wpsuli.hu

WordPress· Cloudflare mögött

Saját szerveren

17 javítás

70/100 pont

Biztonság38

Teljesítmény68

SEO91

Akadálymentesség71

Alapok82

Adatvédelem100

WordPress67

Core Web Vitals, valódi Chrome-látogatók (2026. október)

LCP1,8 sjó

INP55 msjó

CLS0,00jó

Platform: WordPress
CDN: Cloudflare
DNS: Cloudflare
Státusz: 200
Első bájt (TTFB): 254 ms

Szerver: cloudflare
Backend nyelv: PHP
Téma: kadence 1.5.2
HTTP-protokoll: HTTP/3
Az oldal nyelve: magyar
Frontend-könyvtárak: jQuery 3.7.1
Sütisáv (CMP): LW Cookie

Javítások 17Tesztek 46/66

Biztonság

Kapcsold ki a régi TLS-verziókat

A szerver még elfogad TLS 1.0 vagy 1.1 kapcsolatot, amelyeket a mai böngészők már nem támogatnak, és ismert gyengeségeik vannak. Elég a TLS 1.2 és 1.3, ezt a szerver vagy a CDN beállításában állíthatod.

Cloudflare: SSL/TLS → Edge Certificates

Minimum TLS Version: TLS 1.2

Más környezethez: nginx, Apache

nginx

Az nginx http blokkjába

ssl_protocols TLSv1.2 TLSv1.3;

Ha egy server blokkban vagy egy beemelt fájlban (pl. a Certbot /etc/letsencrypt/options-ssl-nginx.conf fájljában) is van ssl_protocols sor, ott is írd át, mert a server szintű érték felülírja a http blokkét.

Apache

Az Apache virtual host konfigurációjába (.htaccess-ben nem működik)

SSLProtocol -all +TLSv1.2 +TLSv1.3

Részletek a hubon

Biztonság

Állíts be 4 válaszfejlécet

Ezek a biztonsági fejlécek hiányoznak, vagy rossz az értékük. Egy helyen, együtt állítod be őket.

Cloudflare: Rules → Overview → Create rule → Response Header Transform Rule

Set static: Strict-Transport-Security = max-age=31536000
Set static: X-Content-Type-Options = nosniff
Set static: Referrer-Policy = strict-origin-when-cross-origin
Set static: Cross-Origin-Opener-Policy = same-origin-allow-popups

Más környezethez: WordPress, nginx, Apache

WordPress

Új fájlba: wp-content/mu-plugins/hwp-report-headers.php (Bedrockon: web/app/mu-plugins/hwp-report-headers.php)

<?php
add_action( 'send_headers', function () {
    header( 'Strict-Transport-Security: max-age=31536000' );
    header( 'X-Content-Type-Options: nosniff' );
    header( 'Referrer-Policy: strict-origin-when-cross-origin' );
    header( 'Cross-Origin-Opener-Policy: same-origin-allow-popups' );
} );

nginx

Az nginx server blokkjába. Ha egy location blokkban is van add_header, oda is kell, mert az nginx csak akkor örököl, ha az adott szinten nincs add_header.

add_header Strict-Transport-Security "max-age=31536000" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Cross-Origin-Opener-Policy "same-origin-allow-popups" always;

Apache

A webroot .htaccess fájljába

<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000"
    Header always set X-Content-Type-Options "nosniff"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
    Header always set Cross-Origin-Opener-Policy "same-origin-allow-popups"
</IfModule>

Biztonság

Állíts be Content-Security-Policyt

Nincs Content-Security-Policy, se fejlécben, se meta tagben. A CSP felsorolja, honnan tölthet szkriptet, stílust és képet az oldal, és egy jól beállított CSP mellett a befecskendezett kód (XSS) nem fut le.

