Руководство по стеку · Срез данных: 23 октября 2026 г.
Next.js on Cloudflare: руководство по повышению готовности
Что сделано правильно на 3,475 исследованных сайтах с этим стеком, в чём их недочёты и какие шаги для Next.js on Cloudflare устраняют каждый из них.
- Исследованные сайты
- 3,475
- Медианный индекс готовности
- 72/100
- Профили на этом стеке
- 543
определено по HTML и заголовкам главной страницы
все сайты: 64
сайты из топ-50K
Готовность по направлениям
Включить
88/100
Все сайты 77
Укрепить
60/100
Все сайты 55
Ускорить
77/100
Все сайты 63
Восстановить
2/100
Все сайты 11
Практическое руководство по Next.js on Cloudflare
Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.
HSTS сохраняется не менее года
43% выявлено · все сайты 31%
Отправляйте Strict-Transport-Security в ответах по HTTPS. Начните с небольшого значения max-age (например, 300 секунд), убедитесь, что каждый поддомен работает по HTTPS, а затем поэтапно увеличивайте значение до 31536000. Добавляйте includeSubDomains только тогда, когда все поддомены используют HTTPS. Предварительная загрузка HSTS необязательна, и отменить её сложно; сам hstspreload.org не рекомендует её по умолчанию.
На Next.js: Добавьте заголовок в параметр headers() файла next.config.js для всех маршрутов.
На Cloudflare: Включите HSTS в разделе SSL/TLS > Пограничные сертификаты > HTTP Strict Transport Security и постепенно увеличивайте max-age.
security.txt опубликован
9% выявлено · все сайты 5.5%
Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.
На Cloudflare: Центр безопасности Cloudflare может отдавать файл security.txt для зоны.
Руководство: Практическая проверка состояния сайта для владельцев
В разделе head нет скриптов, блокирующих отрисовку
28% выявлено · все сайты 44%
Добавьте defer к скриптам, которым нужен DOM, async — к независимым скриптам, например аналитике, или переместите их в конец раздела body.
На Next.js: Используйте компонент next/script с подходящей стратегией загрузки.
Руководство: Управляйте сторонними скриптами, прежде чем они возьмут под контроль вашу страницу
Записи CAA ограничивают круг тех, кто может выпускать сертификаты
13% выявлено · все сайты 11%
Опубликуйте записи CAA, указав все центры сертификации, которыми вы действительно пользуетесь, включая те, которые ваша CDN использует для управляемых сертификатов. Добавьте контакт iodef, если хотите получать отчёты.
На Cloudflare: В документации Cloudflare указано, какие центры сертификации нужны для управляемых сертификатов; включите их в свои записи CAA.
Политика DMARC требует помещения в карантин или отклонения
44% выявлено · все сайты 31%
Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.
Руководство: Практическая проверка состояния сайта для владельцев
Используются современные форматы изображений
48% выявлено · все сайты 40%
Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.
На Next.js: Компонент next/image автоматически отдаёт изображения в оптимизированных форматах.
На Cloudflare: Cloudflare Polish может преобразовывать изображения в WebP.
Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения
DNSSEC подписан
8.3% выявлено · все сайты 8.1%
Включите DNSSEC у своего провайдера DNS, затем добавьте запись DS у регистратора. Тщательно планируйте переход к другому провайдеру: устаревшая запись DS может привести к тому, что домен перестанет разрешаться.
На Cloudflare: Включите DNSSEC в разделе DNS > Настройки и добавьте запись DS у регистратора.
Руководство: Готовность сайта к доступности: подготовьтесь до прихода трафика
Политика безопасности содержимого задана
32% выявлено · все сайты 31%
Начните с Content-Security-Policy-Report-Only, чтобы увидеть, что перестанет работать, ужесточайте политику в течение нескольких недель, а затем включите её принудительное применение.
На Next.js: В документации Next.js описана CSP на основе nonce с использованием промежуточного обработчика.
Руководство: Безопасность платежей и PCI DSS: что нужно знать владельцам сайтов
В чём сайты на Next.js on Cloudflare лидируют
- Доступен по IPv6обнаружено: 91%все сайты: 44%
- Статические файлы кешируются на 30 дней или большеобнаружено: 86%все сайты: 50%
- Изображения за пределами видимой области загружаются отложеннообнаружено: 90%все сайты: 61%
- Заявлена поддержка HTTP/3обнаружено: 65%все сайты: 36%