スタック改善ガイド · 2026年10月23日時点のスナップショット

WordPress on Cloudflare：準備状況改善ガイド

このスタックで測定した9,946サイトが適切に対応している点、不足している点、そして各不足を解消するためのWordPress on Cloudflare固有の手順。

測定対象サイト: 9,946
準備状況指数の中央値: 68/100
このスタックのプロファイル: 890

レーン別準備状況

有効化

92/100

全サイト 77

強化

54/100

全サイト 55

高速化

73/100

全サイト 63

復旧

2/100

全サイト 11

WordPress on Cloudflareの実践ガイド

影響の大きい順に並べた不足項目と、該当する場合はプラットフォーム固有の対応手順。

HSTSを1年以上維持
23%で確認 · 全サイト 31%
HTTPS レスポンスで Strict-Transport-Security を送信してください。短い max-age（例えば 300 秒）から始め、すべてのサブドメインが HTTPS で動作することを確認してから、段階的に 31536000 まで引き上げてください。includeSubDomains は、すべてのサブドメインが HTTPS に対応している場合にのみ追加してください。HSTS のプリロードは任意で、取り消しが困難です。hstspreload.org 自体も、標準では推奨していません。
Cloudflareの場合：SSL/TLS > エッジ証明書 > HTTP Strict Transport SecurityでHSTSを有効にし、max-ageを段階的に引き上げます。
ガイド：ウェブサイト所有者のための HTTPS と TLS ガイド
DMARCポリシーで隔離または拒否を強制
27%で確認 · 全サイト 31%
まずp=noneと報告先アドレスを設定したDMARCを公開し、SPFまたはDKIMのアライメントに失敗する正当な送信元を修正してから、隔離へ移行し、最後に拒否へ移行してください。
ガイド：オーナー向け実践的ウェブサイトヘルスチェック
security.txtを公開
2.5%で確認 · 全サイト 5.5%
RFC 9116の要件に従い、少なくともContactとExpiresフィールドを含む/.well-known/security.txtを公開し、有効期限が切れる前に内容を確認してください。
Cloudflareの場合：Cloudflare Security Centerは、ゾーン用のsecurity.txtファイルを配信できます。
ガイド：オーナー向け実践的ウェブサイトヘルスチェック
head要素内にレンダリングをブロックするスクリプトなし
27%で確認 · 全サイト 44%
DOM を必要とするスクリプトには defer を、アクセス解析などの独立したスクリプトには async を追加するか、body の末尾に移動してください。
WordPressの場合：WordPress 6.3以降では、deferまたはasyncの読み込み戦略でスクリプトを登録できます。
ガイド：サードパーティスクリプトがページを支配する前に制御する
CAAレコードで証明書の発行者を制限
12%で確認 · 全サイト 11%
CDNがマネージド証明書に使用する認証局も含め、実際に使用するすべての認証局を指定したCAAレコードを公開してください。報告を受け取りたい場合は、iodefの連絡先を追加してください。
Cloudflareの場合：Cloudflareは、マネージド証明書に必要な認証局を文書化しています。それらをCAAレコードに含めます。
ガイド：ウェブサイト所有者のための HTTPS と TLS ガイド
最新の画像形式を使用
47%で確認 · 全サイト 40%
画像CDNを使用するか、ビルド時に両方の形式を生成して、JPEGまたはPNGをフォールバックとして用意したうえでWebPまたはAVIFを配信してください。
WordPressの場合：WordPressは5.8以降でWebPのアップロードを、6.5以降でAVIFのアップロードをサポートしています。画像プラグインやホスティング事業者によって既存の画像を変換できます。
Cloudflareの場合：Cloudflare Polishは画像をWebPに変換できます。
ガイド：AVIF、WebP、JPEG、PNG：適切な画像フォーマットの選び方
コンテンツセキュリティポリシーあり
21%で確認 · 全サイト 31%
まずContent-Security-Policy-Report-Onlyを使用して、どの機能が正常に動作しなくなるかを確認し、数週間かけてポリシーを厳格化してから適用してください。
ガイド：支払いセキュリティとPCI DSS：ウェブサイト所有者が知っておくべきこと
DNSSEC署名済み
5.1%で確認 · 全サイト 8.1%
DNSプロバイダーでDNSSECを有効化し、レジストラでDSレコードを追加してください。プロバイダーの移行は慎重に計画してください。古いDSレコードが残っていると、ドメインの名前解決に失敗することがあります。
Cloudflareの場合：DNS > 設定でDNSSECを有効にし、レジストラでDSレコードを追加します。
ガイド：ウェブサイト稼働準備：トラフィック到来前に整える

