Poradnik stosu technologicznego · Stan na 23 października 2026
WordPress: poradnik gotowości
Co 30,664 zbadanych witryn korzystających z tej platformy lub frameworka robi dobrze, gdzie mają braki i jakie kroki dostosowane do WordPress pozwalają wyeliminować każdy z nich.
- Zbadane witryny
- 30,664
- Mediana wskaźnika gotowości
- 64/100
- Profile korzystające z tego stosu technologicznego
- 1,964
wykryto na podstawie HTML strony głównej i nagłówków
wszystkie witryny: 64
witryny z pierwszych 50 tys.
Gotowość według obszarów
Włącz
88/100
Wszystkie witryny 77
Wzmacniaj
51/100
Wszystkie witryny 55
Przyspiesz
64/100
Wszystkie witryny 63
Odzyskaj
9/100
Wszystkie witryny 11
Plan działań dla WordPress
Braki uporządkowane według wpływu, wraz z działaniami właściwymi dla danej platformy, jeśli takie istnieją.
HSTS utrzymywane przez co najmniej rok
22% zaobserwowano · wszystkie witryny 31%
Wysyłaj Strict-Transport-Security w odpowiedziach HTTPS. Zacznij od krótkiego max-age (na przykład 300 sekund), potwierdź, że każda subdomena działa przez HTTPS, a następnie stopniowo zwiększaj tę wartość do 31536000. Dodaj includeSubDomains dopiero wtedy, gdy wszystkie subdomeny korzystają z HTTPS. Wstępne ładowanie HSTS jest opcjonalne i trudne do cofnięcia; samo hstspreload.org domyślnie go nie zaleca.
Polityka DMARC wymusza kwarantannę lub odrzucenie
25% zaobserwowano · wszystkie witryny 31%
Najpierw opublikuj DMARC z p=none i adresem do raportowania, rozwiąż problemy wszystkich uprawnionych nadawców, którzy nie spełniają wymagań zgodności domen SPF lub DKIM, a następnie przejdź do kwarantanny i na koniec do odrzucania.
security.txt opublikowane
1.9% zaobserwowano · wszystkie witryny 5.5%
Opublikuj /.well-known/security.txt z co najmniej polami Contact i Expires, zgodnie z wymaganiami RFC 9116, i sprawdź go przed upływem terminu ważności.
Brak skryptów blokujących renderowanie w sekcji head
24% zaobserwowano · wszystkie witryny 44%
Dodaj defer do skryptów wymagających DOM, async do niezależnych skryptów, takich jak skrypty analityczne, lub przenieś je na koniec sekcji body.
W WordPress: Od wersji 6.3 rozwiązania WordPress skrypty można rejestrować ze strategią ładowania defer lub async.
Poradnik: Kontroluj skrypty stron trzecich, zanim przejmą Twoją stronę
Rekordy CAA ograniczają krąg podmiotów mogących wystawiać certyfikaty
7.1% zaobserwowano · wszystkie witryny 11%
Opublikuj rekordy CAA wskazujące wszystkie urzędy certyfikacji, z których faktycznie korzystasz, w tym te, których Twoja CDN używa do certyfikatów zarządzanych. Dodaj dane kontaktowe iodef, jeśli chcesz otrzymywać raporty.
Nowoczesne formaty obrazów w użyciu
43% zaobserwowano · wszystkie witryny 40%
Dostarczaj WebP lub AVIF z JPEG lub PNG jako formatem zapasowym, korzystając z CDN obrazów lub generując oba formaty podczas budowania witryny.
W WordPress: WordPress obsługuje przesyłanie plików WebP od wersji 5.8, a plików AVIF od wersji 6.5; wtyczki do obrazów lub dostawca hostingu mogą konwertować istniejące obrazy.
Poradnik: AVIF, WebP, JPEG i PNG: Wybierz właściwy format obrazu
Obecna polityka Content Security Policy
21% zaobserwowano · wszystkie witryny 31%
Zacznij od Content-Security-Policy-Report-Only, aby sprawdzić, co przestałoby działać, zaostrzaj politykę przez kilka tygodni, a następnie włącz jej egzekwowanie.
Poradnik: Bezpieczeństwo płatności i PCI DSS: co właściciele stron muszą wiedzieć
Ograniczono osadzanie w ramkach
27% zaobserwowano · wszystkie witryny 49%
Wysyłaj Content-Security-Policy: frame-ancestors 'self' (lub listę zaufanych źródeł). X-Frame-Options: SAMEORIGIN zapewnia ochronę w starszych przeglądarkach.
W czym witryny korzystające z WordPress przodują
- Dane strukturalne obecne81% zaobserwowanowszystkie witryny 53%
- Kanoniczny URL zadeklarowany93% zaobserwowanowszystkie witryny 70%
- Mapa witryny XML możliwa do odnalezienia94% zaobserwowanowszystkie witryny 73%
- Opublikowano robots.txt96% zaobserwowanowszystkie witryny 79%