Guide de la pile technologique · État des lieux au 23 octobre 2026

WordPress on Cloudflare : guide de préparation

Ce que les 9,946 sites mesurés utilisant cette pile technologique font bien, leurs lacunes et les mesures propres à WordPress on Cloudflare qui comblent chacune d’elles.

Sites évalués: 9,946
Indice médian de préparation: 68/100
Profils utilisant cette pile technologique: 890

Préparation par axe

Activer

92/100

Tous les sites 77

Renforcer

54/100

Tous les sites 55

Accélérer

73/100

Tous les sites 63

Récupérer

2/100

Tous les sites 11

Le guide pratique WordPress on Cloudflare

Lacunes classées par impact, avec la mesure propre à la plateforme lorsqu’elle existe.

HSTS conservé pendant au moins un an
23% observé · tous les sites 31%
Envoyez Strict-Transport-Security dans les réponses HTTPS. Commencez par une valeur max-age courte (par exemple 300 secondes), vérifiez que chaque sous-domaine fonctionne en HTTPS, puis augmentez-la par étapes jusqu’à 31536000. Ajoutez includeSubDomains uniquement lorsque tous les sous-domaines utilisent HTTPS. Le préchargement HSTS est facultatif et difficile à annuler ; hstspreload.org lui-même ne le recommande pas par défaut.
Sur Cloudflare : Activez HSTS dans SSL/TLS > Certificats de périphérie > HTTP Strict Transport Security et augmentez progressivement max-age.
Guide : Guide HTTPS et TLS pour propriétaires de sites
La politique DMARC impose la mise en quarantaine ou le rejet
27% observé · tous les sites 31%
Publiez d’abord DMARC avec p=none et une adresse de réception des rapports, corrigez les problèmes des expéditeurs légitimes qui échouent à l’alignement SPF ou DKIM, puis passez à quarantine et enfin à reject.
Guide : Un contrôle pratique de l’état du site pour propriétaires
security.txt publié
2.5% observé · tous les sites 5.5%
Publiez /.well-known/security.txt avec au minimum les champs Contact et Expires, comme l’exige la RFC 9116, et vérifiez-le avant son expiration.
Sur Cloudflare : Le centre de sécurité de Cloudflare peut fournir un fichier security.txt pour la zone.
Guide : Un contrôle pratique de l’état du site pour propriétaires
Aucun script bloquant le rendu dans l’élément head
27% observé · tous les sites 44%
Ajoutez defer aux scripts qui ont besoin du DOM, async aux scripts indépendants comme ceux d’analyse d’audience, ou déplacez-les à la fin du corps du document.
Sur WordPress : Depuis WordPress 6.3, les scripts peuvent être enregistrés avec une stratégie de chargement defer ou async.
Guide : Contrôlez les scripts tiers avant qu'ils ne contrôlent votre page
Les enregistrements CAA limitent les entités autorisées à émettre des certificats
12% observé · tous les sites 11%
Publiez des enregistrements CAA désignant toutes les autorités de certification que vous utilisez réellement, y compris celles que votre CDN utilise pour les certificats gérés. Ajoutez un contact iodef si vous souhaitez recevoir des rapports.
Sur Cloudflare : Cloudflare indique dans sa documentation les autorités de certification nécessaires à ses certificats gérés ; incluez-les dans vos enregistrements CAA.
Guide : Guide HTTPS et TLS pour propriétaires de sites
Formats d’image modernes utilisés
47% observé · tous les sites 40%
Servez des images WebP ou AVIF avec une solution de repli JPEG ou PNG, soit via un CDN d’images, soit en générant les deux formats lors de la compilation.
Sur WordPress : WordPress prend en charge l’importation de fichiers WebP depuis 5.8 et de fichiers AVIF depuis 6.5 ; des extensions de gestion d’images ou l’hébergeur peuvent convertir les images existantes.
Sur Cloudflare : Cloudflare Polish peut convertir les images au format WebP.
Guide : AVIF, WebP, JPEG et PNG : choisissez le bon format d’image
Politique de sécurité du contenu présente
21% observé · tous les sites 31%
Commencez par Content-Security-Policy-Report-Only pour voir ce qui cesserait de fonctionner, renforcez la politique sur quelques semaines, puis appliquez-la.
Guide : Sécurité des paiements et PCI DSS : ce que les propriétaires de sites doivent savoir
DNSSEC signé
5.1% observé · tous les sites 8.1%
Activez DNSSEC chez votre fournisseur DNS, puis ajoutez l’enregistrement DS chez votre bureau d’enregistrement. Planifiez soigneusement les changements de fournisseur : un enregistrement DS obsolète peut empêcher la résolution du domaine.
Sur Cloudflare : Activez DNSSEC dans DNS > Paramètres et ajoutez l’enregistrement DS auprès du bureau d’enregistrement.
Guide : Préparation à la disponibilité du site web — se préparer avant l'arrivée du trafic

