Bắt đầu từ quyết định, rồi chọn công cụ
Đặt tên trang, nhóm đối tượng và nhiệm vụ đang gặp rủi ro trước khi chạy bất kỳ công cụ nào: trang sản phẩm trên di động, trang thanh toán, hoặc biểu mẫu thu thập thông tin. Rồi chọn loại bằng chứng bạn cần. Dữ liệu lab là bài kiểm tra có kiểm soát để gỡ lỗi có thể lặp lại. Dữ liệu trường là trải nghiệm người dùng thực tổng hợp để ưu tiên các mẫu. Một trace (vết theo dõi) trình duyệt giúp giải thích công việc runtime cục bộ. Chúng bổ trợ lẫn nhau, không thể thay thế cho nhau.
Hỏi điều gì ngăn một khách hoàn thành một nhiệm vụ quan trọng, không phải làm thế nào để đạt được một điểm số.
Dùng một bản kiểm tra (audit), dữ liệu trường khả dụng, và một công cụ chẩn đoán trước khi thêm nhiều sản phẩm khác.
Một kết quả áp dụng cho URL, điều kiện, hoặc mẫu được kiểm tra; nó không phải là phán quyết cho mọi khách truy cập.
Dùng Lighthouse và PageSpeed Insights cho kiểm tra tải trang có thể lặp lại
Lighthouse là một công cụ kiểm tra tự động mã nguồn mở chạy trong Chrome DevTools, từ dòng lệnh, hoặc trong môi trường tích hợp liên tục (CI). Nó kiểm tra hiệu năng, truy cập (accessibility), SEO và hơn thế nữa. PageSpeed Insights chạy các chẩn đoán của Lighthouse cho một URL và trình bày dữ liệu người dùng thực khi có sẵn. Dùng một trong hai để thiết lập mốc cho một trang đại diện, điều tra các audit thất bại, và so sánh việc kiểm tra lại có kiểm soát sau một thay đổi đã định nghĩa.
Trang được kiểm tra hoạt động như thế nào trong thiết lập kiểm tra và audit nào xứng đáng được điều tra.
Một điểm Lighthouse tốt không nhất thiết có nghĩa trải nghiệm người dùng thực là tốt; Google ghi nhận rằng kết quả lab và trường có thể khác nhau.
Kiểm tra lại cùng trang và thiết lập sau khi thay đổi; không dùng nó như một cổng chặn chỉ một lần.
Dùng dữ liệu trường để ưu tiên trải nghiệm mà người dùng thực sự có
Dữ liệu trường trong PageSpeed Insights đến từ Chrome User Experience Report và bao phủ khoảng thời gian 28 ngày gần nhất. Nó báo cáo các số đo bao gồm Largest Contentful Paint (LCP), Interaction to Next Paint (INP), và Cumulative Layout Shift (CLS). Báo cáo Core Web Vitals trong Search Console hữu ích khi bạn cần nhóm trang thay vì một URL đơn lẻ. Dùng dữ liệu trường để quyết định mẫu template, nhóm thiết bị, hoặc vấn đề nào đáng đầu tư trước.
Kiểm tra xem kết quả là ở mức trang hay mức nguồn gốc (origin) và liệu URL có đủ dữ liệu hay không.
Dữ liệu trường là lịch sử và được tổng hợp theo riêng tư, nên không thể xác nhận ngay tác động của một bản phát hành.
Google khuyến nghị LCP ≤ 2.5 giây, INP < 200 mili-giây, và CLS < 0.1.
Dùng Chrome DevTools khi một kiểm tra cần được giải thích
Khi một audit hoặc mẫu dữ liệu trường chỉ ra tải chậm, tương tác bị trì hoãn, hoặc dịch chuyển hiển thị, ghi lại hành trình bằng Chrome DevTools Performance. Nó ghi lại profile CPU và có thể hiển thị LCP, CLS tại chỗ và, sau tương tác, INP. Dòng thời gian của nó giúp nhà phát triển điều tra công việc trình duyệt thay vì suy đoán từ danh sách khuyến nghị.
