Що забувають сайти: у 30% немає жодного заголовка захисту

Безпека сайту часто залежить від дрібних налаштувань, до яких не дійшли руки: відсутній заголовок, незахищений поштовий домен, плагін, який не оновлювали рік. Ми подивилися, що спільного в 215 сайтів, перевірених нашим безкоштовним сканером PromoPilot Shield, і картина виявилася буденнішою та простішою для виправлення, ніж можна очікувати.

Дані: перевірки 16.07–06.11.2026, оновлено 06.11.2026

Про вибірку

Це 215 унікальних сайтів, які власники або фахівці самі надіслали на перевірку в Shield з 16 липня по 6 листопада 2026 року. Вибірка не випадкова, тому все нижче описує нашу вибірку, а не інтернет загалом. Подробиці в розділі «Методологія» наприкінці.

Захисні заголовки: найдешевший захист, який сайти пропускають

Захисні заголовки це короткі інструкції, які сервер надсилає браузеру разом із кожною сторінкою. Вони нічого не коштують і зазвичай потребують одного рядка в конфігурації. Ось що роблять шість заголовків, які ми перевіряли:

• Strict-Transport-Security (HSTS) наказує браузерам завжди використовувати HTTPS для вашого домену, що допомагає запобігати атакам зі зниженням протоколу.
• Content-Security-Policy (CSP) перелічує джерела, з яких сторінка може завантажувати скрипти, і обмежує шкоду від підставленого коду.
• X-Frame-Options не дає іншим сайтам вбудовувати ваші сторінки в прихований фрейм (клікджекінг).
• X-Content-Type-Options забороняє браузерам вгадувати тип файлу, що закриває один зі шляхів для замаскованих скриптів.
• Referrer-Policy керує тим, яка частина адреси вашої сторінки передається іншим сайтам.
• Permissions-Policy вимикає функції браузера, як-от камеру чи геолокацію, які вашим сторінкам не потрібні.

Відсутні заголовки зазвичай трапляються пачками. Найчастіший окремий результат: жодного із шести, таких сайтів 65. Другий за частотою: усі шість, таких 38. Між ними 22 сайтам бракує одного заголовка, 26 двох, 13 трьох, 15 чотирьох і 36 п’яти. Іншими словами, сайти рідко додають заголовки по одному: у них або продумана конфігурація, або нічого.

HSTS найпоширеніший із шести, але його все одно немає у 46% сайтів (99 із 215). Content-Security-Policy найважче налаштувати правильно, тому 65% (140 із 215) зрозумілі, а от для простіших заголовків виправдань немає.

Пошта: хто може надсилати листи від вашого імені

Поштові записи живуть у DNS, а не на сайті, тому про них так часто забувають. SPF перелічує сервери, яким дозволено надсилати пошту для вашого домену. DMARC підказує серверам-отримувачам, що робити з листами, які перевірку не пройшли. Без обох записів будь-хто може надіслати лист, що виглядає так, ніби він від вас.

У нашій вибірці у 49% доменів (105 із 215) запису DMARC не було. Ще у 33% (71) він був у режимі p=none: лише збирає звіти й нічого не блокує. Разом 82% (176 із 215) без суворого DMARC (суворий DMARC: p=quarantine або p=reject). SPF бракувало у 28% (60 із 215). Для бізнесу наслідки цілком конкретні: фальшиві рахунки чи листи для скидання пароля, які ваші клієнти отримують під назвою вашого домену, а ваші справжні листи частіше потрапляють у спам.

Ще два записи майже скрізь відсутні: CAA (93%, 200 із 215) та MTA-STS (71%, 152 із 215). CAA обмежує, які центри сертифікації можуть видавати сертифікати для вашого домену; MTA-STS вимагає шифрованої доставки вхідної пошти. Обидва корисні, але для типового невеликого сайту ризик низький. DMARC ми б виправили задовго до них.

WordPress проти всіх інших

Сайти на WordPress у нашій вибірці (n=50) помітно відрізняються від решти 165 сайтів.

