دليل عمل للحزمة التقنية · لقطة بتاريخ 23 أكتوبر 2026
Next.js on Cloudflare: دليل عمل للجاهزية
ما تتقنه المواقع البالغ عددها 3,475 التي خضعت للقياس على هذه الحزمة التقنية، وأوجه قصورها، والخطوات الخاصة بـ Next.js on Cloudflare التي تسدّ كل ثغرة.
- المواقع التي شملها القياس
- 3,475
- وسيط مؤشر الجاهزية
- 72/100
- الملفات التعريفية على هذه الحزمة التقنية
- 543
تم اكتشافه من HTML الصفحة الرئيسية وترويساتها
جميع المواقع: 64
أعلى 50 ألف موقع
الجاهزية حسب المسار
تمكين
88/100
جميع المواقع 77
تحصين
60/100
جميع المواقع 55
تسريع
77/100
جميع المواقع 63
تعافي
2/100
جميع المواقع 11
دليل العمل الخاص بـ Next.js on Cloudflare
الثغرات مرتبة حسب الأثر، مع الخطوة الخاصة بالمنصة حيثما توفرت.
الاحتفاظ بـ HSTS لمدة سنة على الأقل
43% لوحظت · جميع المواقع 31%
أرسل Strict-Transport-Security في استجابات HTTPS. ابدأ بقيمة max-age قصيرة (مثل 300 ثانية)، وتأكد من أن كل نطاق فرعي يعمل عبر HTTPS، ثم ارفعها تدريجيًا إلى 31536000. أضف includeSubDomains فقط عندما تستخدم جميع النطاقات الفرعية HTTPS. التحميل المسبق لـ HSTS اختياري ويصعب التراجع عنه؛ ولا يوصي به hstspreload.org نفسه افتراضيًا.
على Next.js: أضف الترويسة في خيار headers() ضمن next.config.js لجميع المسارات.
على Cloudflare: فعّل HSTS ضمن SSL/TLS > شهادات الحافة > أمان النقل الصارم عبر HTTP، وزِد max-age تدريجيًا.
نُشر security.txt
9% لوحظت · جميع المواقع 5.5%
انشر /.well-known/security.txt مع حقلَي Contact وExpires على الأقل، كما يتطلّب RFC 9116، وراجعه قبل انتهاء صلاحيته.
على Cloudflare: يمكن لمركز الأمان في Cloudflare تقديم ملف security.txt للمنطقة.
لا توجد نصوص برمجية تعيق العرض في عنصر head
28% لوحظت · جميع المواقع 44%
أضف defer إلى النصوص البرمجية التي تحتاج إلى DOM، وasync إلى النصوص المستقلة مثل نصوص التحليلات، أو انقلها إلى نهاية جسم المستند.
على Next.js: استخدم المكوّن next/script مع استراتيجية تحميل مناسبة.
تحدّد سجلات CAA الجهات التي يمكنها إصدار الشهادات
13% لوحظت · جميع المواقع 11%
انشر سجلات CAA التي تسمّي جميع سلطات إصدار الشهادات التي تستخدمها فعليًا، بما فيها السلطات التي تستخدمها شبكة CDN لديك للشهادات المُدارة. أضف جهة اتصال iodef إذا أردت تلقّي التقارير.
على Cloudflare: يوثّق Cloudflare جهات إصدار الشهادات التي تحتاج إليها شهاداته المُدارة؛ أدرجها في سجلات CAA لديك.
تفرض سياسة DMARC العزل أو الرفض
44% لوحظت · جميع المواقع 31%
انشر DMARC مع p=none وعنوان لتلقّي التقارير أولًا، وصحّح إعدادات أي مرسلين شرعيين لا يجتازون محاذاة SPF أو DKIM، ثم انتقل إلى العزل وأخيرًا إلى الرفض.
تُستخدم تنسيقات صور حديثة
48% لوحظت · جميع المواقع 40%
قدّم WebP أو AVIF مع بديل بتنسيق JPEG أو PNG، إما عبر CDN للصور أو بإنشاء كلا التنسيقين وقت البناء.
على Next.js: يقدّم المكوّن next/image صيغًا محسّنة تلقائيًا.
على Cloudflare: يمكن لخدمة Polish من Cloudflare تحويل الصور إلى WebP.
DNSSEC موقَّع
8.3% لوحظت · جميع المواقع 8.1%
فعّل DNSSEC لدى مزوّد DNS لديك، ثم أضف سجل DS لدى مسجّل النطاق. خطّط بعناية للانتقال بين المزوّدين: فقد يتسبّب سجل DS قديم في فشل حلّ اسم النطاق.
على Cloudflare: فعّل DNSSEC ضمن DNS > الإعدادات، وأضف سجل DS لدى مسجّل النطاق.
سياسة أمن المحتوى موجودة
32% لوحظت · جميع المواقع 31%
ابدأ باستخدام Content-Security-Policy-Report-Only لمعرفة ما قد يتعطل، وشدّد السياسة على مدى بضعة أسابيع، ثم طبّقها إلزاميًا.
على Next.js: يوثّق Next.js استخدام CSP القائمة على nonce مع البرمجيات الوسيطة.
الدليل: أمن المدفوعات وPCI DSS: ما يحتاج مالكو المواقع إلى معرفته
جوانب تفوّق مواقع Next.js on Cloudflare
- يمكن الوصول إليه عبر IPv6رُصد في 91%جميع المواقع 44%
- تخزين الملفات الثابتة مؤقتًا لمدة 30 يومًا أو أكثررُصد في 86%جميع المواقع 50%
- تحميل الصور خارج نطاق العرض تحميلًا كسولًارُصد في 90%جميع المواقع 61%
- الإعلان عن HTTP/3رُصد في 65%جميع المواقع 36%