Настройка Strapi под ключ: от локала до продакшена

При переносе Strapi на production часто возникают ошибки CORS, неверная конфигурация базы данных и утечка API токенов. Особенно остро проблема встаёт, когда фронтенд на Next.js пытается отправить запросы к API на другом домене — браузер блокирует CORS, и клиент видит пустые страницы. Типовой проект включает от 5 до 10 content types, и каждая ошибка может стоить нескольких часов отладки. Мы решаем эти проблемы системно: настраиваем всё с учётом безопасности и производительности. В этой статье — готовый рецепт установки и настройки Strapi под ключ, проверенный на 30+ проектах.

Согласно официальной документации Strapi, эта гибкая headless CMS позволяет быстро создавать API, но настройка продакшена требует внимания к безопасности. В типовом проекте ускорение TTFB после оптимизации достигает 30-40%, а количество ошибок CORS снижается до нуля при правильной конфигурации.

Требования к серверу и база данных

Перед началом убедитесь, что сервер соответствует минимальным требованиям:

• Node.js 18 или 20 (LTS)
• npm 6+ / yarn 1.22+ / pnpm 6+
• PostgreSQL / MySQL / SQLite
• 2 ГБ ОЗУ и 20 ГБ SSD для среднего проекта

Инициализируйте проект с PostgreSQL одной командой:

npx create-strapi-app@latest my-strapi --dbclient=postgres
cd my-strapi
npm run develop
# later for production:
NODE_ENV=production npm run build
NODE_ENV=production npm start

При первом запуске создаётся администратор. В development-режиме доступен Content-Type Builder для быстрого прототипирования.

Как настроить CORS и безопасность?

Политика CORS — одна из самых частых причин ошибок при интеграции Strapi с фронтендом. Если не указать явный origin, браузер блокирует запросы. В консоли вы увидите Access-Control-Allow-Origin — типичная ошибка. Настройка через strapi::cors с переменной FRONTEND_URL решает проблему. Дополнительно настраиваем security-заголовки — это предотвращает XSS и внедрение скриптов.

// config/middlewares.js
module.exports = [
  'strapi::logger',
  'strapi::errors',
  {
    name: 'strapi::security',
    config: {
      contentSecurityPolicy: {
        useDefaults: true,
        directives: {
          'img-src': ["'self'", 'data:', 'blob:', 'res.cloudinary.com'],
        },
      },
    },
  },
  {
    name: 'strapi::cors',
    config: {
      origin: [process.env.FRONTEND_URL]
    }
  },
  'strapi::poweredBy',
  'strapi::query',
  'strapi::body',
  'strapi::session',
  'strapi::favicon',
  'strapi::public',
]

Конфигурация базы данных и сервера

Объединим настройку базы и сервера в один блок:

// config/database.js
module.exports = ({ env }) => ({
  connection: {
    client: 'postgres',
    connection: {
      connectionString: env('DATABASE_URL'),
      ssl: env.bool('DATABASE_SSL', false)
        ? { rejectUnauthorized: false }
        : false,
    },
    pool: {
      min: 2,
      max: 10,
    },
  },
})

// config/server.js
module.exports = ({ env }) => ({
  host: env('HOST', '0.0.0.0'),
  port: env.int('PORT', 1337),
  url: env('PUBLIC_URL', 'http://localhost:1337'),
})

Сравнение производительности: PostgreSQL vs SQLite

Почему важен правильный пул соединений?

Пул соединений (min:2, max:10) предотвращает исчерпание подключений к базе при пиковых нагрузках. В production-окружении с PostgreSQL пул критичен: без него каждое обращение открывает новое соединение, что увеличивает время отклика до 200-300 мс. Настройка пула снижает задержки до 10-20 мс. Экономия ресурсов сервера достигает 40% за счёт переиспользования соединений.

Управление API токенами и деплой

Создайте токен в панели администратора: Settings → API Tokens → Create new API Token. Выберите права (Read-only для публичных запросов) и скопируйте токен — он показывается один раз. Добавьте переменные окружения в .env фронтенда:

STRAPI_URL=http://localhost:1337 STRAPI_API_TOKEN=your-api-token-here 

Для надёжного управления процессом используем PM2:

// ecosystem.config.js
module.exports = {
  apps: [
    {
      name: 'strapi',
      script: 'npm',
      args: 'start',
      env: {
        NODE_ENV: 'production',
        DATABASE_URL: 'postgresql://...',
        APP_KEYS: '...',
        API_TOKEN_SALT: '...',
        JWT_SECRET: '...',
      },
    },
  ],
}

Сравнение способов деплоя:

Как оптимизировать TTFB?

Основные факторы: использование пула соединений (уже рассмотрели), кеширование запросов с помощью Redis или Varnish, включение HTTP/2 на сервере. В Strapi можно подключить плагин @strapi/plugin-redis для кеширования ответов. Это снижает TTFB на 30-40% без изменения кода.

Частые ошибки при переходе на production

• Забывают указать PUBLIC_URL — ссылки в админке ломаются.
• Не настраивают SSL для базы — соединение отвергается.
• Оставляют development-ключи — утечка данных.
• Не ограничивают CORS — доступ с любых доменов.
• Не задают ADMIN_JWT_SECRET — риск подделки сессий.

Что входит в настройку Strapi под ключ

• Инициализация проекта и подключение PostgreSQL
• Конфигурация CORS, Security, SSL
• Создание API токена и настройка .env
• Деплой с PM2 и мониторинг
• Документация по endpoints
• Поддержка после запуска (до месяца)

Процесс работы и сроки

1. Анализ требований и выбор хостинга
2. Установка и конфигурация Strapi
3. Настройка базы данных и middleware
4. Создание API токенов и интеграция с фронтендом
5. Деплой в продакшен и мониторинг

Базовая установка с PostgreSQL, настройкой CORS и первым content type занимает от 2 до 4 часов. Полная настройка под продакшен — от 1 дня. Стоимость рассчитывается индивидуально в зависимости от сложности проекта и необходимой кастомизации. Свяжитесь с нами для детального обсуждения. Закажите настройку Strapi под ключ — наши инженеры помогут разобраться с конфигурацией.