Заголовки безпеки у 2026 році: 3 з 4 сайтів не мають Content-Security-Policy
Заголовки безпеки у 2026 році: 3 з 4 сайтів не мають Content-Security-Policy
Заголовки безпеки являють собою кілька рядків у відповіді сервера, які підказують браузеру, наскільки суворо поводитися зі сторінкою. Їх надсилання нічого не коштує, вони захищають відвідувачів від клікджекінгу, змішаного вмісту та впровадження скриптів і входять до оцінки безпеки в кожному аудиті LANGR SEO. У наших даних це також модуль із найнижчою оцінкою: медіана 40 зі 100.
Цифри взято з останнього аудиту 94 853 сайтів, які відповіли нашому сканеру з квітня по жовтень 2026 року.
Скільки сайтів надсилають кожен заголовок
| Заголовок | Сайти, які його надсилають |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Жоден заголовок не охоплює й половини сайтів. HSTS бракує на 58,1%, а отже перший візит усе ще можна понизити до звичайного HTTP. До того ж 17,7% сайтів узагалі не переспрямовують HTTP на HTTPS.
Здебільшого все вирішує ваша платформа
| Платформа | Сайти | Немає Content-Security-Policy |
|---|---|---|
| Shopify | 4 411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25 703 | 83,3% |
| PrestaShop | 1 205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| CMS не виявлено | 60 583 | 77,3% |
Shopify надсилає CSP для кожного магазину, тож майже в жодного сайту на Shopify його не бракує. У WordPress і більшості магазинних систем на власному хостингу заголовки залежать від хостингу або плагіна, і більшість сайтів так їх і не отримують. Якщо у вас WordPress, тут налаштування хостингу важать більше, ніж тема.
П'ять рядків, що закривають більшу частину прогалини
Ці заголовки безпечні майже для будь-якого сайту, їх можна додати на вебсервері, у CDN на кшталт Cloudflare або через плагін безпеки:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy потребує більшої обережності, бо сувора політика може заблокувати ваші власні скрипти. Почніть із Content-Security-Policy-Report-Only, подивіться, що саме вона заблокувала б, і перейдіть на справжній заголовок, коли звіти стануть чистими.
Чи впливають заголовки безпеки на ранжування?
Не напряму. Google підтвердив HTTPS як сигнал ранжування, але не окремі заголовки. Проте на практиці вони важливі для SEO: зламаний сайт із впровадженими спам-посиланнями швидко втрачає позиції, а браузери застерігають відвідувачів від сторінок, що завантажують незахищений вміст.
Запустіть безкоштовний SEO-аудит, щоб побачити, які саме заголовки надсилає ваш сайт, із готовим виправленням для кожного відсутнього. Терміни пояснено в SEO від А до Я.
Методика: останній повний аудит кожного домену, 94 853 сайти з результатом перевірки заголовків, дані зібрано з квітня по жовтень 2026 року, переважно це нещодавно зареєстровані домени та домени малого бізнесу на ринках 15 країн. Платформи з менш ніж 100 сайтами не враховано, а жоден окремий домен не названо.