WordPress on Cloudflare: guía de preparación

Preparación por área

La guía práctica de WordPress on Cloudflare

Carencias ordenadas por impacto, con el paso específico para la plataforma cuando lo haya.

1. HSTS mantenido durante al menos un año

   23% observado · todos los sitios 31%

   Envíe Strict-Transport-Security en las respuestas HTTPS. Comience con un max-age corto (por ejemplo, 300 segundos), confirme que todos los subdominios funcionan con HTTPS y luego auméntelo por etapas hasta 31536000. Añada includeSubDomains solo cuando todos los subdominios usen HTTPS. La precarga de HSTS es opcional y difícil de deshacer; el propio hstspreload.org no la recomienda de forma predeterminada.

   En Cloudflare: Habilite HSTS en SSL/TLS > Certificados de perímetro > HTTP Strict Transport Security y aumente max-age gradualmente.

   Guía: Guía de HTTPS y TLS para propietarios de sitios web

2. La política DMARC exige poner en cuarentena o rechazar

   27% observado · todos los sitios 31%

   Publique primero DMARC con p=none y una dirección para recibir informes, corrija los remitentes legítimos que no superen la alineación SPF o DKIM y, después, pase a cuarentena y, por último, a rechazo.

   Guía: Una revisión práctica de la salud del sitio web para propietarios

3. security.txt publicado

   2.5% observado · todos los sitios 5.5%

   Publique /.well-known/security.txt con, al menos, los campos Contact y Expires, como exige el RFC 9116, y revíselo antes de que caduque.

   En Cloudflare: El Centro de seguridad de Cloudflare puede servir un archivo security.txt para la zona.

   Guía: Una revisión práctica de la salud del sitio web para propietarios

4. Sin scripts que bloqueen el renderizado en la cabecera del documento

   27% observado · todos los sitios 44%

   Añada defer a los scripts que necesitan el DOM y async a los independientes, como los de analítica, o muévalos al final del cuerpo del documento.

   En WordPress: Desde WordPress 6.3, los scripts pueden registrarse con una estrategia de carga defer o async.

   Guía: Controla los scripts de terceros antes de que controlen tu página

5. Los registros CAA limitan quién puede emitir certificados

   12% observado · todos los sitios 11%

   Publique registros CAA que indiquen todas las autoridades de certificación que utiliza realmente, incluidas las que su CDN utiliza para los certificados gestionados. Añada un contacto iodef si desea recibir informes.

   En Cloudflare: Cloudflare documenta qué autoridades de certificación necesitan sus certificados gestionados; inclúyalas en sus registros CAA.

   Guía: Guía de HTTPS y TLS para propietarios de sitios web

6. Formatos de imagen modernos en uso

   47% observado · todos los sitios 40%

   Sirva WebP o AVIF con una alternativa en JPEG o PNG, ya sea mediante una CDN de imágenes o generando ambos formatos durante la compilación.

   En WordPress: WordPress admite la carga de archivos WebP desde 5.8 y de archivos AVIF desde 6.5; los plugins de imágenes o el proveedor de alojamiento pueden convertir las imágenes existentes.

   En Cloudflare: Cloudflare Polish puede convertir imágenes a WebP.

   Guía: AVIF, WebP, JPEG y PNG: elige el formato de imagen adecuado

7. Política de seguridad de contenido presente

   21% observado · todos los sitios 31%

   Empiece con Content-Security-Policy-Report-Only para ver qué dejaría de funcionar, haga la política más restrictiva durante unas semanas y, después, aplíquela.

   Guía: Seguridad de pagos y PCI DSS: Lo que necesitan saber los propietarios de sitios web

8. DNSSEC firmado

   5.1% observado · todos los sitios 8.1%

   Habilite DNSSEC en su proveedor de DNS y, a continuación, añada el registro DS en su registrador. Planifique con cuidado los cambios de proveedor: un registro DS obsoleto puede impedir que el dominio se resuelva.

   En Cloudflare: Habilite DNSSEC en DNS > Configuración y añada el registro DS en el registrador.

   Guía: Preparación para la disponibilidad del sitio web: prepárese antes de que llegue el tráfico

En qué destacan los sitios de WordPress on Cloudflare

• HTTP/3 anunciado83% observadotodos los sitios 36%
• Accesible mediante IPv685% observadotodos los sitios 44%
• Datos estructurados presentes86% observadotodos los sitios 53%
• URL canónica declarada94% observadotodos los sitios 70%

Las 31 comprobaciones en WordPress on Cloudflare

Sitios de WordPress on Cloudflare con un alto nivel de preparación

• citizen.co.za91
• ton.com.br90
• bmkg.go.id87
• freemalaysiatoday.com87
• tupi.fm86
• dictionary.com86
• gamberorosso.it86
• naftemporiki.gr85
• sociedademilitar.com.br85
• berliner-kurier.de84
• scienceblog.com83
• tamil2lyrics.com83
• thesaurus.com82
• bizimhesap.com80
• clickpetroleoegas.com.br80
• hululktaab.com80
• klickpin.com79
• mobiledokan.co79
• sport24.gr79
• tudosaladeaula.com79

Contenido relacionado