Cloudflare: Rules → Overview → Create rule → Response Header Transform Rule

Set static: Content-Security-Policy = object-src 'none'; base-uri 'self'; frame-ancestors 'self'

Az object-src 'none' a beágyazott PDF-et (<object>, <embed>) is tiltja, a frame-ancestors 'self' pedig azt, hogy más oldal keretben mutassa az oldaladat. Ha ezeket szándékosan használod, előbb ezt igazítsd hozzájuk.

Más környezethez: HTML, nginx, Apache

HTML

A lap <head> részébe

<meta http-equiv="Content-Security-Policy" content="object-src 'none'; base-uri 'self'">

Meta tagben a frame-ancestors nem hat, ezért itt nincs benne. Az object-src 'none' a beágyazott PDF-et (<object>, <embed>) is tiltja.

nginx

Az nginx server blokkjába. Ha egy location blokkban is van add_header, oda is kell, mert az nginx csak akkor örököl, ha az adott szinten nincs add_header.

add_header Content-Security-Policy "object-src 'none'; base-uri 'self'; frame-ancestors 'self'" always;

Apache

A webroot .htaccess fájljába

<IfModule mod_headers.c>
    Header always set Content-Security-Policy "object-src 'none'; base-uri 'self'; frame-ancestors 'self'"
</IfModule>

Biztonság

Tiltsd meg, hogy más oldal keretbe tegye az oldalad

Nincs X-Frame-Options fejléc, és a CSP-ben sincs frame-ancestors, így egy idegen oldal láthatatlan keretbe teheti az oldaladat, és ráveheti a látogatót, hogy ott kattintson. Az X-Frame-Options: SAMEORIGIN fejléc ezt megakadályozza.

Cloudflare: Rules → Overview → Create rule → Response Header Transform Rule

Set static: X-Frame-Options = SAMEORIGIN

Más környezethez: WordPress, nginx, Apache

WordPress

Új fájlba: wp-content/mu-plugins/hwp-report-clickjacking.php (Bedrockon: web/app/mu-plugins/hwp-report-clickjacking.php)

<?php
add_action( 'send_headers', 'send_frame_options_header' );

nginx

Az nginx server blokkjába. Ha egy location blokkban is van add_header, oda is kell, mert az nginx csak akkor örököl, ha az adott szinten nincs add_header.

add_header X-Frame-Options "SAMEORIGIN" always;

Apache

A webroot .htaccess fájljába

<IfModule mod_headers.c>
    Header always set X-Frame-Options "SAMEORIGIN"
</IfModule>

Alapok

Adj 404-et a nem létező oldalakra

A nem létező oldalra a szerver 200-as státuszt és rendes oldalt ad, nem 404-et. Ez az úgynevezett soft 404: a Google ezeket nehezen kezeli, és az indexbe hamis oldalak kerülhetnek. Állítsd be, hogy a hiányzó oldal 404-et adjon.

Teljesítmény

Ne blokkolják a szkriptek a megjelenést

2 szkript a <head>-ben async vagy defer nélkül tölt be, és megállítja az oldal kirajzolását, amíg le nem töltődik és le nem fut. Tedd rájuk a defer attribútumot, vagy told a lap aljára.

A lap <head> részébe

<script defer src="/app.js"></script>

A defer-es szkript a HTML feldolgozása után fut, a többi defer-es szkripttel a sorrendjükben. Ha egy inline szkript a kódját használja (például a jQuery-t), az a halasztás miatt hibát dob: ilyenkor azt is halaszd, vagy ezt a szkriptet hagyd halasztás nélkül. WordPressben a saját szkriptednél a wp_enqueue_script() strategy => defer beállítása ugyanezt adja (6.3-tól).

Részletek a hubon

Akadálymentesség

Javítsd a szövegek kontrasztját

Van szöveg, amelynek a háttérrel alkotott kontrasztja kicsi. A WCAG szerint a normál szöveghez legalább 4,5 : 1, a nagy szöveghez legalább 3 : 1 kell. Gyengén látóknak és erős napfényben nehezen olvasható; sötétítsd a szöveget vagy világosítsd a hátteret.

