Руководство по стеку · Срез данных: 23 октября 2026 г.
Drupal: руководство по повышению готовности
Что реализовано правильно на 3,621 исследованных сайтах на этой платформе или фреймворке, какие есть недочёты и какие шаги с учётом специфики Drupal позволяют устранить каждый из них.
- Исследованные сайты
- 3,621
- Медианный индекс готовности
- 66/100
- Профили на этом стеке
- 309
определено по HTML и заголовкам главной страницы
все сайты: 64
сайты из топ-50K
Готовность по направлениям
Включить
79/100
Все сайты 77
Укрепить
63/100
Все сайты 55
Ускорить
60/100
Все сайты 63
Восстановить
19/100
Все сайты 11
Практическое руководство по Drupal
Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.
HSTS сохраняется не менее года
45% выявлено · все сайты 31%
Отправляйте Strict-Transport-Security в ответах по HTTPS. Начните с небольшого значения max-age (например, 300 секунд), убедитесь, что каждый поддомен работает по HTTPS, а затем поэтапно увеличивайте значение до 31536000. Добавляйте includeSubDomains только тогда, когда все поддомены используют HTTPS. Предварительная загрузка HSTS необязательна, и отменить её сложно; сам hstspreload.org не рекомендует её по умолчанию.
security.txt опубликован
7.1% выявлено · все сайты 5.5%
Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.
Руководство: Практическая проверка состояния сайта для владельцев
Используются современные форматы изображений
40% выявлено · все сайты 40%
Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.
Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения
Записи CAA ограничивают круг тех, кто может выпускать сертификаты
12% выявлено · все сайты 11%
Опубликуйте записи CAA, указав все центры сертификации, которыми вы действительно пользуетесь, включая те, которые ваша CDN использует для управляемых сертификатов. Добавьте контакт iodef, если хотите получать отчёты.
Поддержка HTTP/3 заявлена
16% выявлено · все сайты 36%
Включите HTTP/3 на вашем CDN. Браузеры автоматически переключаются на HTTP/2, поэтому риск невелик.
В разделе head нет скриптов, блокирующих отрисовку
35% выявлено · все сайты 44%
Добавьте defer к скриптам, которым нужен DOM, async — к независимым скриптам, например аналитике, или переместите их в конец раздела body.
Руководство: Управляйте сторонними скриптами, прежде чем они возьмут под контроль вашу страницу
Статические файлы кешируются на срок не менее 30 дней
52% выявлено · все сайты 50%
Для CSS, JavaScript, шрифтов и изображений с версией в имени файла (отпечатком содержимого) задайте Cache-Control: public, max-age=31536000, immutable и меняйте имя файла при каждом изменении содержимого.
Руководство: Руководство по кэшированию в браузере для владельцев сайтов
Политика DMARC требует помещения в карантин или отклонения
53% выявлено · все сайты 31%
Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.
Руководство: Практическая проверка состояния сайта для владельцев
В чём сайты на Drupal лидируют
- X-Content-Type-Options: nosniff93% выявленовсе сайты 48%
- Встраивание во фреймы ограничено91% выявленовсе сайты 49%
- Политика DMARC предписывает помещение в карантин или отклонениеобнаружено: 53%все сайты: 31%
- Канонический URL указан91% выявленовсе сайты 70%