Come è costruito questo sito
Ogni sezione è una decisione: di che cosa avevo bisogno, che cosa ho scelto e quanto costa quella scelta. I costi contano più delle scelte.
Che cosa succede quando apri una pagina
- Il tuo browser interroga la sede Cloudflare più vicina. Mentre prepara la risposta, gli indica già quali file richiedere per primi (un suggerimento anticipato).
- La pagina arriva come HTML già pronto, con le intestazioni di sicurezza. Dietro non c’è alcun server applicativo.
- Il foglio di stile, lo script e i font arrivano dallo stesso posto. I loro nomi portano un’impronta del contenuto, quindi il browser può conservarli per un anno.
- Nei browser che lo supportano, appoggiare il puntatore su un link prepara in background la pagina successiva, che si apre all’istante.
Nessun framework
Una pagina su una sola persona deve aprirsi subito, anche con una connessione scarsa. Per questo il sito è HTML semplice, un foglio di stile e uno script che resta sotto i 30 KB compressi, e le pagine sono costruite in anticipo: lo stesso codice che disegnerebbe la pagina nel tuo browser la disegna in fase di compilazione, e tu ricevi HTML già pronto.
Il costo è un piccolo script di compilazione che mantengo io, invece di appoggiarmi alle convenzioni di un framework.
File statici e nessun codice sul server
Senza database né server applicativo non c’è nulla da aggiornare lungo il percorso della richiesta. Il modulo di contatto apre il tuo programma di posta con una bozza preparata, invece di inviare i dati a un servizio che dovrei difendere.
Il costo è che il sito non può conservare nulla per me, come i messaggi.
Cloudflare per la produzione, con un ripiego
Cloudflare Pages mi permette di inviare intestazioni di sicurezza vere e di tenere per un anno i file con impronta; l’hosting statico gratuito da cui sono partito non può impostare intestazioni.
Il costo è un fornitore in più e un segreto da proteggere. Il vecchio hosting resta pronto come ripiego, quindi tornare indietro richiede pochi minuti.
Una Content Security Policy rigorosa
Gli script possono arrivare solo da questo sito, più gli analytics di Google quando accetti. Questo esclude intere categorie di attacco.
Il costo è che scorciatoie comode come gli script inline non sono permesse, quindi ogni comportamento sta in un file che la policy può nominare.
Analytics solo dopo il consenso
Sapere come viene usato il sito è utile; seguire le persone senza chiedere no. Gli analytics restano spenti finché non accetti.
Il costo è che i miei numeri sono sottostimati, e lo accetto.
La velocità come requisito verificato
Un budget scritto in un documento si dimentica; un budget nei test ferma il rilascio. Una prima visita può usare 200 KB e 12 richieste nel browser di prova, e una modifica che lo supera non viene pubblicata.
Il costo è che cose come immagini grandi o font aggiuntivi vanno giustificate prima di essere aggiunte.
Due cancelli prima della produzione
Ogni modifica viene pubblicata prima su una copia protetta da password. La produzione richiede un passaggio manuale separato, con una conferma scritta e l’approvazione di un revisore.
Il costo è la rapidità: pubblicare è più lento che rilasciare a ogni unione, ed è voluto.
Test per ciò che i visitatori percepiscono
I test verificano accessibilità, contrasto dei colori, intestazioni di sicurezza, le tre lingue, la pagina stampata, le transizioni e il budget di prestazioni, nelle viste desktop e mobile.
Il costo è qualche minuto di attesa, ridotto eseguendo i gruppi di test in parallelo.