Руководство по стеку · Срез данных: 23 октября 2026 г.
Next.js: руководство по повышению готовности
Что реализовано правильно на 11,061 исследованных сайтах на этой платформе или фреймворке, какие есть недочёты и какие шаги с учётом специфики Next.js позволяют устранить каждый из них.
- Исследованные сайты
- 11,061
- Медианный индекс готовности
- 70/100
- Профили на этом стеке
- 1,842
определено по HTML и заголовкам главной страницы
все сайты: 64
сайты из топ-50K
Готовность по направлениям
Включить
84/100
Все сайты 77
Укрепить
61/100
Все сайты 55
Ускорить
72/100
Все сайты 63
Восстановить
7/100
Все сайты 11
Практическое руководство по Next.js
Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.
security.txt опубликован
7.4% выявлено · все сайты 5.5%
Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.
Руководство: Практическая проверка состояния сайта для владельцев
В разделе head нет скриптов, блокирующих отрисовку
32% выявлено · все сайты 44%
Добавьте defer к скриптам, которым нужен DOM, async — к независимым скриптам, например аналитике, или переместите их в конец раздела body.
На Next.js: Используйте компонент next/script с подходящей стратегией загрузки.
Руководство: Управляйте сторонними скриптами, прежде чем они возьмут под контроль вашу страницу
Используются современные форматы изображений
44% выявлено · все сайты 40%
Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.
На Next.js: Компонент next/image автоматически отдаёт изображения в оптимизированных форматах.
Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения
Записи CAA ограничивают круг тех, кто может выпускать сертификаты
18% выявлено · все сайты 11%
Опубликуйте записи CAA, указав все центры сертификации, которыми вы действительно пользуетесь, включая те, которые ваша CDN использует для управляемых сертификатов. Добавьте контакт iodef, если хотите получать отчёты.
HSTS сохраняется не менее года
53% выявлено · все сайты 31%
Отправляйте Strict-Transport-Security в ответах по HTTPS. Начните с небольшого значения max-age (например, 300 секунд), убедитесь, что каждый поддомен работает по HTTPS, а затем поэтапно увеличивайте значение до 31536000. Добавляйте includeSubDomains только тогда, когда все поддомены используют HTTPS. Предварительная загрузка HSTS необязательна, и отменить её сложно; сам hstspreload.org не рекомендует её по умолчанию.
На Next.js: Добавьте заголовок в параметр headers() файла next.config.js для всех маршрутов.
Политика DMARC требует помещения в карантин или отклонения
46% выявлено · все сайты 31%
Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.
Руководство: Практическая проверка состояния сайта для владельцев
DNSSEC подписан
8% выявлено · все сайты 8.1%
Включите DNSSEC у своего провайдера DNS, затем добавьте запись DS у регистратора. Тщательно планируйте переход к другому провайдеру: устаревшая запись DS может привести к тому, что домен перестанет разрешаться.
Руководство: Готовность сайта к доступности: подготовьтесь до прихода трафика
Поддержка HTTP/3 заявлена
34% выявлено · все сайты 36%
Включите HTTP/3 на вашем CDN. Браузеры автоматически переключаются на HTTP/2, поэтому риск невелик.
В чём сайты на Next.js лидируют
- Статические файлы кешируются на 30 дней или большеобнаружено: 84%все сайты: 50%
- Изображения за пределами видимой области загружаются отложеннообнаружено: 91%все сайты: 61%
- HSTS сохраняется не менее года53% выявленовсе сайты 31%
- Политика DMARC предписывает помещение в карантин или отклонениеобнаружено: 46%все сайты: 31%