WordPress on Cloudflare: guida operativa alla preparazione

Preparazione per ambito

La guida operativa per WordPress on Cloudflare

Lacune ordinate per impatto, con l'intervento specifico per la piattaforma, ove disponibile.

1. HSTS mantenuto per almeno un anno

   23% rilevato · tutti i siti 31%

   Invia Strict-Transport-Security nelle risposte HTTPS. Inizia con un max-age breve (ad esempio 300 secondi), verifica che ogni sottodominio funzioni tramite HTTPS, quindi aumentalo gradualmente fino a 31536000. Aggiungi includeSubDomains solo quando tutti i sottodomini usano HTTPS. Il precaricamento HSTS è facoltativo e difficile da annullare; lo stesso hstspreload.org non lo consiglia come impostazione predefinita.

   Su Cloudflare: Abilita HSTS in SSL/TLS > Edge Certificates > HTTP Strict Transport Security e aumenta gradualmente max-age.

   Guida: Guida a HTTPS e TLS per proprietari di siti web

2. La policy DMARC impone la quarantena o il rifiuto

   27% rilevato · tutti i siti 31%

   Pubblica prima DMARC con p=none e un indirizzo per i report, correggi eventuali mittenti legittimi che non superano l'allineamento SPF o DKIM, quindi passa a quarantine e infine a reject.

   Guida: Controllo pratico dello stato di salute del sito per i proprietari

3. security.txt pubblicato

   2.5% rilevato · tutti i siti 5.5%

   Pubblica /.well-known/security.txt con almeno i campi Contact ed Expires, come richiesto dalla RFC 9116, e rivedilo prima che scada.

   Su Cloudflare: Il Security Center di Cloudflare può servire un file security.txt per la zona.

   Guida: Controllo pratico dello stato di salute del sito per i proprietari

4. Nessuno script che blocca il rendering nella sezione head

   27% rilevato · tutti i siti 44%

   Aggiungi defer agli script che richiedono il DOM, async a quelli indipendenti, come gli script di analisi, oppure spostali alla fine del body.

   Su WordPress: A partire da WordPress 6.3, gli script possono essere registrati con una strategia di caricamento defer o async.

   Guida: Controlla gli script di terze parti prima che controllino la tua pagina

5. I record CAA limitano chi può emettere certificati

   12% rilevato · tutti i siti 11%

   Pubblica record CAA che specifichino tutte le CA che utilizzi effettivamente, comprese quelle utilizzate dalla tua CDN per i certificati gestiti. Aggiungi un contatto iodef se desideri ricevere segnalazioni.

   Su Cloudflare: Cloudflare documenta quali autorità di certificazione sono necessarie per i suoi certificati gestiti; includile nei tuoi record CAA.

   Guida: Guida a HTTPS e TLS per proprietari di siti web

6. Formati di immagine moderni in uso

   47% rilevato · tutti i siti 40%

   Servi WebP o AVIF con un'alternativa JPEG o PNG, tramite una CDN per immagini oppure generando entrambi i formati in fase di compilazione.

   Su WordPress: WordPress supporta il caricamento di WebP dalla versione 5.8 e di AVIF dalla versione 6.5; i plugin per le immagini o il fornitore di hosting possono convertire le immagini esistenti.

   Su Cloudflare: Polish di Cloudflare può convertire le immagini in WebP.

   Guida: AVIF, WebP, JPEG e PNG: Scegli il formato immagine giusto

7. Content Security Policy presente

   21% rilevato · tutti i siti 31%

   Inizia con Content-Security-Policy-Report-Only per vedere cosa smetterebbe di funzionare, rendi la policy più restrittiva nell'arco di alcune settimane, quindi applicala.

   Guida: Sicurezza dei pagamenti e PCI DSS: cosa devono sapere i proprietari di siti web

8. DNSSEC firmato

   5.1% rilevato · tutti i siti 8.1%

   Abilita DNSSEC presso il tuo provider DNS, quindi aggiungi il record DS presso il tuo registrar. Pianifica con attenzione i cambi di provider: un record DS non aggiornato può impedire la risoluzione del dominio.

   Su Cloudflare: Abilita DNSSEC in DNS > Settings e aggiungi il record DS presso il registrar.

   Guida: Prontezza per l'uptime del sito web: prepararsi prima che arrivi il traffico

Dove i siti WordPress on Cloudflare eccellono

• HTTP/3 dichiarato83% rilevatitutti i siti 36%
• Raggiungibile tramite IPv685% rilevatitutti i siti 44%
• Dati strutturati presenti86% rilevatotutti i siti 53%
• URL canonico dichiarato94% rilevatotutti i siti 70%

Tutte le 31 verifiche su WordPress on Cloudflare

Siti WordPress on Cloudflare con un elevato livello di preparazione

• citizen.co.za91
• ton.com.br90
• bmkg.go.id87
• freemalaysiatoday.com87
• tupi.fm86
• dictionary.com86
• gamberorosso.it86
• naftemporiki.gr85
• sociedademilitar.com.br85
• berliner-kurier.de84
• scienceblog.com83
• tamil2lyrics.com83
• thesaurus.com82
• bizimhesap.com80
• clickpetroleoegas.com.br80
• hululktaab.com80
• klickpin.com79
• mobiledokan.co79
• sport24.gr79
• tudosaladeaula.com79

Correlati