Biztonság

Ne írd ki a szoftver verzióját

A X-Powered-By fejléc elárulja a pontos verziót: PHP/8.4.27. Ebből egy támadó azonnal látja, melyik ismert hibával próbálkozzon; kapcsold ki a verzió kiírását a szerver vagy a PHP beállításában.

Cloudflare: Rules → Overview → Create rule → Response Header Transform Rule

Remove: X-Powered-By

Más környezethez: PHP, nginx, Apache

PHP

A php.ini fájlba (vagy kérd a tárhelytől)

expose_php = Off

nginx

Az nginx location ~ \.php$ blokkjába, a fastcgi_pass sor mellé

fastcgi_hide_header X-Powered-By;

Apache

A webroot .htaccess fájljába

<IfModule mod_headers.c>
    Header unset X-Powered-By
    Header always unset X-Powered-By
</IfModule>

Teljesítmény

Adj Cache-Control fejlécet

A nyitóoldal válaszában nincs Cache-Control, így a böngésző és a CDN csak találgat, meddig tarthatja meg. A változó HTML kapjon rövid max-age-et, a képek, CSS, JS és betűtípusok hosszút.

Új fájlba: wp-content/mu-plugins/hwp-report-cache-control.php (Bedrockon: web/app/mu-plugins/hwp-report-cache-control.php)

<?php
add_action( 'send_headers', function () {
    if ( ! is_user_logged_in() ) {
        header( 'Cache-Control: no-cache' );
    }
} );

Más környezethez: nginx, Apache

nginx

Az nginx http blokkjába

map "$upstream_http_cache_control:$sent_http_content_type" $hwp_cc {
    "~^:text/html" "no-cache";
    default "";
}

Az nginx server blokkjába. Ha egy location blokkban is van add_header, oda is kell, mert az nginx csak akkor örököl, ha az adott szinten nincs add_header.

add_header Cache-Control $hwp_cc always;

Apache

A webroot .htaccess fájljába

<IfModule mod_headers.c>
    Header setifempty Cache-Control "no-cache" "expr=%{CONTENT_TYPE} =~ m#^text/html#"
</IfModule>

Teljesítmény

Adj ETag- vagy Last-Modified-fejlécet

Az oldal egyiket sem küldi, ezért a visszatérő látogató akkor is letölti az egészet, ha semmi nem változott. Bármelyikkel a böngésző megkérdezheti, változott-e, és rövid „nem” választ kap.

SEO

Igazítsd a description hosszát

A meta description 209 karakter, a Google nagyjából 160 karakter után levágja. Tedd az elejére a lényeget, és rövidíts.

WordPress

Töröld a kitett fájlokat

Ezek a fájlok bárki számára letölthetők: readme.html. Hozzáférési adat, napló vagy mentés is lehet bennük. Töröld őket a szerverről, vagy tiltsd le a hozzáférést.

Az nginx server blokkjába, a location ~ \.php$ blokk elé

location ~* (^|/)(readme\.html)(/|$) {
    deny all;
}

Tedd a többi regex location elé, mert az nginx az elsőt használja, amelyik illeszkedik. Ha a többi location egy location / { … } belsejében van, oda, azok elé tedd: a belső regex megelőzi a külsőt. Ha egy illeszkedő prefix location ^~ jelölésű, a regexeket az nginx nem nézi: oda is tedd be. A legjobb, ha a fájlokat törlöd.

Más környezethez: Apache

Apache

A webroot .htaccess fájljába, a # BEGIN WordPress sor fölé

<IfModule mod_rewrite.c>
    RewriteEngine On
    RewriteRule (^|/)(readme\.html)(/|$) - [F,L,NC]
</IfModule>

Ha egy almappában saját .htaccess van RewriteEngine sorral, az nem örökli ezeket a szabályokat, csak ha ott RewriteOptions Inherit is szerepel.

Teljesítmény

Csökkentsd a szkriptek számát

Az oldal 26 szkriptet tölt be; legfeljebb 20 még rendben van. Mindet le kell tölteni, értelmezni és futtatni, ez a lassú telefonokon érződik. Töröld a nem használt bővítményeket és követőkódokat.

