Lista kontrolna strony

Większość problemów ze stroną to nie awarie. noindex, który został ze strony testowej, plik .env, który może pobrać każdy, adres http://, który już nie przekierowuje, brakujący rekord DMARC: strona się ładuje i przez tygodnie nikt tego nie zauważa. Od planu Free każdy cel będący stroną otrzymuje listę kontrolną. Działa raz dziennie i nie zajmuje miejsca na monitor.

Co sprawdzamy#

Grupa	Sprawdzenia
Wyszukiwarki	strona nie jest noindex (znacznik meta lub X-Robots-Tag), robots.txt nie blokuje całej strony, mapa strony, adres kanoniczny, długość tytułu i opisu meta, język strony, brakujące strony zwracają 404
Bezpieczeństwo	http:// przekierowuje na stałe na https://, jeden adres z www lub bez, HSTS, tylko TLS 1.2 i 1.3, bez treści mieszanej, podstawowe nagłówki bezpieczeństwa, brak publicznego /.git lub /.env, brak numerów wersji oprogramowania w nagłówkach
Szybkość i dostarczanie	Brotli lub gzip na stronie oraz w CSS i JavaScript, HTTP/2 lub HTTP/3, pamięć podręczna przeglądarki dla własnych plików, najwyżej jedno przekierowanie
Podglądy i telefon	znaczniki Open Graph, karta X, favicon, viewport dla telefonów
Poczta i DNS	MX, SPF (jeden rekord, bez +all), polityka DMARC, DKIM pod popularnym selektorem, CAA, DNSSEC
Prywatność	baner zgody na pliki cookie lub Google Consent Mode na stronie z kodami śledzącymi

Stronę pobieramy tak samo jak sprawdzenie dostępności (te same nagłówki i hasło, zobacz dozwolone adresy), a potem wykonujemy kilka małych żądań: robots.txt, sitemap.xml, strona, która nie istnieje, do sześciu własnych plików CSS, JavaScript i obrazów oraz /.git/HEAD i /.env. Dla tych dwóch zapisujemy tylko, czy są publiczne; nigdy nie zachowujemy ich treści.

Każda pozycja to OK, Sprawdź albo Popraw, z jednym zdaniem, dlaczego jest ważna. To, czego nie udało się ustalić, jest pokazane jako –, nigdy jako OK: DKIM może na przykład być pod selektorem, który zna tylko Twój dostawca poczty.

Podglądy#

Zakładka Lista kontrolna pokazuje, jak strona wygląda w wynikach wyszukiwania Google (tytuł, adres i opis, ucięte tam, gdzie ucina je Google) oraz po udostępnieniu na Facebooku, LinkedInie lub w Slacku (tytuł, opis i obraz ze znaczników og:). Obraz to nasza kopia, więc otwarcie zakładki niczego nie ładuje ze strony.

Kiedy ostrzegamy#

Lista kontrolna to lista do przejścia, a nie strumień alertów. Pierwszy odczyt jest punktem wyjścia; problemy, które strona już miała, są pokazane, ale bez alertu. Potem wysyłamy ostrzeżenie tylko wtedy, gdy pogorszy się coś z tego:

Co się zmienia	Dlaczego to ważne
Strona staje się noindex	cała strona znika z Google
robots.txt zaczyna blokować całą stronę	to samo, innymi drzwiami
/.git lub /.env staje się publiczny	kod źródłowy lub hasła są odsłonięte
http:// przestaje przekierowywać na https://	odwiedzający trafiają na niezabezpieczoną wersję

Tak jak przy brakującym kodzie śledzącym, ostrzeżenie czeka na drugi odczyt po 15 minutach: strona z pamięci podręcznej lub tryb konserwacji może raz zwrócić noindex. Bez SMS-a i bez przypomnień. Po naprawie dostajesz wiadomość o rozwiązaniu. W czasie okna serwisowego lista kontrolna nie ostrzega.

Po poprawce na stronie kliknij Sprawdź teraz na zakładce Lista kontrolna, zamiast czekać na kolejne codzienne sprawdzenie.