2026 年安全标头：每 4 个网站中就有 3 个没有 Content-Security-Policy

安全标头是服务器响应中的几行内容，用来告诉浏览器应以多严格的方式处理页面。发送它们不需要任何成本，它们可以保护访客免受点击劫持、混合内容和脚本注入的威胁，也是每次 LANGR SEO 审核中安全评分的一部分。在我们的数据中，它们也是得分最低的模块：中位数仅为 40 分（满分 100）。

这些数据来自 2026 年 4 月至 10 月期间响应我们扫描器的 94,853 个网站的最新审核。

各标头的发送比例

标头	发送该标头的网站
X-Content-Type-Options	47.6%
X-Frame-Options	44.8%
Strict-Transport-Security (HSTS)	41.9%
Referrer-Policy	25.6%
Content-Security-Policy	23.5%
Permissions-Policy	8.4%

没有一个标头能覆盖一半的网站。58.1% 的网站缺少 HSTS，这意味着首次访问仍可能被降级为普通 HTTP。此外，17.7% 的网站根本没有把 HTTP 重定向到 HTTPS。

平台在很大程度上决定结果

平台	网站数	无 Content-Security-Policy
Shopify	4,411	2.6%
Squarespace	348	85.3%
WordPress	25,703	83.3%
PrestaShop	1,205	90.4%
OpenCart	455	94.3%
Wix	119	97.5%
未检测到 CMS	60,583	77.3%

Shopify 为每家商店都发送 CSP，因此几乎没有 Shopify 网站缺少它。在 WordPress 和大多数自托管商店系统上，标头取决于主机商或插件，大多数网站始终没有配置。如果你使用 WordPress，在这方面主机配置比主题更重要。

补上大部分缺口的五行配置

这些标头几乎对任何网站都是安全的，可以在 Web 服务器、Cloudflare 之类的 CDN 或安全插件中添加：

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Content-Security-Policy 需要更谨慎，因为严格的策略可能会拦截你自己的脚本。先从 Content-Security-Policy-Report-Only 开始，看看它会拦截什么，等报告干净后再切换到正式标头。

安全标头会影响排名吗？

不会直接影响。Google 已确认 HTTPS 是排名信号，但并未确认单个标头。不过在实践中它们对 SEO 依然重要：被黑并被注入垃圾链接的网站会迅速失去排名，而浏览器会警告访客远离加载不安全内容的页面。

免费运行 SEO 审核，准确查看你的网站发送了哪些标头，每个缺失的标头都附有现成的修复方案。相关术语在 SEO A 到 Z 中有解释。

方法：每个域名取最新一次完整审核，共 94,853 个有标头结果的网站，数据收集于 2026 年 4 月至 10 月，主要是 15 个国家市场中新注册的域名和小企业域名。少于 100 个网站的平台未列入，且不点名任何单个域名。