X-Frame-Options 與 SEO 有關？Google John Mueller 親口確認
Google 的 John Mueller 最近確認，X-Frame-Options 是所有安全標頭（Security Headers）中，唯一對 SEO 有直接影響的一個。本文深入解析安全標頭的作用、對網站排名的影響，以及技術 SEO 審核時應如何處理。
安全標頭竟然影響 SEO？
許多 SEO 從業者在做技術審核時，往往只聚焦於網站速度、robots.txt、canonical 標籤等傳統項目，卻忽略了安全標頭（Security Headers）。
然而，Google 的 John Mueller 最近在 Reddit 的 TechSEO 版回應一位用戶的提問時明確指出，X-Frame-Options 是所有安全標頭中，唯一他認為可能對 SEO 產生影響的標頭。
原帖提問者想知道在技術 SEO 審核中，應該重點關注哪些安全標頭。Mueller 的回覆如下（原文英文）：
“The only security headers that I could imagine has an effect on SEO is blocking iframing by other sites, either with the old x-frame-options header, or the CSP frame-ancestors.”
什麼是安全標頭？
安全標頭是網絡伺服器發送給瀏覽器的 HTTP 指令，告知瀏覽器如何安全地處理內容，並防範常見的網絡攻擊，例如跨站腳本攻擊（XSS）、點擊劫持（Clickjacking）以及惡意腳本注入。
常見的安全威脅包括：
- 數據竊取：盜取用戶的敏感個人資料
- 會話劫持：偷取已登入用戶的會話權限
- 中間人攻擊：攔截瀏覽器與伺服器之間的通訊
為何 X-Frame-Options 對 SEO 如此重要？
X-Frame-Options 這個安全標頭雖然已存在近二十年，但至今仍然重要，原因在於它能阻止其他網站以 iframe 的形式嵌入並顯示你的內容。
這對 SEO 的影響非常直接：若其他網站能夠在 iframe 中顯示你的頁面內容，他們便有機會利用你的內容在 Google 排名獲益，而你的網站卻分毫未得。
設定 X-Frame-Options 標頭（或 CSP 的 frame-ancestors 指令），可以有效封堵這個漏洞，確保你辛苦建立的內容不會被他人盜用排名。
其他安全標頭：SEO 審核要不要納入？
雖然 Mueller 指出 X-Frame-Options 是唯一「直接」影響 SEO 的安全標頭，但這並不代表其他標頭可以忽視。
網站被入侵，排名必然受損。 從這個角度看，安全標頭的間接 SEO 價值不可小覷。
必須設定的安全標頭
1. Strict-Transport-Security（HSTS）
此標頭強制瀏覽器透過安全的 HTTPS 連線存取網站。Google 已將 HTTPS 列為排名因素，因此 HSTS 屬不可缺少的配置。
2. X-Content-Type-Options
將此標頭的 nosniff 指令啟用，有助防範跨站腳本攻擊（XSS），雖非萬全之策，但仍是重要防線。
3. X-Frame-Options
如上所述，防止其他網站以 iframe 嵌入你的內容，是技術 SEO 審核的必核項目。
強烈建議設定
4. Content-Security-Policy（CSP）
CSP 限制瀏覽器可以載入的內容來源，以防止跨站腳本攻擊及數據注入攻擊。此標頭配置較為複雜，但防護效果顯著。
選擇性設定
5. Referrer-Policy
控制用戶點擊外部連結時，向目標網站分享多少來源（Referrer）資訊。此設定亦可透過 HTML meta 標籤或在連結屬性中設定。
6. Permissions-Policy
限制網站可以使用哪些瀏覽器功能和硬件 API，不過此標頭在部分主流瀏覽器中尚未獲得完整支援。
WordPress 網站如何設定安全標頭？
Wix 等私有內容管理系統會自動設定安全標頭；使用 WordPress 的網站則可透過插件進行設定。
以下 WordPress 插件均支援安全標頭功能：
- All in One SEO（AIOSEO） — SEO 插件中少見支援安全標頭的選擇
- W3 Total Cache（W3TC） — 緩存插件，附帶安全標頭功能
- Really Simple Security — 專注安全的輕量插件
- Redirection — 重定向插件，亦包含安全標頭設定
值得注意的是，Sucuri Security 及 Wordfence 這兩款熱門安全插件均不提供安全標頭功能。同樣令人意外的是，廣受歡迎的 Yoast SEO 及 Rank Math 亦未有此功能，反而是 AIOSEO 將其納入其中。
免費安全標頭檢測工具： SecurityHeaders.com — 輸入你的網址，即可立即得知哪些標頭缺失或配置有誤。
技術 SEO 審核清單：安全標頭必查項目
以下是在進行技術 SEO 審核時，關於安全標頭的建議核查步驟：
- 使用 SecurityHeaders.com 掃描網站，了解現時安全標頭的設定狀況
- 確認 X-Frame-Options 已啟用（設定為
SAMEORIGIN或DENY） - 確認 HTTPS / HSTS 已正確設定，避免 Google 對 HTTP 頁面降低排名優先度
- 檢查 X-Content-Type-Options 是否已設為
nosniff - 評估 CSP 的可行性，尤其是電商或處理用戶數據的網站
- 確認網站沒有被入侵跡象，包括掃描惡意代碼及可疑外鏈
總結
雖然 John Mueller 的建議將 SEO 相關的安全標頭範圍限縮至 X-Frame-Options，但許多其他核心安全標頭同樣不可忽視。
安全標頭雖然大多不直接影響排名，但能夠保護網站免受入侵，維持用戶信任與使用體驗，間接守護網站的搜尋能見度。凡是能夠防止網站失去排名的措施，均屬 SEO 的範疇。
下次做技術 SEO 審核時，記得把安全標頭加入清單——這既是安全最佳實踐，亦是保護你的排名資產的務實選擇。
