Руководство по стеку · Срез данных: 23 октября 2026 г.
Next.js on Vercel: руководство по повышению готовности
Что сделано правильно на 2,044 исследованных сайтах с этим стеком, в чём их недочёты и какие шаги для Next.js on Vercel устраняют каждый из них.
- Исследованные сайты
- 2,044
- Медианный индекс готовности
- 73/100
- Профили на этом стеке
- 149
определено по HTML и заголовкам главной страницы
все сайты: 64
сайты из топ-50K
Готовность по направлениям
Включить
85/100
Все сайты 77
Укрепить
69/100
Все сайты 55
Ускорить
72/100
Все сайты 63
Восстановить
5/100
Все сайты 11
Практическое руководство по Next.js on Vercel
Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.
В разделе head нет скриптов, блокирующих отрисовку
23% выявлено · все сайты 44%
Добавьте defer к скриптам, которым нужен DOM, async — к независимым скриптам, например аналитике, или переместите их в конец раздела body.
На Next.js: Используйте компонент next/script с подходящей стратегией загрузки.
Руководство: Управляйте сторонними скриптами, прежде чем они возьмут под контроль вашу страницу
security.txt опубликован
9.4% выявлено · все сайты 5.5%
Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.
Руководство: Практическая проверка состояния сайта для владельцев
Поддержка HTTP/3 заявлена
14% выявлено · все сайты 36%
Включите HTTP/3 на вашем CDN. Браузеры автоматически переключаются на HTTP/2, поэтому риск невелик.
Используются современные форматы изображений
43% выявлено · все сайты 40%
Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.
На Next.js: Компонент next/image автоматически отдаёт изображения в оптимизированных форматах.
На Vercel: Vercel Image Optimization отдаёт изображения в современных форматах.
Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения
Политика DMARC требует помещения в карантин или отклонения
47% выявлено · все сайты 31%
Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.
Руководство: Практическая проверка состояния сайта для владельцев
DNSSEC подписан
10% выявлено · все сайты 8.1%
Включите DNSSEC у своего провайдера DNS, затем добавьте запись DS у регистратора. Тщательно планируйте переход к другому провайдеру: устаревшая запись DS может привести к тому, что домен перестанет разрешаться.
Руководство: Готовность сайта к доступности: подготовьтесь до прихода трафика
Политика безопасности содержимого задана
34% выявлено · все сайты 31%
Начните с Content-Security-Policy-Report-Only, чтобы увидеть, что перестанет работать, ужесточайте политику в течение нескольких недель, а затем включите её принудительное применение.
На Next.js: В документации Next.js описана CSP на основе nonce с использованием промежуточного обработчика.
Руководство: Безопасность платежей и PCI DSS: что нужно знать владельцам сайтов
Встраивание во фреймы ограничено
46% выявлено · все сайты 49%
Отправляйте Content-Security-Policy: frame-ancestors 'self' (или список доверенных источников). X-Frame-Options: SAMEORIGIN обеспечивает защиту в старых браузерах.
На Next.js: Добавьте это в headers() в next.config.js.
Руководство: Практическая проверка состояния сайта для владельцев
В чём сайты на Next.js on Vercel лидируют
- HSTS сохраняется не менее года97% выявленовсе сайты 31%
- Статические файлы кешируются на 30 дней или большеобнаружено: 98%все сайты: 50%
- Записи CAA ограничивают круг организаций, которые могут выпускать сертификатыобнаружено: 49%все сайты: 11%
- Изображения за пределами видимой области загружаются отложеннообнаружено: 95%все сайты: 61%