Domaines dans lesquels les sites WordPress on Cloudflare se distinguent

HTTP/3 annoncé83% observéstous les sites 36%
Accessible via IPv685% observéstous les sites 44%
Données structurées présentes86% observétous les sites 53%
URL canonique déclarée94% observétous les sites 70%

Les 31 vérifications sur WordPress on Cloudflare

Contrôle	Axe	Observé	Tous les sites	Mesuré
Les requêtes HTTP sont redirigées vers HTTPS	Renforcer	95%	91%	9,443
HSTS conservé pendant au moins un an	Renforcer	23%	31%	9,946
TLS 1.3 négocié	Renforcer	99%	92%	9,838
Le certificat reste valide plus de 14 jours	Renforcer	>99%	>99%	9,838
Durée de validité du certificat de 100 jours ou moins	Renforcer	98%	75%	9,838
Les enregistrements CAA limitent les entités autorisées à émettre des certificats	Renforcer	12%	11%	9,940
DNSSEC signé	Renforcer	5.1%	8.1%	9,944
security.txt publié	Renforcer	2.5%	5.5%	9,639
La politique DMARC impose la mise en quarantaine ou le rejet	Renforcer	27%	31%	9,946
X-Content-Type-Options: nosniff	Renforcer	39%	48%	9,946
Intégration dans des cadres restreinte	Renforcer	32%	49%	9,946
Politique de sécurité du contenu présente	Renforcer	21%	31%	9,946
Referrer-Policy défini	Renforcer	25%	23%	9,946
HTTP/2 négocié	Accélérer	>99%	89%	9,838
HTTP/3 annoncé	Accélérer	83%	36%	9,946
HTML compressé	Accélérer	>99%	93%	9,946
Fichiers statiques mis en cache pendant 30 jours ou plus	Accélérer	67%	50%	9,382
Formats d’image modernes utilisés	Accélérer	47%	40%	9,591
Images hors écran chargées à la demande	Accélérer	69%	61%	9,230
Aucun script bloquant le rendu dans l’élément head	Accélérer	27%	44%	9,946
robots.txt publié	Activer	97%	79%	9,700
Plan de site XML détectable	Activer	95%	73%	9,887
Accessible via IPv6	Activer	85%	44%	9,945
URL canonique déclarée	Activer	94%	70%	9,946
Méta-description rédigée	Activer	87%	82%	9,946
Zone d’affichage mobile configurée	Activer	>99%	96%	9,946
Données structurées présentes	Activer	86%	53%	9,946
Image d’aperçu pour les réseaux sociaux définie	Activer	61%	55%	9,946
Langue de la page déclarée	Activer	99%	91%	9,946
Au maximum une redirection vers la page d’accueil	Activer	>99%	98%	9,946
Serveurs de noms répartis entre plusieurs fournisseurs	Récupérer	1.6%	11%	9,942

Sites WordPress on Cloudflare à haut niveau de préparation

À consulter aussi

WordPress Next.js on Cloudflare WordPress on Amazon CloudFront Nuxt on Cloudflare Drupal on Cloudflare Magento / Adobe Commerce on Cloudflare PrestaShop on Cloudflare WordPress on Fastly Comparaison des clients de Cloudflare Guide du service : WordPress Guide du service : Cloudflare Tous les guides pratiques par pile technologique