Részletek a hubon

Teljesítmény

Használj modern képformátumot

3 kép még JPEG vagy PNG, és legalább 10 KB. A WebP vagy az AVIF ugyanazt a minőséget jellemzően kisebb fájlban adja. Konvertáld őket, a böngészők közel mindenütt értik.

A lap HTML-jébe

<picture>
  <source srcset="kep.avif" type="image/avif">
  <source srcset="kep.webp" type="image/webp">
  <img src="kep.jpg" width="640" height="360" alt="Mi látszik a képen">
</picture>

Az .avif és a .webp fájlt előbb készítsd el ugyanabból a képből. A böngésző az első olyan forrást tölti le, amelynek a formátumát ismeri; a többi a .jpg-t kapja.

Részletek a hubon

Teljesítmény

Add meg a képek méretét, és töltsd őket lustán

Méret nélküli képek: 4; azonnal betöltődő, hajtás alatti képek: 6. Az első miatt ugrál a lap, a második a fontosabb tartalom elől viszi a sávszélességet. Adj méretet minden képnek, és tedd a hajtás alattiakra a loading="lazy" attribútumot.

A lap HTML-jébe

<img src="kep.webp" width="640" height="360" alt="Mi látszik a képen" loading="lazy">

A loading="lazy" csak a hajtás alatti képekre kerüljön; a lap tetején lévőkre, különösen a hero-képre, ne.

Akadálymentesség

Tegyél ki ugrólinket a tartalomhoz

Nincs „Ugrás a tartalomra” link az oldal elején. Ez főleg azoknak fontos, akik billentyűzettel navigálnak: nélküle minden oldalon végig kell lépkedniük a menün. Tegyél egy linket a <body> elejére a <main> felé.

Klasszikus témában a header.php fájlba, közvetlenül a wp_body_open(); hívás után

<a class="skip-link screen-reader-text" href="#tartalom">Ugrás a tartalomra</a>

A href a téma fő tartalom-elemének id-jére mutasson. A screen-reader-text osztályt a téma CSS-e rejti el és mutatja fókuszkor; ha a témád nem ismeri, a HTML-változat alatti CSS-sorokat is tedd be (a .skip-link osztály ezen a linken is rajta van). Blokktémán ez nem kell: a WordPress 5.8 óta maga tesz ugrólinket a <main> elemhez.

Más környezethez: HTML

HTML

A lap HTML-jébe

<a class="skip-link" href="#tartalom">Ugrás a tartalomra</a>
…
<main id="tartalom">
…
</main>

A link legyen a <body> első fókuszálható eleme. Elrejteni csak úgy szabad, hogy billentyűs fókuszkor megjelenjen; display: none-nal a billentyűzet sem éri el. Ha már van <main> elemed, csak az id-t tedd rá.

Az oldal (vagy a téma) CSS-fájljába

.skip-link:not(:focus) { position: absolute; width: 1px; height: 1px; overflow: hidden; clip-path: inset(50%); white-space: nowrap; }
.skip-link:focus { position: fixed; top: 8px; left: 8px; z-index: 100000; padding: 8px 16px; background: #fff; color: #000; }

Alapok

Mérd, hogy kik látogatják az oldalt

Nem találtunk analitikát az oldalon. Mérés nélkül nem tudod, mely oldalak hozzák a látogatót, és mi működik. Válassz egy eszközt (GA4 vagy sütimentes, pl. Plausible), és a jogszabályoknak megfelelően állítsd be.

