Header bảo mật năm 2026: 3 trên 4 website không có Content-Security-Policy
Header bảo mật năm 2026: 3 trên 4 website không có Content-Security-Policy
Header bảo mật là vài dòng trong phản hồi của máy chủ, cho trình duyệt biết cần nghiêm ngặt đến mức nào với một trang. Chúng không tốn chi phí để gửi, bảo vệ người truy cập trước clickjacking, nội dung hỗn hợp và chèn mã độc, và là một phần của điểm bảo mật trong mọi lượt kiểm tra của LANGR SEO. Trong dữ liệu của chúng tôi, đây cũng là mô-đun có điểm thấp nhất: trung vị 40 trên 100.
Các con số đến từ lượt kiểm tra mới nhất của 94.853 website đã phản hồi công cụ quét của chúng tôi từ tháng 4 đến tháng 10 năm 2026.
Bao nhiêu website gửi từng header
| Header | Website có gửi |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Không có header nào đạt đến một nửa số website. HSTS bị thiếu ở 58,1%, nghĩa là lần truy cập đầu tiên vẫn có thể bị hạ xuống HTTP thông thường. Thêm vào đó, 17,7% website hoàn toàn không chuyển hướng HTTP sang HTTPS.
Nền tảng của bạn quyết định phần lớn
| Nền tảng | Website | Không có Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25.703 | 83,3% |
| PrestaShop | 1.205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Không phát hiện CMS | 60.583 | 77,3% |
Shopify gửi CSP cho mọi cửa hàng, nên gần như không có website Shopify nào thiếu nó. Trên WordPress và hầu hết các hệ thống cửa hàng tự lưu trữ, header phụ thuộc vào nhà cung cấp hosting hoặc một plugin, và phần lớn website không bao giờ có chúng. Nếu bạn dùng WordPress, cấu hình hosting ở đây quan trọng hơn giao diện (theme).
Năm dòng giúp lấp phần lớn lỗ hổng
Các header này an toàn cho hầu hết mọi website và có thể được thêm vào máy chủ web, một CDN như Cloudflare hoặc một plugin bảo mật:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Content-Security-Policy cần cẩn thận hơn, vì một chính sách nghiêm ngặt có thể chặn chính các script của bạn. Hãy bắt đầu với Content-Security-Policy-Report-Only, xem nó sẽ chặn những gì, rồi chuyển sang header thật khi báo cáo đã sạch.
Header bảo mật có ảnh hưởng đến thứ hạng không?
Không trực tiếp. Google đã xác nhận HTTPS là một tín hiệu xếp hạng, nhưng không xác nhận từng header riêng lẻ. Dù vậy, trên thực tế chúng vẫn quan trọng với SEO: một website bị hack và bị chèn liên kết spam sẽ mất thứ hạng rất nhanh, và trình duyệt sẽ cảnh báo người truy cập tránh xa các trang tải nội dung không an toàn.
Chạy kiểm tra SEO miễn phí để xem chính xác website của bạn gửi những header nào, kèm cách khắc phục sẵn có cho từng header còn thiếu. Các thuật ngữ được giải thích trong SEO từ A đến Z.
Phương pháp: lượt kiểm tra đầy đủ mới nhất của mỗi tên miền, 94.853 website có kết quả header, thu thập từ tháng 4 đến tháng 10 năm 2026, chủ yếu là tên miền mới đăng ký và tên miền của doanh nghiệp nhỏ tại 15 thị trường quốc gia. Các nền tảng có dưới 100 website được loại bỏ, và không nêu tên tên miền cụ thể nào.