Сеть WordPress-сайтов наркологической клиники «От запоя»

Решение и подход

• CSS/PHP вне темы через mu-plugin. План изначально предлагал дочернюю тему medigo-child, но по решению заказчика выбран mu-plugin otz-custom.php — переживает обновления Medigo и не несёт риска сброса опций темы дочерней темой. В репозитории дочерней темы нет — подтверждает выбранный механизм (источник: sites/./themes/, docs/handoff.md).
• Контент в БД, а не в файлах. Ключевая находка аудита: шапка/подвал — не Theme Builder и не хардкод, а CPT темы pxl-template, назначаемые опциями Redux (header_layout=3530, footer_layout=97); меню рендерит виджет темы pxl_menu, а не Max Mega Menu (это изменило способ правок навигации). Большинство задач — правки контента/настроек в БД на проде.
• Прайс-лист переписан с сохранением единого источника данных: цены остаются в TablePress (заказчик правит привычно), а вывод — современные строки-карточки «услуга + цена-пилюля» через собственный шорткод, парсящий таблицу; DataTables отключён.
• Hero первого экрана перерисован вручную (светлый дизайн), с настоящим тегом <h1> (закрывает и SEO-пункт H1/H2), аккуратной интеграцией с прозрачной overlay-шапкой темы (position:absolute) и полным набором адаптивных брейкпоинтов.
• Прод-дисциплина: фронт — nginx с микрокэшем (не LiteSpeed на edge); после правок _elementor_data обязателен wp elementor flush-css; проверка через cache-buster и Playwright; SSH с учётом гео-блокировки порта 22 и троттлинга парольного входа (укрупнение батчей).

Стек и обоснование

WordPress + Elementor + тема Medigo/case-addons — унаследованный стек (выбор сделан до проекта). MySQL 8.0 (Percona), PHP 8.2, WP-CLI 2.8.1, фронт nginx/1.30 с микрокэшем. Формы: WPForms (главный) и Contact Form 7 (dzerzhinsk) — разные движки, правки переносились раздельно. Прайс — TablePress. Кастом — PHP/CSS в mu-plugin (без сборочного тулинга: ни package.json/composer.json для кастома, ни CI, ни тестов — фронт собирается Elementor'ом). Визуальная регрессия — Playwright (headless Chromium). Выбор инструментов продиктован запретом на обновления и отсутствием staging: решения подбирались совместимыми с текущими (часто устаревшими) версиями и максимально обратимыми.

Инженерные вызовы

• Прод без сети и без отката-by-design: нет git и staging — компенсировано бэкапами БД/файлов перед каждой сессией, снимками _elementor_data перед патчем, точечными обратимыми правками и cache-flush-дисциплиной.
• Контент в БД, а не в коде: правки приходилось локализовать в Elementor JSON и опциях Redux/плагинов, опровергая ошибочные исходные предположения (логотип, расположение копирайта, рендер меню темой pxl_menu, а не Max Mega Menu).
• Две инсталляции с раздельными БД и разными движками форм — тиражирование шаблонов/контента и search-replace ссылок без авто-синхронизации.
• Юридический контур РФ: наркология подпадает под ФЗ-38 ст.24 (обязательный дисклеймер «Имеются противопоказания…», раскрытие лицензии, запрет гарантий излечения и отзывов о выздоровлении; штраф юрлицу) и 152-ФЗ по ПДн пациентов из форм — это влияло на весь контент.

Безопасность (ключевая компетенция)

Отдельно оформленная экспертиза, выделенная заказчику в коммерческое предложение доп. работ (docs/reports/2026-06-18-security-additional-works.md):

• Выявлены и доказаны критические уязвимости активного стека: case-addons 1.2.0 — CVE-2025-62047, CVSS 9.9 (Arbitrary File Upload уровнем Subscriber ≈ RCE на прод-сети клиники, bundled-плагин темы без авто-апдейта); Slider Revolution 6.7.34 — CVE-2025-9217 LFI (чтение wp-config.php с доступами к БД) +2 CVE; XSS в LiteSpeed Cache 7.7 на dzerzhinsk; рассинхрон Elementor Pro 3.27.4 ↔ core 3.34.1; EOL PHP 8.2 (31.12.2026). Каждый вывод перепроверен по первоисточникам (NVD/Patchstack/WPScan/вендор) с датами; отмечены ложные срабатывания сканеров (WooCommerce 10.4.4, woo-variation-swatches).
• Приоритизация и митигейты без обновления: план S1–S7 со «сложностью» под расчёт стоимости, экономикой WAF (платный WAF Timeweb — клиент не подключает), снижением attack surface (удаление неиспользуемых WooCommerce/Slider Revolution), компенсациями (отключение открытой регистрации, аудит ролей Contributor+, 2FA).
• Ответственное обращение с доступом и данными: аудит сервера — строго read-only; ПДн пациентов (wp_wpforms_entries) не выгружались и не попадали в отчёты (152-ФЗ); секреты (SSH-доступы в docs/credentials.md) не извлекались и не публиковались; предусмотрена ротация доступов после работ.