Zacznij od krytycznych ścieżek, nie od gigantycznego skanu
Wybierz pięć do dziesięciu adresów URL i zdefiniuj oczekiwany rezultat dla każdego: stronę potwierdzenia, paragon, rekord w CRM lub przekazanie do dostawcy. Uwzględnij strony publiczne i akcje, które generują przychód, budują zaufanie, generują zapotrzebowanie na wsparcie lub rodzą obowiązek prawny. Testuj jako odwiedzający w oknie niezalogowanym i na telefonie.
Jeśli krok krytyczny jest obsługiwany przez stronę trzecią, zmapuj przekazanie i kontakt wsparcia. Możesz przetestować własne przejście, ale nie możesz poświadczyć działania dostawcy. Klasyfikuj ustalenia jako blocker, istotne pogorszenie (material degradation) lub ulepszenie, aby prace kosmetyczne nie ukryły zepsutej ścieżki.
Obejmij trasy, które tworzą przychód, zaufanie, zapotrzebowanie na wsparcie lub obowiązki prawne.
Każde istotne ustalenie wymaga wskazanego właściciela i terminu.
Sprawdź dostępność użycia, a nie tylko wygląd
Dostępność oznacza, że ludzie mogą postrzegać i obsługiwać stronę różnymi metodami wprowadzania i za pomocą technologii wspomagających. Na wybranych stronach użyj klawisza Tab, aby przejść przez nawigację, menu, elementy sterujące i formularze. Sprawdź widoczny fokus klawiatury, obsługę klawiszową istotnych elementów bez myszy oraz drogę do głównej zawartości. W3C Easy Checks wskazuje fokus klawiatury i link „przejdź do treści” jako użyteczne elementy pierwszego przeglądu.
Sprawdź znaczący tekst alternatywny obrazów, tytuły stron, nagłówki, kontrast, zachowanie przy powiększeniu, alternatywy dla mediów tam, gdzie potrzeba, etykiety pól formularzy, pola wymagane i zrozumiałe komunikaty o błędach. Wyślij testowe zgłoszenie bez danych wrażliwych. To nie jest audyt zgodności: W3C ostrzega, że strony mogą przejść szybkie kontrole, a mimo to zawierać istotne bariery. Do prac o wyższym ryzyku, przebudów lub znanych problemów użyj kwalifikowanej oceny.
Przetestuj etykiety, instrukcje, błędy i rzeczywistą ścieżkę do potwierdzenia.
Tekst alternatywny powinien przekazywać cel obrazu; nagłówki powinny organizować stronę.
Sprawdź odnajdywalność bez obiecywania pozycji w wynikach
SEO pomaga wyszukiwarkom rozumieć treść i pomaga ludziom zdecydować, czy odwiedzić stronę z wyników wyszukiwania. Dla każdej priorytetowej strony przeczytaj tytuł, główny nagłówek, wstępny tekst, adres URL i linki wewnętrzne jako nowy użytkownik. Powinny jasno określać cel i prowadzić do użytecznych kolejnych kroków. Google zaleca opisowe adresy URL, użyteczną treść i opisowy tekst linków.
Jeśli używasz Google Search Console, sprawdź kluczowe adresy URL po istotnym wydaniu. Google wskazuje, że Inspekcja adresu URL (URL Inspection) może pomóc sprawdzić, jak jej robot widzi stronę i czy ma dostęp do ważnych zasobów. Popraw przypadkowe blokady, zepsute linki wewnętrzne lub niejasne ścieżki, a następnie pozostaw czas na ponowne zindeksowanie. Google nie gwarantuje indeksowania ani pozycji.
Otwieraj linki wewnętrzne będąc niezalogowanym i zapisuj strony 404, pętle i nieistotne cele.
Obserwuj dostarczanie tam, gdzie odczuwa to odwiedzający
Dostarczanie obejmuje odpowiedź serwera, obrazy, czcionki, skrypty, cache i podmioty trzecie. Uruchom przeglądarkowy test wydajności na stronach priorytetowych, a następnie powtórz główne zadanie na prawdziwym telefonie. Zwróć uwagę na opóźnione pojawianie się głównej zawartości, wolne elementy sterujące, skoki układu, nieudane zasoby lub banery blokujące zadanie. Core Web Vitals to ramy doświadczenia użytkownika od web.dev; użyj pomiarów, aby ukierunkować dochodzenie, nie zastępuj testowania ścieżek użytkownika.
