Что забывают сайты: у 30% нет ни одного заголовка защиты

Безопасность сайта часто упирается в мелочи, до которых не дошли руки: нет заголовка, почтовый домен не защищён, плагин не обновлялся год. Мы посмотрели, что общего у 215 сайтов, проверенных нашим бесплатным сканером PromoPilot Shield, и картина оказалась обычнее и поправимее, чем можно ожидать.

Данные: проверки 16.07–06.11.2026, обновлено 06.11.2026

Коротко о выборке

Это 215 уникальных сайтов, которые владельцы или специалисты сами отправили на проверку в Shield с 16 июля по 6 ноября 2026 года. Выборка не случайная, поэтому всё ниже описывает нашу выборку, а не интернет в целом. Подробности в разделе «Методология» в конце.

Защитные заголовки: самая дешёвая защита, которую пропускают

Защитные заголовки это короткие инструкции, которые сервер отправляет браузеру вместе с каждой страницей. Они ничего не стоят, и обычно на каждый нужна одна строка в конфиге. Что делают шесть проверенных нами:

• Strict-Transport-Security (HSTS) велит браузеру всегда открывать ваш домен по HTTPS и мешает атакам на понижение защиты.
• Content-Security-Policy (CSP) перечисляет источники, откуда странице можно грузить скрипты, и ограничивает ущерб от внедрённого кода.
• X-Frame-Options не даёт другим сайтам встроить ваши страницы в скрытую рамку (кликджекинг).
• X-Content-Type-Options запрещает браузеру угадывать тип файла, закрывая один из путей для замаскированных скриптов.
• Referrer-Policy задаёт, какая часть адреса вашей страницы передаётся другим сайтам.
• Permissions-Policy отключает ненужные страницам функции браузера, например камеру или геолокацию.

Отсутствие заголовков обычно идёт пачкой. Самый частый результат: нет ни одного из шести, таких сайтов 65. Вторым по частоте оказалось «есть все шесть»: 38 сайтов. Между ними: не хватает одного у 22 сайтов, двух у 26, трёх у 13, четырёх у 15 и пяти у 36. Иначе говоря, заголовки редко добавляют по одному: либо конфигурацию делали осознанно, либо её нет вовсе.

HSTS внедрён шире остальных пяти, и всё же его нет у 46% сайтов (99 из 215). Content-Security-Policy сложнее всего настроить, так что 65% (140 из 215) понятны, а вот у простых заголовков такого оправдания нет.

Почта: кто может писать от вашего имени

Почтовые записи живут в DNS, а не на сайте, поэтому о них чаще всего забывают. SPF перечисляет серверы, которым разрешено слать почту от вашего домена. DMARC подсказывает принимающим серверам, что делать с письмами, не прошедшими проверку. Без них любой может отправить письмо, выглядящее так, будто оно от вас.

В нашей выборке у 49% доменов (105 из 215) записи DMARC не было. У ещё 33% (71) она стояла в режиме p=none: он только собирает отчёты и ничего не блокирует. Итого 82% (176 из 215) без строгого DMARC (строгий DMARC: p=quarantine или p=reject). SPF не было у 28% (60 из 215). Для бизнеса последствия вполне конкретны: поддельные счета и письма «сбросить пароль», отправленные вашим клиентам от имени вашего домена, и больший шанс, что настоящие письма попадут в спам.

Ещё две записи почти везде отсутствовали: CAA (93%, 200 из 215) и MTA-STS (71%, 152 из 215). CAA ограничивает, какие центры могут выпускать сертификаты для домена; MTA-STS требует шифрованной доставки входящей почты. Иметь обе полезно, но для типичного небольшого сайта риск низкий. DMARC мы бы исправили задолго до них.

WordPress и остальные

Сайты на WordPress в нашей выборке (n=50) заметно отличаются от остальных 165.

Это не приговор самому WordPress. Это самая популярная CMS в мире, а значит и самая изученная: в открытой базе уязвимостей WordPress, на которую опирается наш сканер, 1 797 записей по плагинам и 84 по темам. Совпадения дают устаревшие версии плагинов, тем и ядра. Оговорка к 4%: для плагинов и тем WordPress у сканера подробная база уязвимостей, а у других платформ он проверяет в основном JavaScript-библиотеки и серверное ПО. Поэтому разрыв отчасти отражает то, что мы видим, а не только то, насколько безопасна платформа.

Напомним, что здесь значит «уязвимый компонент»: установленная версия попадает в диапазон из базы. Можно ли реально эксплуатировать брешь на этом сайте, мы не проверяли.

Cookies и раскрытие версий

Cookies и заголовки сервера это мелочи, которые помогают атакующему подготовиться. По всем 215 сайтам:

• у 21% (45) cookie выставлены без HttpOnly, и скрипты на странице могут их прочитать;
• у 16% (35) без Secure, и они могут уйти по обычному HTTP;
• у 19% (40) без SameSite, что ослабляет защиту от межсайтовых запросов;
• 17% (36) отдают X-Powered-By с версией, а 11% (24) показывают версию сервера в заголовке;
• 6% (13) не перенаправляют посетителей с HTTP на HTTPS.

Каждый пункт сам по себе не взлом. Вместе они экономят время атакующему, а закрываются за минуты.

