Strapi

В сентябре проверяли 5.52.2. В 5.59.0 от 21 октября исправлены зависающие соединения с PostgreSQL и MySQL, работа со связями и публикация записей.

Промежуточная 5.54 включила новую медиатеку с деревом папок и фоновыми загрузками. Снимки ниже относятся к 5.52.2: их версия указана в подписях.

Для 5.59 нужен Node.js от 22.19, несмотря на старое значение в engines. У Knex 3.3 изменилось поведение delete/truncate с limit и having: проверьте собственные плагины перед обновлением.

Обновления Axios и Handlebars закрывают уязвимости старых зависимостей. Для Undici и DOMPurify требуются дополнительные исправления: они внесены в команды установки. Подробности - в разделе «Уязвимости прошлых версий».

Strapi - это headless CMS: система управления контентом без своего фронтенда. Вы описываете структуру данных (статьи, товары, страницы, авторов), а Strapi генерирует под нее админку для редакторов и API для разработчиков. Фронтенд - сайт, мобильное приложение, витрина - вы делаете отдельно на любом стеке и берете контент через API. Это ключевое отличие от классической CMS вроде WordPress, где бэкенд и фронт слиты воедино.

Главный инструмент - визуальный Content-Type Builder: добавляете поля мышкой, и Strapi сразу поднимает под них REST-эндпоинты, после установки GraphQL-плагина - его схему, ролевой доступ (RBAC) и медиатеку для файлов. Ядро продукта открыто под MIT, поэтому данные и API живут на вашем сервере - без лимитов на количество записей и без абонплаты за каждого редактора, как у облачных Contentful или Sanity.

По прайсу Contentful на 24 октября 2026 Free включает 10 пользователей и 100 тысяч API-запросов в месяц; Lite стоит 300 долларов в месяц. Для небольшого проекта бесплатное облако может быть достаточным.

Сервер Strapi написан на Node.js и TypeScript, запросы обрабатывает Koa. Админка на React собирается в статические файлы и отдается тем же приложением.

В ручной инструкции приложение работает службой systemd, PostgreSQL 16 - контейнером. Оба слушают localhost; Caddy принимает внешний HTTPS и передает запросы на порт 1337.

Генератор проекта создает секреты и настройки подключения к БД в .env. При первом запуске Strapi создает таблицы; модель контента хранится также в исходниках проекта.

По требованиям вендора и для повторения инструкции возьмите CPU2-RAM4-DISK50. Четыре гигабайта нужны в том числе для установки зависимостей и сборки админки на сервере.

270 МиБ - потребление процесса из сентябрьского замера, а не размер сервера для всей установки. База, система, сборка и загрузки требуют отдельного запаса.

1. Установите Node.js и Docker

   Войдите по SSH, выполните sudo -i и копируйте команды в этой оболочке. Нужна чистая Ubuntu 24.04 с 4 ГБ RAM; порты 80 и 443 должны быть доступны.

   apt-get update && apt-get install -y curl ca-certificates gnupg build-essential
   curl -fsSL https://deb.nodesource.com/setup_22.x -o /tmp/node-setup.sh
   bash /tmp/node-setup.sh && apt-get install -y nodejs
   curl -fsSL https://get.docker.com -o /tmp/docker-setup.sh
   sh /tmp/docker-setup.sh
   node --version

2. Создайте базу и задайте адрес

   Замените ваш-домен адресом, направленным на IP сервера. Введите пароль сервера из панели: он станет паролем администратора. У PostgreSQL будет отдельный случайный пароль.

   DOMAIN=ваш-домен
   read -rsp 'Пароль сервера из панели: ' ADMIN_PASSWORD; echo
   DB_PASSWORD=$(openssl rand -hex 24)
   docker pull postgres:16
   docker run -d --name strapi-db --restart unless-stopped -p 127.0.0.1:5432:5432 -e POSTGRES_DB=strapi -e POSTGRES_USER=strapi -e POSTGRES_PASSWORD="$DB_PASSWORD" -v strapi-db-data:/var/lib/postgresql/data postgres:16
   until docker exec strapi-db pg_isready -U strapi >/dev/null 2>&1; do sleep 2; done

3. Создайте проект нужной версии

   Генератор добавит пример типов контента для первых записей. Приложение пока не запускается, поэтому окно регистрации недоступно из интернета.

   mkdir -p /opt/strapi && cd /opt/strapi
   npx --yes create-strapi-app@5.59.0 app --non-interactive --no-install --no-run --skip-cloud --no-git-init --js --example --use-npm --dbclient postgres --dbhost 127.0.0.1 --dbport 5432 --dbname strapi --dbusername strapi --dbpassword "$DB_PASSWORD" --dbssl false
   cd app
   node -e 'const fs=require("fs"),p=require("./package.json"); p.overrides={"undici@^6":"6.29.1","undici@^7":"7.30.1","undici@^8":"8.12.2","vite@^6":"6.4.4","vite@^8":"8.1.6","dompurify":"3.4.17","markdown-it@^14":"14.3.3","zod@^4":"4.6.6","@strapi/provider-email-sendmail":{"nodemailer":"10.1.4"}}; fs.writeFileSync("package.json",JSON.stringify(p,null,2))'
   npm install

