Security headers in 2026: 3 op de 4 websites hebben geen Content-Security-Policy
Security headers in 2026: 3 op de 4 websites hebben geen Content-Security-Policy
Security headers zijn een paar regels in het serverantwoord die de browser vertellen hoe streng hij met een pagina moet omgaan. Ze kosten niets om te versturen, ze beschermen bezoekers tegen clickjacking, gemengde inhoud en scriptinjectie, en ze tellen mee in de beveiligingsscore van elke audit van LANGR SEO. In onze data zijn ze ook de module met de laagste score: een mediaan van 40 van de 100.
De cijfers komen uit de meest recente audit van 94.853 websites die tussen april en oktober 2026 op onze scanner reageerden.
Hoeveel sites elke header sturen
| Header | Sites die hem sturen |
|---|---|
| X-Content-Type-Options | 47,6% |
| X-Frame-Options | 44,8% |
| Strict-Transport-Security (HSTS) | 41,9% |
| Referrer-Policy | 25,6% |
| Content-Security-Policy | 23,5% |
| Permissions-Policy | 8,4% |
Geen enkele header haalt de helft van de sites. HSTS ontbreekt bij 58,1%, wat betekent dat het eerste bezoek nog steeds kan worden teruggezet op gewoon HTTP. Daarbovenop stuurt 17,7% van de sites HTTP helemaal niet door op HTTPS.
Je platform bepaalt het grootste deel
| Platform | Sites | Geen Content-Security-Policy |
|---|---|---|
| Shopify | 4.411 | 2,6% |
| Squarespace | 348 | 85,3% |
| WordPress | 25.703 | 83,3% |
| PrestaShop | 1.205 | 90,4% |
| OpenCart | 455 | 94,3% |
| Wix | 119 | 97,5% |
| Geen CMS gedetecteerd | 60.583 | 77,3% |
Shopify stuurt voor elke webshop een CSP mee, dus vrijwel geen enkele Shopify-site mist er een. Bij WordPress en de meeste zelfgehoste webshopsystemen hangen de headers af van de hostingpartij of een plug-in, en de meeste sites krijgen ze nooit. Draai je op WordPress, dan is je hostingopzet hier belangrijker dan je thema.
De vijf regels die het grootste deel van het gat dichten
Deze headers zijn veilig voor bijna elke site en kun je toevoegen in de webserver, een CDN zoals Cloudflare of een beveiligingsplug-in:
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: SAMEORIGIN
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()Een Content-Security-Policy vraagt meer zorg, omdat een streng beleid je eigen scripts kan blokkeren. Begin met Content-Security-Policy-Report-Only, kijk wat er geblokkeerd zou worden en stap over op de echte header zodra de rapporten schoon zijn.
Hebben security headers invloed op rankings?
Niet direct. Google heeft HTTPS bevestigd als rankingsignaal, maar niet de afzonderlijke headers. In de praktijk zijn ze toch belangrijk voor SEO: een gehackte site met geïnjecteerde spamlinks verliest snel posities, en browsers waarschuwen bezoekers weg van pagina's die onveilige inhoud laden.
Doe een gratis SEO-audit om precies te zien welke headers je site stuurt, met een kant-en-klare oplossing voor elke header die ontbreekt. De begrippen worden uitgelegd in de SEO van A tot Z.
Methode: meest recente volledige audit per domein, 94.853 websites met een headerresultaat, verzameld van april tot oktober 2026, vooral nieuw geregistreerde domeinen en domeinen van kleine bedrijven in 15 landenmarkten. Platforms met minder dan 100 sites zijn weggelaten, en er wordt geen enkel domein bij naam genoemd.