Руководство по стеку · Срез данных: 23 октября 2026 г.
WordPress: руководство по повышению готовности
Что реализовано правильно на 30,664 исследованных сайтах на этой платформе или фреймворке, какие есть недочёты и какие шаги с учётом специфики WordPress позволяют устранить каждый из них.
- Исследованные сайты
- 30,664
- Медианный индекс готовности
- 64/100
- Профили на этом стеке
- 1,964
определено по HTML и заголовкам главной страницы
все сайты: 64
сайты из топ-50K
Готовность по направлениям
Включить
88/100
Все сайты 77
Укрепить
51/100
Все сайты 55
Ускорить
64/100
Все сайты 63
Восстановить
9/100
Все сайты 11
Практическое руководство по WordPress
Недочёты упорядочены по степени влияния; где возможно, указан шаг для конкретной платформы.
HSTS сохраняется не менее года
22% выявлено · все сайты 31%
Отправляйте Strict-Transport-Security в ответах по HTTPS. Начните с небольшого значения max-age (например, 300 секунд), убедитесь, что каждый поддомен работает по HTTPS, а затем поэтапно увеличивайте значение до 31536000. Добавляйте includeSubDomains только тогда, когда все поддомены используют HTTPS. Предварительная загрузка HSTS необязательна, и отменить её сложно; сам hstspreload.org не рекомендует её по умолчанию.
Политика DMARC требует помещения в карантин или отклонения
25% выявлено · все сайты 31%
Сначала опубликуйте DMARC с p=none и адресом для отчётов, устраните проблемы у всех легитимных отправителей, не проходящих проверку согласования SPF или DKIM, затем перейдите к quarantine и, наконец, к reject.
Руководство: Практическая проверка состояния сайта для владельцев
security.txt опубликован
1.9% выявлено · все сайты 5.5%
Опубликуйте /.well-known/security.txt как минимум с полями Contact и Expires, как требует RFC 9116, и проверьте его до истечения срока действия.
Руководство: Практическая проверка состояния сайта для владельцев
В разделе head нет скриптов, блокирующих отрисовку
24% выявлено · все сайты 44%
Добавьте defer к скриптам, которым нужен DOM, async — к независимым скриптам, например аналитике, или переместите их в конец раздела body.
На WordPress: Начиная с WordPress 6.3, скрипты можно регистрировать со стратегией загрузки defer или async.
Руководство: Управляйте сторонними скриптами, прежде чем они возьмут под контроль вашу страницу
Записи CAA ограничивают круг тех, кто может выпускать сертификаты
7.1% выявлено · все сайты 11%
Опубликуйте записи CAA, указав все центры сертификации, которыми вы действительно пользуетесь, включая те, которые ваша CDN использует для управляемых сертификатов. Добавьте контакт iodef, если хотите получать отчёты.
Используются современные форматы изображений
43% выявлено · все сайты 40%
Отдавайте WebP или AVIF с резервным вариантом в JPEG или PNG — через CDN для изображений либо генерируя оба формата при сборке.
На WordPress: WordPress поддерживает загрузку WebP начиная с 5.8, а AVIF — с 6.5; плагины для изображений или хостинг-провайдер могут преобразовать существующие изображения.
Руководство: AVIF, WebP, JPEG и PNG: как выбрать правильный формат изображения
Политика безопасности содержимого задана
21% выявлено · все сайты 31%
Начните с Content-Security-Policy-Report-Only, чтобы увидеть, что перестанет работать, ужесточайте политику в течение нескольких недель, а затем включите её принудительное применение.
Руководство: Безопасность платежей и PCI DSS: что нужно знать владельцам сайтов
Встраивание во фреймы ограничено
27% выявлено · все сайты 49%
Отправляйте Content-Security-Policy: frame-ancestors 'self' (или список доверенных источников). X-Frame-Options: SAMEORIGIN обеспечивает защиту в старых браузерах.
Руководство: Практическая проверка состояния сайта для владельцев
В чём сайты на WordPress лидируют
- Структурированные данные присутствуют81% выявленовсе сайты 53%
- Канонический URL указан93% выявленовсе сайты 70%
- XML-карта сайта доступна для обнаружения94% выявленовсе сайты 73%
- robots.txt опубликован96% выявленовсе сайты 79%