Чек-лист на 30 минут

1. Добавьте пять заголовков сразу, CSP отдельно (следующий пункт). Пример для nginx (внутри блока server):

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
   add_header X-Frame-Options "SAMEORIGIN" always;
   add_header X-Content-Type-Options "nosniff" always;
   add_header Referrer-Policy "strict-origin-when-cross-origin" always;
   add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

   Apache (.htaccess):

   Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
   Header always set X-Frame-Options "SAMEORIGIN"
   Header always set X-Content-Type-Options "nosniff"
   Header always set Referrer-Policy "strict-origin-when-cross-origin"
   Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"

   Content-Security-Policy добавляйте последним и сначала как Content-Security-Policy-Report-Only: он может сломать нужные скрипты.
2. Опубликуйте SPF, где перечислены только сервисы, которые действительно шлют вашу почту.
3. Опубликуйте DMARC. Начните с p=none и адреса для отчётов, пару недель читайте отчёты, затем переходите на quarantine и в конце на reject.
4. Обновите плагины, темы и ядро, а всё неиспользуемое удалите.
5. Спрячьте версию CMS и уберите X-Powered-By (expose_php = Off убирает X-Powered-By от PHP, server_tokens off прячет версию nginx).
6. Выставьте HttpOnly, Secure и SameSite для сессионных cookie.
7. Перенаправьте весь HTTP-трафик на HTTPS постоянным редиректом.

После каждого шага проверяйте результат: неверный заголовок может сломать встраиваемые элементы, платёжные виджеты или аналитику.

Проверьте свой сайт

Узнать, где стоит ваш сайт, можно бесплатной проверкой в PromoPilot Shield (promopilot.link/security/). Это пассивная проверка и отправная точка, а не защита сама по себе: исправлять найденное всё равно вам.

Методология

• Источник: проверки бесплатного сканера PromoPilot Shield с 16.07.2026 по 06.11.2026. Сканер пассивный: читает ответы сервера, DNS и HTML главной и ограниченного набора URL, без попыток взлома.
• Единица: сайт (хост без www), берём последнюю успешную проверку. 285 запусков дали 272 успешных и 218 уникальных сайтов; мы исключили 3 (тестовые учётные записи и сайты PromoPilot), осталось 215.
• Платформа: определена по признакам в ответе (генератор, пути, заголовки): WordPress 50, Next.js 10, Shopify 7, Joomla, Wix и OpenCart по 3; у 139 платформа не определена или своя. Сравниваем только WordPress (n=50) и всех остальных (n=165): в других группах меньше 20 сайтов.
• Уязвимый компонент: версия плагина, темы или ядра совпадает с диапазоном в открытой базе уязвимостей WordPress (1 797 записей по плагинам и 84 по темам в нашей ленте на 06.11.2026). Это совпадение версий, эксплуатацию не проверяли.
• Шесть заголовков: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy; считаем отсутствие на главной.
• Почта: SPF и DMARC по DNS домена. «Слабый DMARC» значит p=none или запись без политики.
• Оценки: шкала Shield от A+ до E и балл 0–100 взвешивают найденное по уровню риска.
• Ограничения: выборка не случайная: это сайты, которые владельцы или специалисты сами отправили на проверку (самоотбор). Цифры описывают эту выборку, а не весь интернет. По странам: .com 84, .ua 24, остальные меньше 20, поэтому страны не сравниваем. Домены не публикуем, только агрегаты по группам от 20 сайтов.

Частые вопросы

Какие заголовки безопасности обязательны?

Единого обязательного списка нет, но шесть заголовков закрывают основу: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и Permissions-Policy. HSTS и X-Content-Type-Options проще всего добавить, и они редко что-то ломают. Content-Security-Policy самый мощный, но требует проверки, поэтому начните с режима report-only.

Чем опасно отсутствие DMARC?

Без DMARC почтовые серверы получателей не знают, что делать с письмами, которые ложно выдают себя за письма вашего домена. Злоумышленники могут рассылать вашим клиентам фишинг, внешне неотличимый от ваших писем. В нашей выборке у 49% доменов (105 из 215) записи DMARC не было, ещё у 33% (71) стоял режим p=none: он только собирает отчёты и ничего не блокирует.

Опасен ли WordPress сам по себе?

Нет. В нашей выборке разница связана с версиями плагинов, тем и ядра, а не с самой платформой. Версия плагина, темы или ядра совпала с известной уязвимостью у 30% сайтов на WordPress (15 из 50) против 4% у остальных (7 из 165). Обновления и удаление неиспользуемых плагинов убирают такие совпадения. Часть разрыва объясняется тем, что база по WordPress подробнее.

Как проверить свой сайт?

Запустите бесплатную проверку в PromoPilot Shield: она пассивно читает ответы сервера, DNS-записи и HTML главной страницы и показывает, каких заголовков, почтовых записей и скрытых версий не хватает. Заголовки можно посмотреть и в инструментах разработчика браузера или командой curl -I, а SPF и DMARC проверить любым DNS-сервисом.

Нужны ли CAA и MTA-STS небольшому сайту?

Обычно это низкий приоритет. CAA не было у 93% сайтов (200 из 215), MTA-STS у 71% (152 из 215), но практический риск мал по сравнению с отсутствием DMARC, устаревшими плагинами или HSTS. Добавляйте их, когда основа уже закрыта, особенно если вы работаете с важной почтой или платежами.

Как цитировать

PromoPilot (2026). Какие защитные настройки забывают сайты: 215 проверок Shield. Данные 16.07–06.11.2026. CC BY 4.0: https://promopilot.link/uploads/blog/research/site-security-0711/site-security-settings-2026-11-06.csv . Статья: https://promopilot.link/blog/kakie-zashchitnye-nastrojki-zabyvayut-sajty-215-proverok

Скачать данные

Сводная таблица (CSV, лицензия CC BY 4.0): https://promopilot.link/uploads/blog/research/site-security-0711/site-security-settings-2026-11-06.csv. Только проценты, без доменов.