Security-заголовки в 2026 году: что реально отдают сайты

Числа здесь двух родов, и они не смешиваются.

Независимый замер. Приводится со ссылкой, датой и охватом. Доли по отдельным заголовкам сравнимы напрямую — «заголовок отдаётся или нет» одинаково считается везде. Итоговые буквенные оценки у разных инструментов считаются по-разному и напрямую не сопоставимы.

Наши проверки. С 19 марта по 27 августа 2026 года через сканер заголовков прошло 1 498 проверок по 963 хостам. Это не выборка Рунета: сюда попадают домены, которые кто-то решил проверить. Сравнение зон внутри выборки корректно, перенос уровней на «все сайты» — нет.

Отдельно 27 августа 2026 года мы запросили заголовки напрямую у 113 хостов из этой истории (59 в зоне .ru, 54 в .com).

Регулярное исследование Скотта Хелма Top 1 Million Analysis от 13 июня 2026 года охватывает 819 002 ответивших сайта из списка Tranco Top 1 Million. Доли по заголовкам:

Там же приводится распределение оценок: F — 53,9%, D — 20,3%, C — 5,0%, B — 8,8%, A — 7,5%, A+ — 1,3%. Больше половины веба по-прежнему получает F. Динамика при этом положительная: с июня 2022 года CSP более чем удвоился (79 549 → 170 057 сайтов), Referrer-Policy вырос втрое.

Покрытие по 113 хостам, у которых мы запросили заголовки напрямую, рядом с топ-миллионом:

Наша выборка идёт выше топ-миллиона по всем шести заголовкам — на 10–25 процентных пунктов. Это не значит, что проверенные нами сайты защищены лучше среднего сайта в мире: это прямое следствие того, кто к нам приходит. Домен приносят в сканер безопасности те, кто уже думает о безопасности. Оговорка о смещении выборки, которую мы делаем на всех страницах, здесь получает численное подтверждение.

Практический вывод из сопоставления: порядок заголовков по распространённости почти совпадает — и там, и там реже всего отдают Permissions-Policy и Content-Security-Policy. Разница между «обычным вебом» и «теми, кто следит» — в уровне, а не в приоритетах.

Последний вердикт по каждому из 961 хоста, средний балл — 50,8 из 100:

A или A+ получают 8,1%, D или F — 65%. Наша шкала и шкала из замера выше считаются по-разному, поэтому буквы сравнивать нельзя; сопоставимы только доли по отдельным заголовкам в предыдущем разделе.

Разрыв между зонами — около четырёх баллов, и он заметно меньше разрыва между всеми и приемлемым уровнем: даже лучшая зона в выборке набирает 55 из 100. Единственный заголовок, где .ru отстаёт существенно, — HSTS (54% против 69%); он же тянет вниз оценку TLS — в отдельном замере HSTS отсутствовал у 83% российских хостов с оценкой B.

1. Начните с HSTS — самый заметный разрыв между зонами и самый дешёвый в устранении: один заголовок. Порядок и подводные камни — HSTS и HSTS Preload.
2. Добавьте X-Content-Type-Options: nosniff и Referrer-Policy — по одной строке каждый, ломают что-либо крайне редко.
3. Permissions-Policy — самый забытый заголовок в мире (12,4% в топ-миллионе). Отключите то, чем страница не пользуется: камеру, микрофон, геолокацию.
4. CSP — последним и через Report-Only. Как читать и чинить нарушения — CSP заблокировал скрипт; разобрать текущую политику — анализатором CSP.
5. Проверьте свой домен — сканер заголовков считает те же компоненты.