4. Соберите админку и создайте администратора

   Исправленные версии зависимостей заданы отдельно от версии Strapi; после установки сохраните package-lock.json вместе с проектом. Само приложение слушает localhost; вход администратора создается до включения HTTPS-прокси.

   printf '
   HOST=127.0.0.1
   URL=https://%s
   ' "$DOMAIN" >> .env
   cat > config/server.js <<'EOF'
   module.exports = ({ env }) => ({ host: env('HOST'), port: env.int('PORT', 1337), url: env('URL'), proxy: { koa: true }, app: { keys: env.array('APP_KEYS') } });
   EOF
   npm run build
   NODE_ENV=production npm run strapi -- admin:create-user --firstname Admin --email "admin@$DOMAIN" --password "$ADMIN_PASSWORD"
   unset ADMIN_PASSWORD
   useradd --system --home-dir /opt/strapi --shell /usr/sbin/nologin strapi
   chown -R strapi:strapi /opt/strapi && chmod 600 .env
   cat > /etc/systemd/system/strapi.service <<'EOF'
   [Unit]
   After=network-online.target docker.service
   [Service]
   User=strapi
   WorkingDirectory=/opt/strapi/app
   Environment=NODE_ENV=production
   ExecStart=/usr/bin/npm run start
   Restart=on-failure
   [Install]
   WantedBy=multi-user.target
   EOF
   systemctl daemon-reload && systemctl enable --now strapi

5. Включите HTTPS и войдите

   Caddy получает сертификат автоматически. Дождитесь ответа приложения локально, затем откройте /admin и войдите как admin@ваш-домен с паролем сервера из панели.

   until curl -fsS http://127.0.0.1:1337/admin/init >/dev/null; do sleep 3; done
   apt-get install -y debian-keyring debian-archive-keyring apt-transport-https
   curl -fsSL https://dl.cloudsmith.io/public/caddy/stable/gpg.key | gpg --batch --yes --dearmor -o /usr/share/keyrings/caddy-stable-archive-keyring.gpg
   curl -fsSL https://dl.cloudsmith.io/public/caddy/stable/debian.deb.txt > /etc/apt/sources.list.d/caddy-stable.list
   apt-get update && apt-get install -y caddy
   printf '%s {
    reverse_proxy 127.0.0.1:1337
   }
   ' "$DOMAIN" > /etc/caddy/Caddyfile
   systemctl restart caddy
   curl -fsS --retry 12 --retry-all-errors --retry-delay 5 --max-time 10 "https://$DOMAIN/admin/init"

После входа закройте экскурсию кнопкой Skip, если она появилась. Откройте Content Manager → Article → Create new entry. Заполните title и slug, нажмите Save, затем Publish. Пример типов контента добавлен генератором: структуру можно изучить в каталоге src/api проекта.

Проверено на версии v5.52.2, сентябрь 2026. На новых версиях результаты могут отличаться.

В инструкции администратор создается командой до запуска публичного прокси. Вход - admin@ваш-домен и пароль сервера из панели. Для интеграции выпустите отдельный токен в Settings → API Tokens.

Перед обновлением остановите запись и сохраните базу вместе с проектом, секретами и загруженными файлами. Выполните в root-оболочке:

umask 077
systemctl stop strapi
docker exec strapi-db pg_dump --clean --if-exists -U strapi strapi > /root/strapi.sql
tar --exclude=app/node_modules -czf /root/strapi-app.tgz -C /opt/strapi app
systemctl start strapi

Для восстановления этих копий на том же сервере остановите приложение, верните файлы и импортируйте базу. Существующие данные будут заменены состоянием копии:

systemctl stop strapi
tar -xzf /root/strapi-app.tgz -C /opt/strapi
docker exec -i strapi-db psql -v ON_ERROR_STOP=1 -U strapi strapi < /root/strapi.sql
cd /opt/strapi/app && npm ci
chown -R strapi:strapi /opt/strapi
systemctl start strapi

Для обновления проекта используйте штатную утилиту. Сначала сохраните копии выше, затем выполните:

cd /opt/strapi/app
systemctl stop strapi
npx --yes @strapi/upgrade@5.59.0 to 5.59.0
npm run build && chown -R strapi:strapi /opt/strapi
systemctl start strapi
npm ls @strapi/strapi undici

Сохраните overrides исправленных зависимостей из шага установки. После запуска откройте админку, войдите, загрузите файл и опубликуйте запись. При ошибке смотрите journalctl -u strapi -n 80; для возврата используйте обе копии, а не только старый код.

Инструкция устанавливает 5.59.0 и отдельно закрепляет исправленные зависимости. Обновление одного номера Strapi недостаточно: сравните состав своего проекта с таблицей.

Это условия уязвимостей библиотек, а не утверждение о захвате любого Strapi. Для атаки нужен указанный в бюллетене путь обработки. Смена пароля не заменяет обновление пакетов.

• Обратный прокси - Caddy или Traefik для TLS перед админкой и API.
• База данных - PostgreSQL для продакшена вместо файлового SQLite.
• Хранилище файлов - S3-совместимое хранилище для медиатеки через провайдер-плагин.
• Бэкапы - pg_dump по расписанию плюс выгрузка тома с загрузками.