Security headers sa 2026: 3 sa bawat 4 na website ang walang Content-Security-Policy
Security headers sa 2026: 3 sa bawat 4 na website ang walang Content-Security-Policy
Ang security headers ay ilang linya sa sagot ng server na nagsasabi sa browser kung gaano kahigpit dapat ito sa isang page. Walang gastos ang pagpapadala nito, pinoprotektahan nito ang mga bisita laban sa clickjacking, mixed content at script injection, at bahagi ito ng security score sa bawat LANGR SEO audit. Sa datos namin, ito rin ang module na may pinakamababang score: median na 40 sa 100.
Galing ang mga numero sa pinakabagong audit ng 94,853 website na sumagot sa scanner namin mula Abril hanggang Oktubre 2026.
Ilang site ang nagpapadala ng bawat header
| Header | Mga site na nagpapadala nito |
|---|---|
| X-Content-Type-Options | 47.6% |
| X-Frame-Options | 44.8% |
| Strict-Transport-Security (HSTS) | 41.9% |
| Referrer-Policy | 25.6% |
| Content-Security-Policy | 23.5% |
| Permissions-Policy | 8.4% |
Walang kahit isang header na umaabot sa kalahati ng mga site. Wala ang HSTS sa 58.1%, ibig sabihin ay puwede pa ring ibaba sa plain HTTP ang unang pagbisita. Bukod pa riyan, 17.7% ng mga site ang hindi talaga nagre-redirect ng HTTP sa HTTPS.
Ang platform mo ang nagpapasya sa karamihan nito
| Platform | Mga site | Walang Content-Security-Policy |
|---|---|---|
| Shopify | 4,411 | 2.6% |
| Squarespace | 348 | 85.3% |
| WordPress | 25,703 | 83.3% |
| PrestaShop | 1,205 | 90.4% |
| OpenCart | 455 | 94.3% |
| Wix | 119 | 97.5% |
| Walang natukoy na CMS | 60,583 | 77.3% |
Nagpapadala ang Shopify ng CSP para sa bawat shop, kaya halos walang Shopify site na kulang nito. Sa WordPress at karamihan ng self-hosted na shop system, nakadepende ang mga header sa host o sa isang plugin, at karamihan ng site ay hindi kailanman nagkakaroon nito. Kung WordPress ang gamit mo, mas mahalaga rito ang hosting setup mo kaysa sa theme mo.
Ang limang linya na nagsasara sa malaking bahagi ng kakulangan
Ligtas ang mga header na ito para sa halos lahat ng site at puwedeng idagdag sa web server, sa CDN tulad ng Cloudflare o sa isang security plugin:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Mas maingat dapat sa Content-Security-Policy, dahil puwedeng i-block ng mahigpit na policy ang sarili mong mga script. Magsimula sa Content-Security-Policy-Report-Only, tingnan kung ano ang iba-block nito, at lumipat sa totoong header kapag malinis na ang mga report.
Nakakaapekto ba ang security headers sa ranking?
Hindi direkta. Kinumpirma ng Google na ranking signal ang HTTPS, pero hindi ang bawat header. Mahalaga pa rin ang mga ito sa SEO sa praktika: mabilis mawalan ng ranking ang na-hack na site na may naka-inject na spam link, at binabalaan ng mga browser ang mga bisita na lumayo sa mga page na naglo-load ng hindi ligtas na content.
Magpatakbo ng libreng SEO audit para makita kung aling mga header mismo ang ipinapadala ng site mo, kasama ang handang solusyon para sa bawat kulang. Ipinapaliwanag ang mga termino sa SEO A hanggang Z.
Pamamaraan: pinakabagong kumpletong audit bawat domain, 94,853 website na may header result, nakolekta mula Abril hanggang Oktubre 2026, karamihan ay mga bagong rehistradong domain at domain ng maliliit na negosyo sa 15 country market. Hindi isinama ang mga platform na may mas kaunti sa 100 site, at walang partikular na domain na pinangalanan.