Poradnik stosu technologicznego · Stan na 23 października 2026
Next.js on Cloudflare: poradnik gotowości
Co 3,475 zbadanych witryn korzystających z tego stosu technologicznego robi dobrze, gdzie ma braki i jakie działania właściwe dla Next.js on Cloudflare pozwalają usunąć każdy z nich.
- Zbadane witryny
- 3,475
- Mediana wskaźnika gotowości
- 72/100
- Profile korzystające z tego stosu technologicznego
- 543
wykryto na podstawie HTML strony głównej i nagłówków
wszystkie witryny: 64
witryny z pierwszych 50 tys.
Gotowość według obszarów
Włącz
88/100
Wszystkie witryny 77
Wzmacniaj
60/100
Wszystkie witryny 55
Przyspiesz
77/100
Wszystkie witryny 63
Odzyskaj
2/100
Wszystkie witryny 11
Plan działań dla Next.js on Cloudflare
Braki uporządkowane według wpływu, wraz z działaniami właściwymi dla danej platformy, jeśli takie istnieją.
HSTS utrzymywane przez co najmniej rok
43% zaobserwowano · wszystkie witryny 31%
Wysyłaj Strict-Transport-Security w odpowiedziach HTTPS. Zacznij od krótkiego max-age (na przykład 300 sekund), potwierdź, że każda subdomena działa przez HTTPS, a następnie stopniowo zwiększaj tę wartość do 31536000. Dodaj includeSubDomains dopiero wtedy, gdy wszystkie subdomeny korzystają z HTTPS. Wstępne ładowanie HSTS jest opcjonalne i trudne do cofnięcia; samo hstspreload.org domyślnie go nie zaleca.
W Next.js: Dodaj nagłówek w opcji headers() pliku next.config.js dla wszystkich tras.
W Cloudflare: Włącz HSTS w sekcji SSL/TLS > Edge Certificates > HTTP Strict Transport Security i stopniowo zwiększaj max-age.
security.txt opublikowane
9% zaobserwowano · wszystkie witryny 5.5%
Opublikuj /.well-known/security.txt z co najmniej polami Contact i Expires, zgodnie z wymaganiami RFC 9116, i sprawdź go przed upływem terminu ważności.
W Cloudflare: Security Center w Cloudflare może udostępniać plik security.txt dla strefy.
Brak skryptów blokujących renderowanie w sekcji head
28% zaobserwowano · wszystkie witryny 44%
Dodaj defer do skryptów wymagających DOM, async do niezależnych skryptów, takich jak skrypty analityczne, lub przenieś je na koniec sekcji body.
W Next.js: Użyj komponentu next/script z odpowiednią strategią ładowania.
Poradnik: Kontroluj skrypty stron trzecich, zanim przejmą Twoją stronę
Rekordy CAA ograniczają krąg podmiotów mogących wystawiać certyfikaty
13% zaobserwowano · wszystkie witryny 11%
Opublikuj rekordy CAA wskazujące wszystkie urzędy certyfikacji, z których faktycznie korzystasz, w tym te, których Twoja CDN używa do certyfikatów zarządzanych. Dodaj dane kontaktowe iodef, jeśli chcesz otrzymywać raporty.
W Cloudflare: Dokumentacja Cloudflare wskazuje, jakich urzędów certyfikacji wymagają zarządzane przez tę usługę certyfikaty; uwzględnij je w swoich rekordach CAA.
Polityka DMARC wymusza kwarantannę lub odrzucenie
44% zaobserwowano · wszystkie witryny 31%
Najpierw opublikuj DMARC z p=none i adresem do raportowania, rozwiąż problemy wszystkich uprawnionych nadawców, którzy nie spełniają wymagań zgodności domen SPF lub DKIM, a następnie przejdź do kwarantanny i na koniec do odrzucania.
Nowoczesne formaty obrazów w użyciu
48% zaobserwowano · wszystkie witryny 40%
Dostarczaj WebP lub AVIF z JPEG lub PNG jako formatem zapasowym, korzystając z CDN obrazów lub generując oba formaty podczas budowania witryny.
W Next.js: Komponent next/image automatycznie dostarcza zoptymalizowane formaty.
W Cloudflare: Funkcja Polish w Cloudflare może konwertować obrazy do formatu WebP.
Poradnik: AVIF, WebP, JPEG i PNG: Wybierz właściwy format obrazu
Podpisano DNSSEC
8.3% zaobserwowano · wszystkie witryny 8.1%
Włącz DNSSEC u swojego dostawcy DNS, a następnie dodaj rekord DS u rejestratora. Starannie zaplanuj zmianę dostawcy: nieaktualny rekord DS może uniemożliwić rozwiązywanie nazwy domeny.
W Cloudflare: Włącz DNSSEC w sekcji DNS > Settings i dodaj rekord DS u rejestratora.
Poradnik: Gotowość dostępności witryny: przygotuj się zanim nadejdzie ruch
Obecna polityka Content Security Policy
32% zaobserwowano · wszystkie witryny 31%
Zacznij od Content-Security-Policy-Report-Only, aby sprawdzić, co przestałoby działać, zaostrzaj politykę przez kilka tygodni, a następnie włącz jej egzekwowanie.
W Next.js: Dokumentacja Next.js opisuje CSP oparte na nonce z użyciem oprogramowania pośredniczącego.
Poradnik: Bezpieczeństwo płatności i PCI DSS: co właściciele stron muszą wiedzieć
W czym witryny korzystające z Next.js on Cloudflare przodują
- Dostępność przez IPv6zaobserwowano 91%wszystkie witryny 44%
- Pliki statyczne przechowywane w pamięci podręcznej przez 30 dni lub dłużejzaobserwowano 86%wszystkie witryny 50%
- Obrazy poza widocznym obszarem ładowane z opóźnieniemzaobserwowano 90%wszystkie witryny 61%
- Deklarowana obsługa HTTP/3zaobserwowano 65%wszystkie witryny 36%