Guide de la pile technologique · État des lieux au 23 octobre 2026
Next.js on Amazon CloudFront : guide de préparation
Ce que les 1,914 sites mesurés utilisant cette pile technologique font bien, leurs lacunes et les mesures propres à Next.js on Amazon CloudFront qui comblent chacune d’elles.
- Sites évalués
- 1,914
- Indice médian de préparation
- 69/100
- Profils utilisant cette pile technologique
- 486
détecté à partir du HTML et des en-têtes de la page d’accueil
tous les sites : 64
sites parmi les 50 000 premiers
Préparation par axe
Activer
86/100
Tous les sites 77
Renforcer
60/100
Tous les sites 55
Accélérer
74/100
Tous les sites 63
Récupérer
6/100
Tous les sites 11
Le guide pratique Next.js on Amazon CloudFront
Lacunes classées par impact, avec la mesure propre à la plateforme lorsqu’elle existe.
security.txt publié
5.8% observé · tous les sites 5.5%
Publiez /.well-known/security.txt avec au minimum les champs Contact et Expires, comme l’exige la RFC 9116, et vérifiez-le avant son expiration.
Guide : Un contrôle pratique de l’état du site pour propriétaires
HSTS conservé pendant au moins un an
49% observé · tous les sites 31%
Envoyez Strict-Transport-Security dans les réponses HTTPS. Commencez par une valeur max-age courte (par exemple 300 secondes), vérifiez que chaque sous-domaine fonctionne en HTTPS, puis augmentez-la par étapes jusqu’à 31536000. Ajoutez includeSubDomains uniquement lorsque tous les sous-domaines utilisent HTTPS. Le préchargement HSTS est facultatif et difficile à annuler ; hstspreload.org lui-même ne le recommande pas par défaut.
Sur Next.js : Ajoutez l’en-tête dans l’option headers() de next.config.js pour toutes les routes.
Sur Amazon CloudFront : Associez à chaque distribution une politique d’en-têtes de réponse incluant Strict-Transport-Security.
Les enregistrements CAA limitent les entités autorisées à émettre des certificats
12% observé · tous les sites 11%
Publiez des enregistrements CAA désignant toutes les autorités de certification que vous utilisez réellement, y compris celles que votre CDN utilise pour les certificats gérés. Ajoutez un contact iodef si vous souhaitez recevoir des rapports.
Aucun script bloquant le rendu dans l’élément head
39% observé · tous les sites 44%
Ajoutez defer aux scripts qui ont besoin du DOM, async aux scripts indépendants comme ceux d’analyse d’audience, ou déplacez-les à la fin du corps du document.
Sur Next.js : Utilisez le composant next/script avec une stratégie de chargement appropriée.
Guide : Contrôlez les scripts tiers avant qu'ils ne contrôlent votre page
Formats d’image modernes utilisés
50% observé · tous les sites 40%
Servez des images WebP ou AVIF avec une solution de repli JPEG ou PNG, soit via un CDN d’images, soit en générant les deux formats lors de la compilation.
Sur Next.js : Le composant next/image fournit automatiquement des formats optimisés.
Guide : AVIF, WebP, JPEG et PNG : choisissez le bon format d’image
DNSSEC signé
5.7% observé · tous les sites 8.1%
Activez DNSSEC chez votre fournisseur DNS, puis ajoutez l’enregistrement DS chez votre bureau d’enregistrement. Planifiez soigneusement les changements de fournisseur : un enregistrement DS obsolète peut empêcher la résolution du domaine.
Guide : Préparation à la disponibilité du site web — se préparer avant l'arrivée du trafic
Durée de validité du certificat de 100 jours ou moins
9.6% observé · tous les sites 75%
Passez dès maintenant à l’émission et au renouvellement automatisés, tant que vous avez encore le temps de les tester.
La politique DMARC impose la mise en quarantaine ou le rejet
56% observé · tous les sites 31%
Publiez d’abord DMARC avec p=none et une adresse de réception des rapports, corrigez les problèmes des expéditeurs légitimes qui échouent à l’alignement SPF ou DKIM, puis passez à quarantine et enfin à reject.
Guide : Un contrôle pratique de l’état du site pour propriétaires
Domaines dans lesquels les sites Next.js on Amazon CloudFront se distinguent
- Fichiers statiques mis en cache pendant 30 jours ou plus79% observéstous les sites 50%
- Chargement différé des images hors écran90% observéstous les sites 61%
- La politique DMARC impose la mise en quarantaine ou le rejet56% observéstous les sites 31%
- HSTS conservé pendant au moins un an49% observétous les sites 31%