Jak je tenhle web postavený

Bezpečnost, kterou si můžete ověřit

Každá stránka posílá prohlížeči tyto bezpečnostní hlavičky. Hlavní pravidla CSP jsou navíc přímo ve stránce s otiskem (hashem) každého skriptu – spustí se jen můj kód a ochrana proti spamu od Cloudflare.

content-security-policy

Určuje, odkud smí stránka načítat skripty a kdo ji smí vložit do cizího webu.

strict-transport-security

Prohlížeč se k webu připojí vždy šifrovaně, i když napíšete http://.

x-content-type-options

Prohlížeč nehádá typ souborů – obrázek se nikdy nespustí jako skript.

x-frame-options

Web nejde vložit do cizí stránky, takže ho nikdo nepřekryje podvodným formulářem.

referrer-policy

Cizím webům se neposílá celá adresa stránky, ze které přicházíte.

permissions-policy

Web nemá přístup ke kameře, mikrofonu ani poloze.

cross-origin-opener-policy

Stránka otevřená z cizího webu nemůže sahat zpátky na tento web.

cross-origin-resource-policy

Soubory tohoto webu si cizí stránky nemůžou načítat k sobě.

Kontakt pro nahlášení zranitelnosti je v security.txt podle standardu RFC 9116. Hlavičky svého webu si můžete zkontrolovat nástrojem na úvodní stránce.

Základ: obyčejné, rychlé HTML

• Stránky generuje Astro jako hotové HTML. Prohlížeč i Google dostanou text hned, bez čekání na JavaScript.
• Styly jsou vložené přímo ve stránce a písma jsou součástí webu – žádné Google Fonts ani jiné služby třetích stran navíc. Písma jsou ořezaná jen na znaky, které čeština potřebuje, takže se stáhnou rychleji.
• Hosting je Cloudflare: soubory jdou z jejich sítě blízko návštěvníka a formulář obsluhuje malý Worker.
• Žádný WordPress ani pluginy, takže není co neustále záplatovat.
• Vyhledávače dostanou mapu stránek a strukturovaná data – kdo jsem, kde působím a za kolik. Odkaz sdílený na sítích má vlastní náhled.

Formulář a ochrana proti spamu

• Server kontroluje, odkud zpráva přišla, a údaje ověří ještě jednou – na kontrolu v prohlížeči se nespoléhá.
• Z jedné adresy pustí jen pár zpráv za minutu a příliš velké požadavky rovnou odmítne.
• Proti robotům je skryté pole, které člověk nevidí, a Cloudflare Turnstile místo otravného přepisování písmenek.
• Tajné klíče nejsou v kódu webu, ale jen v nastavení hostingu.

3D jeskyně, která nebrzdí obsah

• Jeskyni, krystaly i trámy počítá prohlížeč – nestahuje se žádný 3D model.
• Text zůstává obyčejné HTML. Čtečky obrazovky, Google i kopírování fungují, 3D okna se jen staví za něj z úlomků krystalů.
• Grafika se vykresluje, jen když se něco hýbe. Když nescrollujete, stojí a nevybíjí baterii.
• Jeskyně se načítá a připravuje po malých kouscích, takže stránka mezitím reaguje na scroll i kliknutí.
• Na slabých zařízeních, při šetření dat nebo s omezeným pohybem v systému se 3D vůbec nenačte. A vypnout ho můžete tlačítkem Lehká verze nahoře.

Poctivě o rychlosti

3D přes celou stránku tady stojí část rychlosti na mobilu – stáhne se kvůli němu víc dat. Je to vědomá volba, web má ukázat, co umím. U vašeho webu bude 3D jen tam, kde dává smysl, aby byl rychlý i na slabém telefonu.