INTERLAB
Как делать · 07

DevOps, тестирование и безопасность

Linux, Docker, Nginx, деплой, CI/CD, мониторинг, пирамида тестов, OWASP и секреты.

Прочитано: 0 / 12LinuxDockerNginxХостингДеплойCI/CDМониторинг и логиТестированиеE2E-тестированиеБезопасность приложенийУправление секретами

Linux

  1. Пошаговый урок✓

    Linux для разработчика: файлы, права, процессы, SSH

    Чтобы уверенно работать с Linux-сервером, разработчику нужно пять навыков: входить по SSH-ключу, работать от обычного пользователя с sudo, понимать владельцев и права файлов, находить процессы и занятые порты и запускать приложение как сервис systemd с журналом в journalctl. Ниже — вся первичная настройка VPS на Ubuntu 24.04 LTS с реальным выводом команд и итоговым чек-листом.

    Начальный · 10 мин чтения · практика ~45–90 мин

Docker

  1. Пошаговый урок✓

    Docker с нуля: образ, контейнер, Dockerfile

    Образ Docker — неизменяемый шаблон из слоёв: система, рантайм, зависимости и код приложения. Контейнер — запущенный из образа изолированный процесс со своим слоем для записи. Образ описывают в Dockerfile; для Node.js хороший Dockerfile — многоэтапный, с .dockerignore, непривилегированным пользователем и HEALTHCHECK, а данные хранятся в томах, а не внутри контейнера.

    Начальный · 7 мин чтения · практика ~45–90 мин
  2. Пошаговый урок✓

    Docker Compose: приложение и база локально одной командой

    Docker Compose описывает несколько контейнеров в одном файле compose.yaml: сервисы, порты, тома, сеть и переменные окружения — и поднимает их командой docker compose up. Чтобы API не стартовал раньше базы, у PostgreSQL и Redis задают healthcheck, а у API — depends_on с condition: service_healthy. Секреты берутся из .env, данные живут в именованных томах и переживают docker compose down, если не добавить -v.

    Средний · 6 мин чтения · практика ~1,5–3 ч

Nginx

  1. Руководство✓

    Nginx как reverse proxy: HTTPS, статика, заголовки

    Reverse proxy — сервер, который принимает запросы клиентов вместо приложения: Nginx слушает порты 80 и 443, завершает HTTPS, сам отдаёт статику и передаёт остальное в Node.js через proxy_pass, добавляя заголовки Host и X-Forwarded-*. Ниже — рабочий конфиг для Nginx 1.30 с редиректом на HTTPS, кэшем статики, gzip, лимитом тела, таймаутами и заголовками безопасности, проверенный nginx -t и curl в Docker.

    Средний · 8 мин чтения · практика ~1–2 ч

Хостинг

  1. Основы✓

    Домен, хостинг, DNS и SSL: что это и что должно принадлежать вам

    Домен — это имя сайта, DNS — адресная книга, которая связывает имя с сервером, хостинг — место, где сайт физически работает, а SSL-сертификат включает HTTPS и шифрует соединение. Домен не покупают навсегда, а регистрируют на срок и продлевают. Поэтому домен, DNS, хостинг и все связанные аккаунты должны быть оформлены на вашу компанию с вашей почтой — иначе сайт зависит от подрядчика и от того, вовремя ли кто-то оплатит продление.

    Начальный · 5 мин чтения

Деплой

  1. Сравнение✓

    Деплой: VPS, PaaS или контейнеры и выкатка без простоя

    VPS даёт полный контроль над сервером, но обновления, HTTPS, мониторинг и выкатка без простоя — на вас; PaaS вроде Vercel, Render или Fly.io берёт это на себя ценой рамок платформы; Kubernetes нужен, когда сервисов и экземпляров много и нужна автоматическая оркестрация. Выкатка без простоя в любой модели строится одинаково: новая версия поднимается рядом со старой, проходит health check, получает трафик, а старая мягко завершает текущие запросы. Миграции БД при этом делают обратно совместимыми, чтобы откат кода оставался возможным.

