WordPress on Cloudflare: руководство по повышению готовности

Готовность по направлениям

Практическое руководство по WordPress on Cloudflare

Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.

1. HSTS сохраняется не менее года

   23% выявлено · все сайты 31%

   Отправляйте Strict-Transport-Security в ответах по HTTPS. Начните с небольшого значения max-age (например, 300 секунд), убедитесь, что каждый поддомен работает по HTTPS, а затем поэтапно увеличивайте значение до 31536000. Добавляйте includeSubDomains только тогда, когда все поддомены используют HTTPS. Предварительная загрузка HSTS необязательна, и отменить её сложно; сам hstspreload.org не рекомендует её по умолчанию.

   На Cloudflare: Включите HSTS в разделе SSL/TLS > Пограничные сертификаты > HTTP Strict Transport Security и постепенно увеличивайте max-age.

   Руководство: HTTPS и TLS: руководство для владельцев сайтов

2. Политика DMARC требует помещения в карантин или отклонения

   27% выявлено · все сайты 31%

   Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.

   Руководство: Практическая проверка состояния сайта для владельцев

3. security.txt опубликован

   2.5% выявлено · все сайты 5.5%

   Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.

   На Cloudflare: Центр безопасности Cloudflare может отдавать файл security.txt для зоны.

   Руководство: Практическая проверка состояния сайта для владельцев

4. В разделе head нет скриптов, блокирующих отрисовку

   27% выявлено · все сайты 44%

   Добавьте defer к скриптам, которым нужен DOM, async — к независимым скриптам, например аналитике, или переместите их в конец раздела body.

   На WordPress: Начиная с WordPress 6.3, скрипты можно регистрировать со стратегией загрузки defer или async.

   Руководство: Управляйте сторонними скриптами, прежде чем они возьмут под контроль вашу страницу

5. Записи CAA ограничивают круг тех, кто может выпускать сертификаты

   12% выявлено · все сайты 11%

   Опубликуйте записи CAA, указав все центры сертификации, которыми вы действительно пользуетесь, включая те, которые ваша CDN использует для управляемых сертификатов. Добавьте контакт iodef, если хотите получать отчёты.

   На Cloudflare: В документации Cloudflare указано, какие центры сертификации нужны для управляемых сертификатов; включите их в свои записи CAA.

   Руководство: HTTPS и TLS: руководство для владельцев сайтов

6. Используются современные форматы изображений

   47% выявлено · все сайты 40%

   Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.

   На WordPress: WordPress поддерживает загрузку WebP начиная с 5.8, а AVIF — с 6.5; плагины для изображений или хостинг-провайдер могут преобразовать существующие изображения.

   На Cloudflare: Cloudflare Polish может преобразовывать изображения в WebP.

   Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения

7. Политика безопасности содержимого задана

   21% выявлено · все сайты 31%

   Начните с Content-Security-Policy-Report-Only, чтобы увидеть, что перестанет работать, ужесточайте политику в течение нескольких недель, а затем включите её принудительное применение.

   Руководство: Безопасность платежей и PCI DSS: что нужно знать владельцам сайтов

8. DNSSEC подписан

   5.1% выявлено · все сайты 8.1%

   Включите DNSSEC у своего провайдера DNS, затем добавьте запись DS у регистратора. Тщательно планируйте переход к другому провайдеру: устаревшая запись DS может привести к тому, что домен перестанет разрешаться.

   На Cloudflare: Включите DNSSEC в разделе DNS > Настройки и добавьте запись DS у регистратора.

   Руководство: Готовность сайта к доступности: подготовьтесь до прихода трафика

В чём сайты на WordPress on Cloudflare лидируют

• Заявлена поддержка HTTP/3обнаружено: 83%все сайты: 36%
• Доступен по IPv6обнаружено: 85%все сайты: 44%
• Структурированные данные присутствуют86% выявленовсе сайты 53%
• Канонический URL указан94% выявленовсе сайты 70%

Все 31 проверок на WordPress on Cloudflare

Сайты на WordPress on Cloudflare с высоким уровнем готовности

• citizen.co.za91
• ton.com.br90
• bmkg.go.id87
• freemalaysiatoday.com87
• tupi.fm86
• dictionary.com86
• gamberorosso.it86
• naftemporiki.gr85
• sociedademilitar.com.br85
• berliner-kurier.de84
• scienceblog.com83
• tamil2lyrics.com83
• thesaurus.com82
• bizimhesap.com80
• clickpetroleoegas.com.br80
• hululktaab.com80
• klickpin.com79
• mobiledokan.co79
• sport24.gr79
• tudosaladeaula.com79

Связанные материалы