Guia da stack · Retrato em 23 de outubro de 2026
Next.js on Cloudflare: guia de prontidão
O que os 3,475 sites avaliados nesta stack fazem bem, onde deixam a desejar e as etapas específicas de Next.js on Cloudflare que resolvem cada lacuna.
- Sites avaliados
- 3,475
- Índice mediano de prontidão
- 72/100
- Perfis nesta stack
- 543
detectado a partir do HTML e dos cabeçalhos da página inicial
todos os sites: 64
sites entre os 50 mil mais populares
Prontidão por eixo
Habilitar
88/100
Todos os sites 77
Fortalecer
60/100
Todos os sites 55
Acelerar
77/100
Todos os sites 63
Recuperar
2/100
Todos os sites 11
O roteiro de Next.js on Cloudflare
Lacunas ordenadas por impacto, com a etapa específica da plataforma quando disponível.
HSTS mantido por pelo menos um ano
43% observado · todos os sites 31%
Envie Strict-Transport-Security nas respostas HTTPS. Comece com um max-age curto (por exemplo, 300 segundos), confirme que todos os subdomínios funcionam por HTTPS e depois aumente gradualmente até 31536000. Adicione includeSubDomains somente quando todos os subdomínios usarem HTTPS. O pré-carregamento de HSTS é opcional e difícil de desfazer; o próprio hstspreload.org não o recomenda por padrão.
Em Next.js: Adicione o cabeçalho na opção headers() de next.config.js para todas as rotas.
Em Cloudflare: Habilite HSTS em SSL/TLS > Edge Certificates > HTTP Strict Transport Security e aumente max-age gradualmente.
security.txt publicado
9% observado · todos os sites 5.5%
Publique /.well-known/security.txt com pelo menos os campos Contact e Expires, conforme exigido pela RFC 9116, e revise-o antes que expire.
Em Cloudflare: O Security Center de Cloudflare pode disponibilizar um arquivo security.txt para a zona.
Guia: Verificação Prática de Saúde do Site para Proprietários
Nenhum script que bloqueie a renderização na seção head
28% observado · todos os sites 44%
Adicione defer aos scripts que precisam do DOM e async aos independentes, como os de análise de tráfego, ou mova-os para o final do body.
Em Next.js: Use o componente next/script com uma estratégia de carregamento apropriada.
Guia: Controle scripts de terceiros antes que controlem sua página
Registros CAA limitam quem pode emitir certificados
13% observado · todos os sites 11%
Publique registros CAA que indiquem todas as autoridades certificadoras que você realmente usa, incluindo as que sua CDN usa para certificados gerenciados. Adicione um contato iodef se quiser receber relatórios.
Em Cloudflare: Cloudflare documenta quais autoridades certificadoras são necessárias para seus certificados gerenciados; inclua-as nos seus registros CAA.
Política DMARC impõe quarentena ou rejeição
44% observado · todos os sites 31%
Publique DMARC com p=none e um endereço para relatórios primeiro, corrija quaisquer remetentes legítimos que falhem no alinhamento de SPF ou DKIM e, em seguida, passe para quarentena e, por fim, rejeição.
Guia: Verificação Prática de Saúde do Site para Proprietários
Formatos modernos de imagem em uso
48% observado · todos os sites 40%
Sirva WebP ou AVIF com JPEG ou PNG como alternativa de compatibilidade, por meio de uma CDN de imagens ou gerando ambos os formatos durante a compilação.
Em Next.js: O componente next/image entrega formatos otimizados automaticamente.
Em Cloudflare: O Polish de Cloudflare pode converter imagens para WebP.
Guia: AVIF, WebP, JPEG e PNG: Escolha o formato de imagem certo
DNSSEC assinado
8.3% observado · todos os sites 8.1%
Habilite DNSSEC no seu provedor de DNS e, em seguida, adicione o registro DS no seu registrador. Planeje cuidadosamente as mudanças de provedor: um registro DS desatualizado pode impedir a resolução do domínio.
Em Cloudflare: Habilite DNSSEC em DNS > Settings e adicione o registro DS no registrador.
Guia: Prontidão de Disponibilidade do Site: Prepare-se Antes do Tráfego Chegar
Política de Segurança de Conteúdo presente
32% observado · todos os sites 31%
Comece com Content-Security-Policy-Report-Only para ver o que deixaria de funcionar, torne a política mais restritiva ao longo de algumas semanas e depois passe a aplicá-la efetivamente.
Em Next.js: Next.js documenta CSP baseada em nonce com middleware.
Guia: Segurança de Pagamentos e PCI DSS: O que Proprietários de Sites Precisam Saber
Onde os sites em Next.js on Cloudflare se destacam
- Acessível via IPv691% observadostodos os sites 44%
- Arquivos estáticos armazenados em cache por 30 dias ou mais86% observadostodos os sites 50%
- Imagens fora da área visível com carregamento adiado90% observadostodos os sites 61%
- HTTP/3 anunciado65% observadostodos os sites 36%