Przejrzyj nowe tagi, widgety, osadzenia, czcionki i zmiany obrazów z osobą wdrażającą. Pamięć podręczna HTTP ponownie wykorzystuje wcześniejsze odpowiedzi. MDN wyjaśnia, że Cache-Control komunikuje instrukcje pamięci podręcznej, a odpowiedzi z cache mogą być świeże lub przeterminowane. Po wydaniu porównaj zwykłą i „świeżą” sesję przeglądarki, a następnie poproś właściciela technicznego o zbadanie nagłówków i reguł CDN. Unikaj globalnych zmian cache bez zrozumienia wpływu na prywatność i wydanie.
Zapisz, czy główna zawartość się pojawia, strona pozostaje stabilna i czy istotne elementy reagują.
MDN zauważa, że sam plik cookie nie czyni odpowiedzi prywatną; poproś właściciela technicznego o przegląd cache'owania spersonalizowanego.
Potwierdź podstawy bezpieczeństwa i chroń zmiany płatności
Sprawdzenie właściciela może wykryć widoczne luki; nie jest to test penetracyjny. Otwórz publiczną stronę przez HTTPS i spróbuj przez HTTP. OWASP zaleca TLS dla wszystkich stron i opisuje przekierowanie publicznego ruchu HTTP na HTTPS jako powszechne podejście. Eskaluj ostrzeżenia o certyfikacie lub mieszanej zawartości, nieoczekiwane domeny i strony HTTP, które serwują treść zamiast bezpiecznie przekierować.
Potwierdź aktualne posiadanie dostępu do publikowania, domeny, DNS, płatności, wtyczek i kopii zapasowych. Kwalifikowany specjalista ds. bezpieczeństwa lub dostawca powinien przejrzeć konfigurację TLS, łatanie, uwierzytelnianie, konfigurację serwera i logi. W przypadku płatności używaj wyłącznie zatwierdzonej przez dostawcę metody testowej lub bezpiecznego środowiska nieprodukcyjnego. Nigdy nie używaj prawdziwych danych kart płatniczych ani poświadczeń w nieformalnym teście i nie twierdz, że wizualna kontrola dowodzi zgodności z PCI.
Traktuj ostrzeżenie o certyfikacie, ostrzeżenie o niebezpiecznej zawartości lub nieoczekiwane przekierowanie jako problem zatrzymujący wydanie do czasu wyjaśnienia.
Kieruj podejrzenia o kompromitację, wymagania bezpieczeństwa i pytania dotyczące zgodności płatności do kwalifikowanych recenzentów.
Udowodnij odtwarzanie i zamknij pętlę
Wypisz, co rekonstruuje priorytetową ścieżkę: wersję aplikacji, bazę danych, przesłane media, lokalizacje konfiguracji, dostęp do DNS i domeny, ustawienia integracji i kontakty do dostawców. CISA doradza identyfikację krytycznych danych, zabezpieczenie baz danych strony i operacyjnych, zabezpieczenie kopii zapasowych i testowanie odtwarzania. Zapytaj, kiedy testowano przywracanie, co zostało przywrócone, ile to zajęło i kto może zatwierdzić przywrócenie. Trenuj bezpiecznie, gdzie to praktyczne.
Przed wydaniem określ poprzednią wersję, wyzwalacz odwrócenia, zatwierdzającego i sposoby postępowania dla DNS, cache, schematu bazy danych i zmian stron trzecich. Kopia zapasowa nie jest natychmiastowym rozwiązaniem, a rollback może nie cofnąć zewnętrznych danych lub zdarzeń płatniczych. Prowadź rejestr ustaleń, dowodów, właścicieli, dat i wyniku ponownego testu.
Rejestr zakresu, daty, wyniku i braków jest silniejszy niż „kopie zapasowe są uruchomione”.
Zweryfikuj oryginalną zawodzącą ścieżkę po poprawce w odpowiednim środowisku.