WordPress on Cloudflareサイトが先行している点

HTTP/3の対応を公開確認された割合 83%全サイト 36%
IPv6経由でアクセス可能確認された割合 85%全サイト 44%
構造化データあり86%で確認全サイト 53%
正規URLを宣言94%で確認全サイト 70%

WordPress on Cloudflareに関する全31項目のチェック

チェック	レーン	確認済み	全サイト	測定済み
HTTPリクエストがHTTPSに移行	強化	95%	91%	9,443
HSTSを1年以上維持	強化	23%	31%	9,946
TLS 1.3をネゴシエーション済み	強化	99%	92%	9,838
証明書の残存有効期間が14日超	強化	>99%	>99%	9,838
証明書の有効期間が100日以下	強化	98%	75%	9,838
CAAレコードで証明書の発行者を制限	強化	12%	11%	9,940
DNSSEC署名済み	強化	5.1%	8.1%	9,944
security.txtを公開	強化	2.5%	5.5%	9,639
DMARCポリシーで隔離または拒否を強制	強化	27%	31%	9,946
X-Content-Type-Options: nosniff	強化	39%	48%	9,946
フレームへの埋め込みを制限	強化	32%	49%	9,946
コンテンツセキュリティポリシーあり	強化	21%	31%	9,946
Referrer-Policyを設定済み	強化	25%	23%	9,946
HTTP/2をネゴシエーション済み	高速化	>99%	89%	9,838
HTTP/3を通知済み	高速化	83%	36%	9,946
HTMLを圧縮済み	高速化	>99%	93%	9,946
静的ファイルを30日以上キャッシュ	高速化	67%	50%	9,382
最新の画像形式を使用	高速化	47%	40%	9,591
画面外の画像を遅延読み込み	高速化	69%	61%	9,230
head要素内にレンダリングをブロックするスクリプトなし	高速化	27%	44%	9,946
robots.txtを公開	有効化	97%	79%	9,700
XMLサイトマップを検出可能	有効化	95%	73%	9,887
IPv6経由でアクセス可能	有効化	85%	44%	9,945
正規URLを宣言済み	有効化	94%	70%	9,946
メタディスクリプションを記述済み	有効化	87%	82%	9,946
モバイル用ビューポートを設定済み	有効化	>99%	96%	9,946
構造化データあり	有効化	86%	53%	9,946
ソーシャルプレビュー画像を設定済み	有効化	61%	55%	9,946
ページの言語を宣言済み	有効化	99%	91%	9,946
ホームページまでのリダイレクトが最大1回	有効化	>99%	98%	9,946
ネームサーバーを複数のプロバイダーに分散	復旧	1.6%	11%	9,942

WordPress on Cloudflare：準備状況改善ガイド

レーン別準備状況

WordPress on Cloudflareの実践ガイド

HSTSを1年以上維持

DMARCポリシーで隔離または拒否を強制

security.txtを公開

head要素内にレンダリングをブロックするスクリプトなし

CAAレコードで証明書の発行者を制限

最新の画像形式を使用

コンテンツセキュリティポリシーあり

DNSSEC署名済み

WordPress on Cloudflareサイトが先行している点

WordPress on Cloudflareに関する全31項目のチェック

準備度の高いWordPress on Cloudflareサイト

関連情報