При переносе Strapi на production часто возникают ошибки CORS, неверная конфигурация базы данных и утечка API токенов. Особенно остро проблема встаёт, когда фронтенд на Next.js пытается отправить запросы к API на другом домене — браузер блокирует CORS, и клиент видит пустые страницы. Типовой проект включает от 5 до 10 content types, и каждая ошибка может стоить нескольких часов отладки. Мы решаем эти проблемы системно: настраиваем всё с учётом безопасности и производительности. В этой статье — готовый рецепт установки и настройки Strapi под ключ, проверенный на 30+ проектах.
Согласно официальной документации Strapi, эта гибкая headless CMS позволяет быстро создавать API, но настройка продакшена требует внимания к безопасности. В типовом проекте ускорение TTFB после оптимизации достигает 30-40%, а количество ошибок CORS снижается до нуля при правильной конфигурации.
Требования к серверу и база данных
Перед началом убедитесь, что сервер соответствует минимальным требованиям:
- Node.js 18 или 20 (LTS)
- npm 6+ / yarn 1.22+ / pnpm 6+
- PostgreSQL / MySQL / SQLite
- 2 ГБ ОЗУ и 20 ГБ SSD для среднего проекта
Инициализируйте проект с PostgreSQL одной командой:
npx create-strapi-app@latest my-strapi --dbclient=postgres cd my-strapi npm run develop # later for production: NODE_ENV=production npm run build NODE_ENV=production npm start При первом запуске создаётся администратор. В development-режиме доступен Content-Type Builder для быстрого прототипирования.
Как настроить CORS и безопасность?
Политика CORS — одна из самых частых причин ошибок при интеграции Strapi с фронтендом. Если не указать явный origin, браузер блокирует запросы. В консоли вы увидите Access-Control-Allow-Origin — типичная ошибка. Настройка через strapi::cors с переменной FRONTEND_URL решает проблему. Дополнительно настраиваем security-заголовки — это предотвращает XSS и внедрение скриптов.
// config/middlewares.js module.exports = [ 'strapi::logger', 'strapi::errors', { name: 'strapi::security', config: { contentSecurityPolicy: { useDefaults: true, directives: { 'img-src': ["'self'", 'data:', 'blob:', 'res.cloudinary.com'], }, }, }, }, { name: 'strapi::cors', config: { origin: [process.env.FRONTEND_URL] } }, 'strapi::poweredBy', 'strapi::query', 'strapi::body', 'strapi::session', 'strapi::favicon', 'strapi::public', ] Конфигурация базы данных и сервера
Объединим настройку базы и сервера в один блок:
// config/database.js module.exports = ({ env }) => ({ connection: { client: 'postgres', connection: { connectionString: env('DATABASE_URL'), ssl: env.bool('DATABASE_SSL', false) ? { rejectUnauthorized: false } : false, }, pool: { min: 2, max: 10 }, }, }) // config/server.js module.exports = ({ env }) => ({ host: env('HOST', '0.0.0.0'), port: env.int('PORT', 1337), url: env('PUBLIC_URL', 'http://localhost:1337'), }) Сравнение производительности: PostgreSQL vs SQLite
| Критерий | PostgreSQL | SQLite |
|---|---|---|
| Поддержка конкурентных запросов | Да, до сотен соединений | Ограничена, один писатель |
| Типы данных | Расширенные (JSON, массивы) | Базовые |
| Производительность JOIN-запросов | В 2-3 раза быстрее | Медленнее при больших данных |
| Рекомендация для продакшена | Да | Только для разработки |
Почему важен правильный пул соединений?
Пул соединений (min:2, max:10) предотвращает исчерпание подключений к базе при пиковых нагрузках. В production-окружении с PostgreSQL пул критичен: без него каждое обращение открывает новое соединение, что увеличивает время отклика до 200-300 мс. Настройка пула снижает задержки до 10-20 мс. Экономия ресурсов сервера достигает 40% за счёт переиспользования соединений.
Дополнительные настройки безопасности
Помимо CORS и CSP, настройте заголовки X-Frame-Options (защита от clickjacking) и X-Content-Type-Options (предотвращение MIME-sniffing). Для этого используйте middleware strapi::security с соответствующими директивами. Также рекомендуется включить rate limiting через koa-rate-limit для защиты от брута.
Управление API токенами и деплой
Создайте токен в панели администратора: Settings → API Tokens → Create new API Token. Выберите права (Read-only для публичных запросов) и скопируйте токен — он показывается один раз. Добавьте переменные окружения в .env фронтенда:
STRAPI_URL=http://localhost:1337 STRAPI_API_TOKEN=your-api-token-here Для надёжного управления процессом используем PM2:
// ecosystem.config.js module.exports = { apps: [{ name: 'strapi', script: 'npm', args: 'start', env: { NODE_ENV: 'production', DATABASE_URL: 'postgresql://...', APP_KEYS: '...', API_TOKEN_SALT: '...', JWT_SECRET: '...', }, }], } Сравнение способов деплоя:
| Метод | Управление процессами | Масштабирование | Сложность |
|---|---|---|---|
| PM2 | Простое, авторестарт | Кластеризация | Низкая |
| Docker | Контейнеризация | Оркестрация | Средняя |
| Heroku | Платформа | Автомасштабирование | Низкая |
Как оптимизировать TTFB?
Основные факторы: использование пула соединений (уже рассмотрели), кеширование запросов с помощью Redis или Varnish, включение HTTP/2 на сервере. В Strapi можно подключить плагин @strapi/plugin-redis для кеширования ответов. Это снижает TTFB на 30-40% без изменения кода.
Частые ошибки при переходе на production
- Забывают указать
PUBLIC_URL— ссылки в админке ломаются. - Не настраивают SSL для базы — соединение отвергается.
- Оставляют development-ключи — утечка данных.
- Не ограничивают CORS — доступ с любых доменов.
- Не задают
ADMIN_JWT_SECRET— риск подделки сессий.
Что входит в настройку Strapi под ключ
- Инициализация проекта и подключение PostgreSQL
- Конфигурация CORS, Security, SSL
- Создание API токена и настройка .env
- Деплой с PM2 и мониторинг
- Документация по endpoints
- Поддержка после запуска (до месяца)
Процесс работы и сроки
- Анализ требований и выбор хостинга
- Установка и конфигурация Strapi
- Настройка базы данных и middleware
- Создание API токенов и интеграция с фронтендом
- Деплой в продакшен и мониторинг
Базовая установка с PostgreSQL, настройкой CORS и первым content type занимает от 2 до 4 часов. Полная настройка под продакшен — от 1 дня. Стоимость рассчитывается индивидуально в зависимости от сложности проекта и необходимой кастомизации. Свяжитесь с нами для детального обсуждения. Закажите настройку Strapi под ключ — наши инженеры помогут разобраться с конфигурацией.