Guida operativa per lo stack · Istantanea del 23 ottobre 2026
Next.js on Cloudflare: guida operativa alla preparazione
Cosa fanno bene i 3,475 siti analizzati su questo stack, dove presentano carenze e quali interventi specifici per Next.js on Cloudflare colmano ogni lacuna.
- Siti analizzati
- 3,475
- Indice mediano di preparazione
- 72/100
- Profili su questo stack
- 543
rilevato dall'HTML e dagli header della homepage
tutti i siti: 64
siti tra i primi 50.000
Preparazione per ambito
Abilita
88/100
Tutti i siti 77
Rafforza
60/100
Tutti i siti 55
Accelera
77/100
Tutti i siti 63
Recupera
2/100
Tutti i siti 11
La guida operativa per Next.js on Cloudflare
Lacune ordinate per impatto, con l'intervento specifico per la piattaforma, ove disponibile.
HSTS mantenuto per almeno un anno
43% rilevato · tutti i siti 31%
Invia Strict-Transport-Security nelle risposte HTTPS. Inizia con un max-age breve (ad esempio 300 secondi), verifica che ogni sottodominio funzioni tramite HTTPS, quindi aumentalo gradualmente fino a 31536000. Aggiungi includeSubDomains solo quando tutti i sottodomini usano HTTPS. Il precaricamento HSTS è facoltativo e difficile da annullare; lo stesso hstspreload.org non lo consiglia come impostazione predefinita.
Su Next.js: Aggiungi l'header nell'opzione headers() di next.config.js per tutte le route.
Su Cloudflare: Abilita HSTS in SSL/TLS > Edge Certificates > HTTP Strict Transport Security e aumenta gradualmente max-age.
security.txt pubblicato
9% rilevato · tutti i siti 5.5%
Pubblica /.well-known/security.txt con almeno i campi Contact ed Expires, come richiesto dalla RFC 9116, e rivedilo prima che scada.
Su Cloudflare: Il Security Center di Cloudflare può servire un file security.txt per la zona.
Guida: Controllo pratico dello stato di salute del sito per i proprietari
Nessuno script che blocca il rendering nella sezione head
28% rilevato · tutti i siti 44%
Aggiungi defer agli script che richiedono il DOM, async a quelli indipendenti, come gli script di analisi, oppure spostali alla fine del body.
Su Next.js: Usa il componente next/script con una strategia di caricamento appropriata.
Guida: Controlla gli script di terze parti prima che controllino la tua pagina
I record CAA limitano chi può emettere certificati
13% rilevato · tutti i siti 11%
Pubblica record CAA che specifichino tutte le CA che utilizzi effettivamente, comprese quelle utilizzate dalla tua CDN per i certificati gestiti. Aggiungi un contatto iodef se desideri ricevere segnalazioni.
Su Cloudflare: Cloudflare documenta quali autorità di certificazione sono necessarie per i suoi certificati gestiti; includile nei tuoi record CAA.
La policy DMARC impone la quarantena o il rifiuto
44% rilevato · tutti i siti 31%
Pubblica prima DMARC con p=none e un indirizzo per i report, correggi eventuali mittenti legittimi che non superano l'allineamento SPF o DKIM, quindi passa a quarantine e infine a reject.
Guida: Controllo pratico dello stato di salute del sito per i proprietari
Formati di immagine moderni in uso
48% rilevato · tutti i siti 40%
Servi WebP o AVIF con un'alternativa JPEG o PNG, tramite una CDN per immagini oppure generando entrambi i formati in fase di compilazione.
Su Next.js: Il componente next/image serve automaticamente formati ottimizzati.
Su Cloudflare: Polish di Cloudflare può convertire le immagini in WebP.
Guida: AVIF, WebP, JPEG e PNG: Scegli il formato immagine giusto
DNSSEC firmato
8.3% rilevato · tutti i siti 8.1%
Abilita DNSSEC presso il tuo provider DNS, quindi aggiungi il record DS presso il tuo registrar. Pianifica con attenzione i cambi di provider: un record DS non aggiornato può impedire la risoluzione del dominio.
Su Cloudflare: Abilita DNSSEC in DNS > Settings e aggiungi il record DS presso il registrar.
Guida: Prontezza per l'uptime del sito web: prepararsi prima che arrivi il traffico
Content Security Policy presente
32% rilevato · tutti i siti 31%
Inizia con Content-Security-Policy-Report-Only per vedere cosa smetterebbe di funzionare, rendi la policy più restrittiva nell'arco di alcune settimane, quindi applicala.
Su Next.js: Next.js documenta l'uso di CSP basata su nonce con middleware.
Guida: Sicurezza dei pagamenti e PCI DSS: cosa devono sapere i proprietari di siti web
Dove i siti Next.js on Cloudflare eccellono
- Raggiungibile tramite IPv691% rilevatitutti i siti 44%
- File statici memorizzati nella cache per almeno 30 giorni86% rilevatitutti i siti 50%
- Caricamento differito delle immagini fuori schermo90% rilevatitutti i siti 61%
- HTTP/3 dichiarato65% rilevatitutti i siti 36%