Це не вирок самому WordPress. Це найпопулярніша у світі CMS, а отже й найдетальніше вивчена: у відкритій базі вразливостей WordPress, на яку спирається наш сканер, є 1 797 записів про плагіни та 84 про теми. Збіги походять із застарілих версій плагінів, тем і ядра. Одне застереження щодо 4%: для плагінів і тем WordPress у сканера докладна база вразливостей, а для інших платформ він перевіряє переважно бібліотеки JavaScript і серверне ПЗ, тож розрив почасти відображає те, що ми можемо побачити, а не лише рівень безпеки кожної платформи.

Зауважте, що тут означає «вразливий компонент»: встановлена версія потрапляє в діапазон, указаний у базі. Чи можна цю ваду реально експлуатувати на цьому сайті, ми не перевіряли.

Cookie та розкриття версій

Cookie й банери сервера це дрібниці, які допомагають зловмиснику підготуватися. Серед усіх 215 сайтів:

• 21% (45) встановлюють cookie без HttpOnly, тож скрипти на сторінці можуть їх прочитати;
• 16% (35) встановлюють cookie без Secure, тож вони можуть іти відкритим HTTP;
• 19% (40) встановлюють cookie без SameSite, що послаблює захист від міжсайтових запитів;
• 17% (36) віддають заголовок X-Powered-By із версією, а 11% (24) показують версію сервера в заголовку;
• 6% (13) не перенаправляють відвідувачів з HTTP на HTTPS.

Жодна з цих речей сама по собі не є зламом. Разом вони заощаджують зловмисникові час, а закрити їх можна за лічені хвилини.

Чек-лист на 30 хвилин

1. Додайте зараз п’ять заголовків, CSP окремо (наступний крок). Приклад для Nginx (усередині блоку server):

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
   add_header X-Frame-Options "SAMEORIGIN" always;
   add_header X-Content-Type-Options "nosniff" always;
   add_header Referrer-Policy "strict-origin-when-cross-origin" always;
   add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

   Apache (.htaccess):

   Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
   Header always set X-Frame-Options "SAMEORIGIN"
   Header always set X-Content-Type-Options "nosniff"
   Header always set Referrer-Policy "strict-origin-when-cross-origin"
   Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"

   Content-Security-Policy додавайте останнім, спочатку як Content-Security-Policy-Report-Only, бо він може зламати потрібні вам скрипти.
2. Опублікуйте запис SPF, у якому перелічено лише сервіси, що справді надсилають вашу пошту.
3. Опублікуйте DMARC. Почніть із p=none та адреси для звітів, кілька тижнів читайте звіти, потім переходьте до quarantine і, нарешті, до reject.
4. Оновіть плагіни, теми та ядро, а все, чим не користуєтеся, видаліть.
5. Приховайте версію CMS і приберіть X-Powered-By (expose_php = Off прибирає X-Powered-By у PHP, server_tokens off ховає версію Nginx).
6. Установіть HttpOnly, Secure і SameSite для сесійних cookie.
7. Перенаправте весь трафік з HTTP на HTTPS постійним редиректом.

Перевіряйте результат після кожної зміни, адже неправильний заголовок може зламати вбудовування, платіжні віджети чи аналітику.

Перевірте власний сайт

Дізнатися, на якому етапі ваш сайт, можна безкоштовним сканом у PromoPilot Shield (promopilot.link/uk/security/). Це пасивна перевірка і точка відліку, а не захист сам по собі: виправляти знайдене все одно вам.