Dùng viewport, CPU, và điều kiện mạng tương tự với nhóm khán giả bị ảnh hưởng.
Một trace phản ánh thiết bị, kết nối, trạng thái cache và hành trình được ghi. Tái tạo các hành trình liên quan trước khi tổng quát hóa.
Ghi lại nguyên nhân nghi ngờ, thay đổi và hiệu ứng khách dự kiến.
Kết hợp kiểm tra tự động về truy cập với đánh giá chuyên môn của con người
Dùng công cụ đánh giá truy cập để bắt các vấn đề có thể kiểm tra bằng máy nhanh và lặp lại. W3C WAI duy trì danh sách công cụ và hướng dẫn chọn lựa, nhưng nói rằng không có công cụ nào một mình có thể xác định liệu một trang có đáp ứng tiêu chuẩn truy cập hay không. Dùng các phát hiện tự động để tạo hàng đợi đánh giá, rồi kiểm tra các trang đại diện, thao tác bằng bàn phím, hành vi focus, xử lý lỗi, và nội dung với những người đánh giá có trình độ.
Phát hiện nhanh hơn và ngăn ngừa các lỗi lặp lại.
Không thể xác định sự phù hợp truy cập đầy đủ hoặc thay thế đánh giá của con người.
Đừng quảng bá kết quả tự động như là tuân thủ pháp lý; nếu quan trọng, cần có đánh giá truy cập và pháp lý có chuyên môn.
Dùng công cụ bảo mật chuyên biệt cẩn trọng và trong phạm vi ủy quyền
Mozilla’s HTTP Observatory xem xét header HTTP và các cấu hình bảo mật chính khác, cung cấp cho quản trị viên một điểm khởi đầu về vệ sinh header cho các trang công khai. Xác nhận các thay đổi header đề xuất ngoài môi trường production vì chính sách có thể ảnh hưởng đến script, dịch vụ nhúng và luồng người dùng. Nó đánh giá một lát cắt của bảo mật, không phải toàn bộ rủi ro ứng dụng.
OWASP ZAP có thể quét thụ động lưu lượng và kiểm tra chủ động ứng dụng, nhưng chỉ thử nghiệm hệ thống bạn được ủy quyền thử.
ZAP nói rằng quét chủ động là một tấn công thực tế có thể đặt mục tiêu vào rủi ro. Quét thụ động có thể bỏ sót vùng đã xác thực hoặc chưa truy cập.
Với thanh toán, xác thực, dữ liệu nhạy cảm, hoặc phát hiện quan trọng, hãy tham gia chuyên gia bảo mật có trình độ.
Biến đầu ra công cụ thành khắc phục theo SIU, không phải theo đuổi điểm số
Dùng một vòng lặp bền bỉ: chụp mốc ban đầu, xác định một nguyên nhân khả thi, thực hiện thay đổi nhỏ an toàn nhất, kiểm tra lại cùng hành trình, và quan sát xu hướng trường sau đủ thời gian. Giữ nhiệm vụ khách là trung tâm. Giảm một tài nguyên chặn chỉ có giá trị nếu nó cải thiện trải nghiệm hữu ích mà không làm hỏng việc mua hàng, đăng nhập, truy cập, chấp nhận, hoặc hành vi phân tích.
Ưu tiên những thay đổi được hỗ trợ bởi tác động trường, một trace có thể tái tạo, hoặc một lỗi rõ ràng ảnh hưởng người dùng.
Dùng staging, một chủ sở hữu, tiêu chí chấp nhận, và kế hoạch rollback. SIU ngăn ngừa suy giảm trải nghiệm có thể tránh được.
Ghi lại metric, điều kiện kiểm tra và nhiệm vụ khách hoàn thành trong hồ sơ thay đổi, không chỉ mỗi điểm số.