Руководство по стеку · Срез данных: 23 октября 2026 г.
Next.js on Amazon CloudFront: руководство по повышению готовности
Что сделано правильно на 1,914 исследованных сайтах с этим стеком, в чём их недочёты и какие шаги для Next.js on Amazon CloudFront устраняют каждый из них.
- Исследованные сайты
- 1,914
- Медианный индекс готовности
- 69/100
- Профили на этом стеке
- 486
определено по HTML и заголовкам главной страницы
все сайты: 64
сайты из топ-50K
Готовность по направлениям
Включить
86/100
Все сайты 77
Укрепить
60/100
Все сайты 55
Ускорить
74/100
Все сайты 63
Восстановить
6/100
Все сайты 11
Практическое руководство по Next.js on Amazon CloudFront
Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.
security.txt опубликован
5.8% выявлено · все сайты 5.5%
Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.
Руководство: Практическая проверка состояния сайта для владельцев
HSTS сохраняется не менее года
49% выявлено · все сайты 31%
Отправляйте Strict-Transport-Security в ответах по HTTPS. Начните с небольшого значения max-age (например, 300 секунд), убедитесь, что каждый поддомен работает по HTTPS, а затем поэтапно увеличивайте значение до 31536000. Добавляйте includeSubDomains только тогда, когда все поддомены используют HTTPS. Предварительная загрузка HSTS необязательна, и отменить её сложно; сам hstspreload.org не рекомендует её по умолчанию.
На Next.js: Добавьте заголовок в параметр headers() файла next.config.js для всех маршрутов.
На Amazon CloudFront: Привяжите к каждой конфигурации доставки политику заголовков ответа с Strict-Transport-Security.
Записи CAA ограничивают круг тех, кто может выпускать сертификаты
12% выявлено · все сайты 11%
Опубликуйте записи CAA, указав все центры сертификации, которыми вы действительно пользуетесь, включая те, которые ваша CDN использует для управляемых сертификатов. Добавьте контакт iodef, если хотите получать отчёты.
В разделе head нет скриптов, блокирующих отрисовку
39% выявлено · все сайты 44%
Добавьте defer к скриптам, которым нужен DOM, async — к независимым скриптам, например аналитике, или переместите их в конец раздела body.
На Next.js: Используйте компонент next/script с подходящей стратегией загрузки.
Руководство: Управляйте сторонними скриптами, прежде чем они возьмут под контроль вашу страницу
Используются современные форматы изображений
50% выявлено · все сайты 40%
Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.
На Next.js: Компонент next/image автоматически отдаёт изображения в оптимизированных форматах.
Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения
DNSSEC подписан
5.7% выявлено · все сайты 8.1%
Включите DNSSEC у своего провайдера DNS, затем добавьте запись DS у регистратора. Тщательно планируйте переход к другому провайдеру: устаревшая запись DS может привести к тому, что домен перестанет разрешаться.
Руководство: Готовность сайта к доступности: подготовьтесь до прихода трафика
Срок действия сертификата — 100 дней или меньше
9.6% выявлено · все сайты 75%
Перейдите на автоматический выпуск и продление уже сейчас, пока у вас ещё есть время это протестировать.
Политика DMARC требует помещения в карантин или отклонения
56% выявлено · все сайты 31%
Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.
Руководство: Практическая проверка состояния сайта для владельцев
В чём сайты на Next.js on Amazon CloudFront лидируют
- Статические файлы кешируются на 30 дней или большеобнаружено: 79%все сайты: 50%
- Изображения за пределами видимой области загружаются отложеннообнаружено: 90%все сайты: 61%
- Политика DMARC предписывает помещение в карантин или отклонениеобнаружено: 56%все сайты: 31%
- HSTS сохраняется не менее года49% выявленовсе сайты 31%