Részletek a hubon

Biztonság 5 / 13 sikeres

TLS-tanúsítvány (sikertelen)
HSTS (sikertelen)
Content-Security-Policy (sikertelen)
Clickjacking-védelem (sikertelen)
X-Content-Type-Options (sikertelen)
Referrer-Policy (sikertelen)
Cross-Origin-Opener-Policy (sikertelen)
Nincs kiírt szoftververzió (sikertelen)
HTTPS-átirányítás (sikeres)
Nincs elavult fejléc (sikeres)
Nincs kitett hibaüzenet (sikeres)
Támogatott PHP-verzió (sikeres)
Kevert tartalom (sikeres)

Teljesítmény 13 / 19 sikeres

Cache-Control fejléc (sikertelen)
ETag vagy Last-Modified (sikertelen)
Renderelést blokkoló szkriptek (sikertelen)
Szkriptek száma (sikertelen)
Modern képformátum (sikertelen)
Képméretek, lusta betöltés (sikertelen)
Első bájt (TTFB) (sikeres)
HTTP-protokoll (sikeres)
Modern tömörítés (sikeres)
CDN (sikeres)
Oldal-gyorsítótár (sikeres)
Oldalsúly (sikeres)
Labor-LCP (sikeres)
Labor-CLS (sikeres)
Labor-TBT (sikeres)
Back/Forward Cache (sikeres)
LCP, valódi látogatók (sikeres)
INP, valódi látogatók (sikeres)
CLS, valódi látogatók (sikeres)

SEO 10 / 11 sikeres

Description hossza (sikertelen)
Oldalcím (sikeres)
Cím hossza (sikeres)
Egy title tag (sikeres)
Meta description (sikeres)
Canonical URL (sikeres)
robots.txt (sikeres)
XML sitemap (sikeres)
Indexelhető (sikeres)
Strukturált adat (sikeres)
Megosztási kép (sikeres)

Akadálymentesség 5 / 7 sikeres

Ugrólink a tartalomra (sikertelen)
Kontraszt (sikertelen)
Nagyítás engedélyezve (sikeres)
Főcím (h1) (sikeres)
Képek alt szövege (sikeres)
Lang attribútum (sikeres)
Szemantikus HTML (sikeres)

Alapok 9 / 11 sikeres

404-kezelés (sikertelen)
Analitika (sikertelen)
Válaszkód (200) (sikeres)
Átirányítások száma (sikeres)
Favicon (sikeres)
Viewport meta (sikeres)
HTML5 doctype (sikeres)
www és csupasz domain (sikeres)
www DNS-rekord (sikeres)
Adatvédelmi link (sikeres)
Nincs régi Universal Analytics (sikeres)

Adatvédelem 2 / 2 sikeres

Sütisáv (CMP) (sikeres)
Hozzájárulás előtti követés (sikeres)

WordPress 2 / 3 sikeres

Nincs kitett fájl (sikertelen)
Friss bővítmények (sikeres)
Zárt végpontok (sikeres)

Utolsó mérés: 2026. november 1., 10:11 ·

wpsuli.hu

Kapcsold ki a régi TLS-verziókat

nginx

Apache

Állíts be 4 válaszfejlécet

WordPress

nginx

Apache

Állíts be Content-Security-Policyt

HTML

nginx

Apache

Tiltsd meg, hogy más oldal keretbe tegye az oldalad

WordPress

nginx

Apache

Adj 404-et a nem létező oldalakra

Ne blokkolják a szkriptek a megjelenést

Javítsd a szövegek kontrasztját

Ne írd ki a szoftver verzióját

PHP

nginx

Apache

Adj Cache-Control fejlécet

nginx

Apache

Adj ETag- vagy Last-Modified-fejlécet

Igazítsd a description hosszát

Töröld a kitett fájlokat

Apache

Csökkentsd a szkriptek számát

Használj modern képformátumot

Add meg a képek méretét, és töltsd őket lustán

Tegyél ki ugrólinket a tartalomhoz

HTML

Mérd, hogy kik látogatják az oldalt

Biztonság 5 / 13 sikeres

Teljesítmény 13 / 19 sikeres

SEO 10 / 11 sikeres

Akadálymentesség 5 / 7 sikeres

Alapok 9 / 11 sikeres

Adatvédelem 2 / 2 sikeres

WordPress 2 / 3 sikeres

Mi fut a te oldaladon?