Методологія

• Джерело: перевірки безкоштовного сканера PromoPilot Shield з 16.07.2026 до 06.11.2026. Сканер пасивний: він читає відповіді сервера, DNS та HTML головної сторінки й обмеженого набору URL, без спроб проникнення.
• Одиниця: сайт (хост без www) за його останньою успішною перевіркою. З 285 запусків успішних було 272, унікальних сайтів 218; 3 ми виключили (тестові акаунти та сайти PromoPilot), лишилося 215.
• Платформа: визначена за ознаками у відповідях (generator, шляхи, заголовки): WordPress 50, Next.js 10, Shopify 7, Joomla, Wix і OpenCart по 3; для 139 платформу не визначено або вона власна. Порівнюємо лише WordPress (n=50) з усіма іншими (n=165), бо в інших груп менше ніж 20 сайтів.
• Вразливий компонент: версія плагіна, теми або ядра потрапляє в діапазон відкритої бази вразливостей WordPress (1 797 записів про плагіни та 84 про теми в нашому фіді на 06.11.2026). Це збіг за версією; експлуатацію не перевіряли.
• Шість заголовків: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy; відсутніми вважаємо ті, яких немає на головній сторінці.
• Пошта: SPF і DMARC читаємо з DNS домену. «Слабкий DMARC» означає p=none або запис без політики.
• Оцінки: шкала Shield від A+ до E та бал 0–100 зважують знахідки за рівнем ризику.
• Обмеження: вибірка не випадкова: це сайти, які власники або фахівці самі вирішили надіслати (самовідбір). Цифри описують цю вибірку, а не весь інтернет. За країнами: .com 84, .ua 24, решта менше ніж по 20, тому країни не порівнюємо. Домени не публікуємо, лише агрегати для груп від 20 сайтів.

FAQ

Які захисні заголовки обов’язкові?

Єдиного обов’язкового переліку немає, але основу закривають шість заголовків: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy і Permissions-Policy. HSTS та X-Content-Type-Options додати найпростіше, і вони рідко щось ламають. Content-Security-Policy найпотужніший, але потребує тестування, тож починайте з режиму report-only.

Чим небезпечна відсутність запису DMARC?

Без DMARC поштові сервери-отримувачі не мають інструкції, що робити з листами, які брешуть, що надійшли з вашого домену. Зловмисники можуть розсилати вашим клієнтам фішингові листи, схожі на ваші. У нашій вибірці у 49% доменів (105 із 215) запису DMARC не було, ще у 33% (71) стояв p=none, який лише стежить і нічого не блокує.

Чи небезпечний WordPress сам по собі?

Ні. У нашій вибірці різниця пов’язана з версіями плагінів, тем і ядра, а не з платформою як такою. Версія плагіна, теми або ядра збіглася з відомою вразливістю у 30% сайтів на WordPress (15 із 50) проти 4% інших сайтів (7 із 165). Оновлення та видалення невикористаних плагінів прибирають ці збіги. Частина розриву пояснюється тим, що база WordPress докладніша.

Як перевірити власний сайт?

Запустіть безкоштовний скан у PromoPilot Shield: він пасивно читає відповіді сервера, записи DNS і HTML головної сторінки та показує, яких заголовків, поштових записів бракує і що розкрито зайвого. Заголовки також можна подивитися в інструментах розробника браузера або через curl -I, а SPF і DMARC перевірити будь-яким DNS-інструментом.

Чи потрібні маленьким сайтам CAA і MTA-STS?

Зазвичай це низький пріоритет. CAA бракувало у 93% сайтів (200 із 215), а MTA-STS у 71% (152 із 215), але практичний ризик невеликий порівняно з відсутнім DMARC, застарілими плагінами чи браком HSTS. Додавайте їх, коли основа вже закрита, особливо якщо ви працюєте з чутливою поштою або платежами.

Як цитувати

PromoPilot (2026). Що забувають сайти: захисні налаштування у 215 перевірках Shield. Дані 16.07–06.11.2026. CC BY 4.0: https://promopilot.link/uploads/blog/research/site-security-0711/site-security-settings-2026-11-06.csv . Стаття: https://promopilot.link/uk/blog/shcho-zabuvayut-sajty-zakhysni-nalashtuvannya-215-perevirok

Завантажити дані

Агрегована таблиця (CSV, ліцензія CC BY 4.0): https://promopilot.link/uploads/blog/research/site-security-0711/site-security-settings-2026-11-06.csv. Містить лише відсотки, без доменів.