Чеклист безопасности self-hosted

HTTPS, бэкапы, обновления и lock установщика.

После установки

/install отдаёт 404, как только существует lock-файл. Не удаляйте этот lock на живом инстансе. Держите сгенерированный путь админки в секрете.

Эксплуатация

  • Завершайте TLS на reverse proxy; не отдавайте приложение по plain HTTP в production. HSTS, firewall и дополнительные security headers — ваша ответственность: приложение не выставляет их глобально.
  • Делайте бэкап базы и storage/ по расписанию, которое вы уже проверяли восстановлением.
  • Держите PHP 8.3+ и зависимости Composer обновлёнными.
  • Запускайте cron, чтобы SSL-проверки, напоминания и почта реально срабатывали.
  • Для реальной почты используйте SMTP; драйвер log сообщения не отправляет.

Нужна ещё помощь?

Напишите команде — ответим в течение рабочего дня.

Обратиться в поддержку