Souhrn
Ze 242 vyhodnotitelných odpovědí nemělo 100 ani jednu ze šesti sledovaných HTTP hlaviček, tedy 41,3 %. Medián skóre byl 1 a průměr 1,71 bodu ze šesti. Měření pochází z 3. srpna 2026 a nedokládá současný stav webů.
Bezpečnostní hlavičky předávají prohlížeči pravidla pro zacházení se stránkou. Studie počítá jejich přítomnost. Netestuje, zda jsou hodnoty vhodně zvolené, zda je stránka zranitelná nebo zda vyhovuje právním povinnostem.
Vzorek a nevyhodnotitelné odpovědi
Po uplatnění vylučovacích pravidel zůstalo v tomto zdroji 276 domén. Pro tuto analýzu používáme 242 plně vyhodnotitelných prohlížečových pozorování, shodných se základem související studie chování před volbou souhlasu. Zbylých 34 případů nesplňuje tuto podmínku; nepočítá se jako web bez hlaviček a nevstupuje do skóre ani do jeho podílů. Jiné studie používající jiný typ odpovědi mohou mít odlišný jmenovatel, i když pocházejí z téhož výzkumného korpusu.
Co se u šesti hlaviček měřilo
Za přítomnost každé z následujících hlaviček se přičítá jeden bod. HTTPS a přesměrování na HTTPS zůstávají samostatnými ukazateli. Všechny četnosti v tabulce mají stejný základ 242 odpovědí.
| Hlavička | Přítomná | Nezaznamenaná | Podíl přítomných |
|---|---|---|---|
| Strict-Transport-Security | 96 | 146 | 39,7 % |
| Content-Security-Policy | 64 | 178 | 26,4 % |
| X-Frame-Options | 88 | 154 | 36,4 % |
| X-Content-Type-Options | 86 | 156 | 35,5 % |
| Referrer-Policy | 50 | 192 | 20,7 % |
| Permissions-Policy | 29 | 213 | 12,0 % |
Přítomnost neznamená dostatečně přísné nastavení. Zaznamenaná CSP může připouštět širokou sadu zdrojů. Ochranu před vložením do rámu může řešit více mechanismů, takže samotná absence X-Frame-Options neprokazuje možnost útoku. Chybějící Referrer-Policy rovněž neprokazuje, že prohlížeč odesílá celou adresu: svou roli mají výchozí pravidla prohlížeče a další způsoby nastavení. Přítomnost hlavičky je proto dílčí technický ukazatel, nikoli náhrada bezpečnostního auditu.
Rozložení skóre
| Počet přítomných hlaviček | Počet odpovědí z 242 | Podíl |
|---|---|---|
| 0 | 100 | 41,3 % |
| 1 | 40 | 16,5 % |
| 2 až 3 | 53 | 21,9 % |
| 4 až 6 | 49 | 20,2 % |
Skóre nula nebo jedna má 140 z 242 odpovědí (57,9 %). Podrobnější rozdělení vyšších skóre je sloučeno, aby nebylo možné odvodit malé citlivé podskupiny. Průměr je vyšší než medián, protože část odpovědí obsahuje několik hlaviček současně. Součet hlaviček nezohledňuje jejich rozdílnou funkci ani správnost nastavení. Zaokrouhlené podíly se nemusí sečíst přesně na 100 %.
Co ukazuje model nezávislosti
Model používá naměřený podíl každé hlavičky a předpokládá, že jejich výskyt je nezávislý. Jde o popisnou srovnávací základnu pro tento vzorek. Nejde o předpoklad náhodného výběru českých firem ani o přímé určení příčiny společného výskytu hlaviček.
| Nulové skóre | Počet odpovědí |
|---|---|
| Pozorováno ze 242 | 100 |
| Očekáváno při nezávislosti | 30,76 |
Nulové skóre se vyskytuje přibližně 3,25krát častěji, než předpokládá model. Očekávaná četnost je matematická hodnota a nemusí být celé číslo. Pozorované rozložení se od této základny liší, ale analýza nedokládá, kdo hlavičky nasadil ani proč se vyskytují společně. Nepublikuje test statistické významnosti a nepřenáší výsledek na celou populaci webů. Výpočty pro malé citlivé podskupiny nejsou zveřejněny.
HTTPS je samostatná vlastnost
Příznaky HTTPS a přesměrování z HTTP na HTTPS se nezapočítávají do skóre šesti hlaviček. Jejich přesné četnosti jsou v této veřejné verzi potlačené, protože by umožnily odvodit malé bezpečnostně citlivé skupiny. Potlačený údaj se nemá vykládat jako nula nebo jako neexistující problém.
Jedno měření neukazuje změnu v čase a příznak HTTPS sám nepotvrzuje správnost certifikátu ani celkové zabezpečení aplikace.
Metodika a oddělení zdrojů
Hlavičky byly zaznamenány při načtení domovské stránky v izolovaném kontextu prohlížeče Chromium, bez interakce s lištou souhlasu. Sběrač čekal na ustálení sítě. Jde o pozorování veřejné odpovědi; neprobíhalo přihlášení, testování zranitelností ani pokus o průnik.
Přepočet publikovaný 2. října 2026 pracuje s uloženým měřením z 3. srpna 2026. Není to nový sken. Všechny podíly a modelová očekávání vznikají ze stejného vyčištěného vzorku 242 odpovědí. Jde o společný vyhodnotitelný prohlížečový základ pro hlavičky a chování před volbou souhlasu. Neověřené směsi archivních dat ani samostatná měření softwarových verzí do tohoto porovnání nevstupují.
Související studie advokátních kanceláří ukazuje dvě vlny v jiné populaci. Její podíly se s touto studií neslévají. Samostatná studie pravidel pro roboty pracuje s odpovědí na jiný koncový bod a s vlastním jmenovatelem.
Data a zdroje
Agregace jsou zveřejněné pod licencí CC BY 4.0. Obsahují počty, jmenovatele, sloučené rozložení skóre a zveřejnitelné hodnoty modelu; neobsahují domény ani jména subjektů. Výklad výchozího chování Referrer-Policy vychází z dokumentace MDN.