Запуск на боевом сайте

Настройки сервера и Joomla, которые не входят в компонент, но влияют на безопасность и SEO магазина (по итогам аудитов 2026-10-13: AUDIT_SECURITY_2026-10-13.md, AUDIT_SEO_2026-10-13.md). Тестовый стенд намеренно настроен иначе (отладка, HTTP, без сжатия).

Joomla

• Глобальная конфигурация: Отладка системы — Нет, Отчёт об ошибках — Нет (или «Простой»): иначе панель отладки видна анонимам, а ошибки показывают пути и SQL.
• Включить ЧПУ и перезапись URL (htaccess.txt → .htaccess), убрать index.php из адресов (иначе каждый адрес живёт и с index.php, и без; задайте 301).
• Cookie: «Принудительный HTTPS — весь сайт», флаги сессии Secure/HttpOnly/SameSite (глобальная конфигурация → Система → Сессия).
• В настройках магазина: «Тестовая оплата» (песочница) снять с публикации (в админке при публикации показывается предупреждение; плагин при установке не включается).
• Настройки → Заказы: «Привязывать гостевые заказы» — «Только по ссылке из письма» (по умолчанию); режимы по e-mail небезопасны.
• Настройки → Оформление: лимиты «Заказов с одного адреса в час» и «на один e-mail в час» (по умолчанию 10 и 3); за обратным прокси веб-сервер должен передавать реальный адрес клиента в REMOTE_ADDR (mod_remoteip/real_ip), иначе лимит считается по адресу прокси.

Веб-сервер

• Редирект http:// → https:// (301) и заголовок Strict-Transport-Security.
• Сжатие ответов (gzip/brotli) для HTML, CSS, JS, JSON, SVG.
• Кэш статики: Cache-Control: public, max-age=31536000, immutable для /media/, /images/ (версионированные имена) и шрифтов.
• Заголовки: X-Content-Type-Options: nosniff (JSON-ответы магазина уже его отдают), Referrer-Policy: strict-origin-when-cross-origin, X-Frame-Options: SAMEORIGIN или CSP frame-ancestors; убрать X-Powered-By и версию в Server.
• Закрыть от скачивания .htaccess, *.sql, *.ini-файлы настроек и каталог administrator/components/*/sql/ (на Apache делает .htaccess Joomla; на nginx добавьте location ~* \.(sql|htaccess)$ { deny all; }).
• Загрузчик изображений магазина защищён файлами .htaccess; на nginx (и Apache без AllowOverride) выполнение PHP в images/dharmashop/ запретите правилом сервера.
• Ограничение частоты запросов на уровне сервера к index.php?option=com_dharmashop&task=… (поиск, оформление, доставка) — дополнение к внутренним лимитам.

Проверка после запуска

1. curl -sI https://<сайт>/ — 200, HSTS, nosniff, без X-Powered-By; curl -sI http://<сайт>/ — 301 на https.
2. Страница с ?start=0 отдаёт 301 на чистый адрес, ?start=<за пределами> — 404.
3. Нет Set-Cookie: dharmashop_favorites на страницах без действий с избранным (проверка публичного кэширования).
4. В админке «Способы оплаты» нет предупреждения о песочнице.
5. Валидаторы разметки (Rich Results Test / Schema Markup Validator) на карточке товара, категории и посадочной странице.