Gabay sa stack · Kalagayan noong Oktubre 23, 2026
Next.js on Cloudflare: gabay sa kahandaan
Ang mga nagagawa nang tama ng 3,475 sinukat na site sa stack na ito, kung saan sila nagkukulang, at ang mga hakbang na partikular sa Next.js on Cloudflare na tumutugon sa bawat kakulangan.
- Mga site na sinukat
- 3,475
- Median na indeks ng kahandaan
- 72/100
- Mga profile sa stack na ito
- 543
natukoy mula sa HTML at mga header ng homepage
lahat ng site: 64
mga site sa nangungunang 50K
Kahandaan ayon sa lane
Payagan
88/100
Lahat ng site 77
Patibayin
60/100
Lahat ng site 55
Pabilisin
77/100
Lahat ng site 63
Bumawi
2/100
Lahat ng site 11
Ang gabay sa pagkilos para sa Next.js on Cloudflare
Mga kakulangan na inayos ayon sa epekto, kasama ang hakbang na partikular sa platform kung mayroon.
Pinananatili ang HSTS nang hindi bababa sa isang taon
43% naobserbahan · lahat ng site 31%
Magpadala ng Strict-Transport-Security sa mga HTTPS response. Magsimula sa maikling max-age (halimbawa, 300 segundo), tiyaking gumagana ang bawat subdomain sa HTTPS, saka ito unti-unting itaas hanggang 31536000. Idagdag lamang ang includeSubDomains kapag gumagamit ng HTTPS ang lahat ng subdomain. Opsyonal ang HSTS preload at mahirap itong bawiin; hindi ito inirerekomenda ng mismong hstspreload.org bilang default.
Sa Next.js: Idagdag ang header sa opsyong headers() ng next.config.js para sa lahat ng route.
Sa Cloudflare: I-enable ang HSTS sa SSL/TLS > Edge Certificates > HTTP Strict Transport Security at unti-unting taasan ang max-age.
Nailathala ang security.txt
9% naobserbahan · lahat ng site 5.5%
Ilathala ang /.well-known/security.txt na may kahit man lang mga field na Contact at Expires, gaya ng hinihingi ng RFC 9116, at suriin ito bago ito mag-expire.
Sa Cloudflare: Maaaring maghatid ang Cloudflare Security Center ng file na security.txt para sa zone.
Gabay: Isang Praktikal na Website Health Check para sa mga May-ari
Walang mga script na humaharang sa pag-render sa head
28% naobserbahan · lahat ng site 44%
Magdagdag ng defer sa mga script na nangangailangan ng DOM, ng async sa mga independiyenteng script gaya ng analytics, o ilipat ang mga ito sa dulo ng body.
Sa Next.js: Gamitin ang component na next/script na may angkop na estratehiya sa pag-load.
Gabay: Kontrolin ang mga third-party script Bago Pa Nila Kontrolin ang Iyong Pahina
Nililimitahan ng mga CAA record kung sino ang maaaring mag-isyu ng mga sertipiko
13% naobserbahan · lahat ng site 11%
Maglathala ng mga CAA record na tumutukoy sa bawat CA na aktuwal mong ginagamit, kabilang ang mga CA na ginagamit ng iyong CDN para sa mga pinamamahalaang sertipiko. Magdagdag ng iodef contact kung gusto mong makatanggap ng mga ulat.
Sa Cloudflare: Idinodokumento ng Cloudflare kung aling mga CA ang kailangan ng mga pinamamahalaan nitong certificate; isama ang mga ito sa iyong mga CAA record.
Ipinapatupad ng patakaran ng DMARC ang pag-quarantine o pagtanggi
44% naobserbahan · lahat ng site 31%
Ilathala muna ang DMARC na may p=none at isang address para sa mga ulat, ayusin ang sinumang lehitimong nagpadala na hindi pumapasa sa SPF o DKIM alignment, pagkatapos ay lumipat sa quarantine at sa huli ay reject.
Gabay: Isang Praktikal na Website Health Check para sa mga May-ari
Gumagamit ng mga modernong format ng larawan
48% naobserbahan · lahat ng site 40%
Maghatid ng WebP o AVIF na may JPEG o PNG bilang fallback, sa pamamagitan ng image CDN o sa pamamagitan ng pagbuo ng parehong format sa oras ng build.
Sa Next.js: Awtomatikong naghahatid ang component na next/image ng mga na-optimize na format.
Sa Cloudflare: Maaaring i-convert ng Cloudflare Polish ang mga larawan sa WebP.
Gabay: AVIF, WebP, JPEG, at PNG: Piliin ang Tamang Format ng Imahe
Nilagdaan ang DNSSEC
8.3% naobserbahan · lahat ng site 8.1%
I-activate ang DNSSEC sa iyong DNS provider, pagkatapos ay idagdag ang DS record sa iyong registrar. Maingat na planuhin ang paglipat ng provider: maaaring hindi ma-resolve ang domain dahil sa isang hindi na napapanahong DS record.
Sa Cloudflare: I-enable ang DNSSEC sa DNS > Settings at idagdag ang DS record sa registrar.
Gabay: Kahandaan sa Uptime ng Website: Maghanda Bago Dumating ang Trapiko
May Content Security Policy
32% naobserbahan · lahat ng site 31%
Magsimula sa Content-Security-Policy-Report-Only upang makita kung ano ang hindi na gagana, higpitan ang patakaran sa loob ng ilang linggo, at pagkatapos ay ipatupad ito.
Sa Next.js: Idinodokumento ng Next.js ang CSP na nakabatay sa nonce gamit ang middleware.
Gabay: Seguridad ng Pagbabayad at PCI DSS: Ano ang Dapat Malaman ng mga May-ari ng Website
Kung saan nangunguna ang mga site na gumagamit ng Next.js on Cloudflare
- Naa-access sa pamamagitan ng IPv691% naobserbahanlahat ng site 44%
- Naka-cache ang mga static file nang 30 araw o higit pa86% naobserbahanlahat ng site 50%
- Naka-lazy load ang mga larawang nasa labas ng screen90% naobserbahanlahat ng site 61%
- Inanunsyo ang HTTP/365% naobserbahanlahat ng site 36%