    Средний · 8 мин чтения

CI/CD

  1. Пошаговый урок✓

    CI/CD на GitHub Actions: проверки на каждый pull request

    CI на GitHub Actions — это YAML-файл в .github/workflows/, который на каждый pull request ставит зависимости через npm ci, запускает линтер, проверку типов, тесты и сборку на чистой машине GitHub. Чтобы сломанный код не попал в main, итоговую проверку делают обязательной в защите ветки, а публикацию и деплой выносят в отдельный workflow по тегу — с минимальными правами токена, actions, закреплёнными по SHA, и секретами окружения production.

    Средний · 12 мин чтения · практика ~1,5–3 ч

Мониторинг и логи

  1. Основы✓

    Мониторинг и логирование: что собирать и как реагировать

    Сервису нужны три вида телеметрии: структурированные логи, чтобы разобрать конкретный запрос; метрики, чтобы видеть тренды и ставить алерты; трассировки, чтобы проследить запрос через несколько сервисов. Минимальный набор метрик — четыре золотых сигнала из книги Google SRE: задержка, трафик, ошибки и насыщение. Алерт должен срабатывать на симптом, который видят пользователи, с порогом и выдержкой времени, а не на любую странность.

    Средний · 12 мин чтения

Тестирование

  1. Основы✓

    Пирамида тестирования: unit, integration, e2e

    Пирамида тестирования — правило распределения автотестов: много быстрых unit-тестов внизу, меньше интеграционных в середине и совсем немного end-to-end-тестов сверху. Чем выше уровень, тем ближе тест к реальному пользователю, но тем он медленнее, дороже и чаще ломается без причины. E2E-тесты нужны, чтобы убедиться, что главные сценарии работают целиком, но всё, что можно проверить уровнем ниже, проверяют ниже.

    Средний · 10 мин чтения

E2E-тестирование

  1. Пошаговый урок✓

    E2E-тесты на Playwright

    E2E-тест (end-to-end, сквозной) запускает настоящий браузер, открывает работающее приложение и проходит сценарий так, как его прошёл бы человек: заполняет форму, нажимает кнопку и проверяет результат на экране. В Playwright Test такой тест строится на локаторах по ролям и подписям, авто-ожиданиях перед действиями и web-first проверках, которые повторяются, пока условие не выполнится. Причину падения ищут по trace — записи каждого шага с DOM, сетью и консолью.

    Средний · 11 мин чтения · практика ~1,5–3 ч

Безопасность приложений

  1. Основы✓

    OWASP Top 10 для разработчика

    OWASP Top 10 — документ OWASP о десяти самых критичных категориях рисков веб-приложений; актуальная опубликованная редакция — 2025 года. В ней первое место по-прежнему у нарушения контроля доступа, на второе поднялась небезопасная конфигурация, появились категории про цепочку поставок ПО и обработку исключительных ситуаций. Каждая категория — это группа слабостей (CWE), которые закрываются конкретными приёмами в коде: проверкой владельца записи на сервере, параметризованными запросами, экранированием вывода, медленным хешированием паролей и отказом «по умолчанию».

    Средний · 11 мин чтения

Управление секретами

  1. Руководство✓

    Секреты и переменные окружения: как не утечь ключами

    Секреты — пароли, ключи API, токены и строки подключения — не пишут в код: приложение читает их из переменных окружения, локально — из файла .env, который закрыт .gitignore, а в репозитории лежит только шаблон .env.example. В CI и на хостинге значения хранятся в их хранилищах секретов, а в браузерный бандл не попадает ничего, кроме переменных с публичным префиксом вроде NEXT_PUBLIC_. Если ключ всё же утёк, его первым делом отзывают и перевыпускают, и только потом решают, нужно ли переписывать историю Git.

    Средний · 9 мин чтения · практика ~30–60 мин

Траектории с этим направлением

Docker и деплой · 8 →← Все направления
Расскажите о задаче — мы изучим запрос и свяжемся с вами

Есть задача?
Обсудим и оценим — бесплатно.

Расскажите о продукте или проблеме. Предложим архитектуру, срок и стоимость первой версии после изучения задачи.

  • Оценка объёма и рисков до старта
  • NDA — по вашему или нашему шаблону
  • Старт работ в течение недели
Написать в WhatsApp

Не присылайте через форму пароли, ключи доступа и исходный код — безопасную передачу доступа обсудим отдельно.

Нажимая кнопку, вы соглашаетесь с обработкой персональных данных.