeye mal olmaz, ziyaretçileri clickjacking, karışık içerik ve betik enjeksiyonuna karşı korurlar ve her LANGR SEO denetimindeki güvenlik puanının bir parçasıdırlar. Verilerimizde aynı zamanda en düşük puanlı modül onlar: medyan 100 üzerinden 40.

Rakamlar, Nisan ile Ekim 2026 arasında tarama aracımıza yanıt veren 94.853 web sitesinin en son denetiminden geliyor.

Her başlığı kaç site gönderiyor

Başlık	Gönderen siteler
X-Content-Type-Options	%47,6
X-Frame-Options	%44,8
Strict-Transport-Security (HSTS)	%41,9
Referrer-Policy	%25,6
Content-Security-Policy	%23,5
Permissions-Policy	%8,4

Hiçbir başlık sitelerin yarısına ulaşmıyor. HSTS sitelerin %58,1'inde eksik, yani ilk ziyaret hâlâ düz HTTP'ye düşürülebilir. Üstelik sitelerin %17,7'si HTTP'yi HTTPS'ye hiç yönlendirmiyor.

Çoğunu platformunuz belirliyor

Platform	Site sayısı	Content-Security-Policy yok
Shopify	4.411	%2,6
Squarespace	348	%85,3
WordPress	25.703	%83,3
PrestaShop	1.205	%90,4
OpenCart	455	%94,3
Wix	119	%97,5
CMS tespit edilmedi	60.583	%77,3

Shopify her mağaza için bir CSP gönderiyor, bu yüzden neredeyse hiçbir Shopify sitesinde eksik değil. WordPress'te ve kendi sunucunuzda barındırılan mağaza sistemlerinin çoğunda başlıklar barındırma firmasına ya da bir eklentiye bağlı ve çoğu site bunlara hiç kavuşmuyor. WordPress kullanıyorsanız, burada barındırma yapılandırmanız temanızdan daha önemli.

Açığın büyük kısmını kapatan beş satır

Bu başlıklar neredeyse her site için güvenlidir ve web sunucusuna, Cloudflare gibi bir CDN'e ya da bir güvenlik eklentisine eklenebilir:

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Content-Security-Policy daha fazla özen ister, çünkü katı bir politika kendi betiklerinizi engelleyebilir. Content-Security-Policy-Report-Only ile başlayın, neyi engelleyeceğine bakın ve raporlar temiz olduğunda gerçek başlığa geçin.

Güvenlik başlıkları sıralamayı etkiler mi?

Doğrudan etkilemez. Google, HTTPS'yi bir sıralama sinyali olarak doğruladı, ancak tek tek başlıkları değil. Yine de pratikte SEO için önemliler: enjekte edilmiş spam bağlantıları olan hacklenmiş bir site sıralamalarını hızla kaybeder ve tarayıcılar, güvenli olmayan içerik yükleyen sayfalar konusunda ziyaretçileri uyarıp uzaklaştırır.

Sitenizin tam olarak hangi başlıkları gönderdiğini, eksik olan her biri için hazır bir çözümle birlikte görmek için ücretsiz SEO denetimi yapın. Terimler A'dan Z'ye SEO sözlüğünde açıklanıyor.

Yöntem: alan adı başına en son tam denetim, başlık sonucu olan 94.853 web sitesi, Nisan ile Ekim 2026 arasında toplandı, çoğunlukla 15 ülke pazarındaki yeni kayıtlı ve küçük işletme alan adları. 100'den az sitesi olan platformlar dahil edilmedi ve hiçbir alan adının adı verilmiyor.