Практичні нотатки про роботу з Nginx у реальних проєктах: налаштування вебсервера та reverse proxy, HTTPS і SSL/TLS-сертифікатів, redirects, routing, headers і production-конфігурації. Тут я збираю проблеми, з якими стикалася на практиці, їх діагностику та рішення.
Під час розслідування сплеску трафіку 155 upstream errors спочатку виглядали як проблема доступності основного застосунку. Але error log показав інше: запити потрапляли в окремий virtual host через поведінку HTTPS default server. Це змінило і діагноз, і захист.
Після нового сплеску трафіку я не стала одразу блокувати країну, User-Agent або IP. Спочатку звірила Laravel Analytics з Nginx logs, відокремила кілька незалежних джерел трафіку, перевірила роботу Fail2ban і лише потім додала Nginx rate limiting у dry-run режимі.
Після налаштування блокування сканерів я залишила ICanUp працювати на ніч і вранці перевірила реальні журнали. Захист спрацював, Fail2ban заблокував реальні адреси, а аналіз одночасно показав прогалину на DEV для вкладених чутливих шляхів.
Після розслідування автоматизованого сканування я винесла захист чутливих шляхів перед Laravel. Nginx одразу повертає 403, окремий журнал фіксує небезпечну спробу, Fail2ban читає цей журнал, а nftables тимчасово блокує джерело на HTTP і HTTPS.
16 вересня 2026 року власна аналітика ICanUp показала різкий розрив між звичайними та дедуплікованими переглядами. Перевірка журналів Nginx привела до сканера, який маскувався під Googlebot і перебрав тисячі шляхів до .env, облікових даних та конфігурацій. У статті показую команди розслідування і чому сам факт сканування ще не означає витік.
HTTP-заголовок не стає довіреним лише через назву X-*. У ICanUp це стало важливо під час передавання країни відвідувача з Nginx у Laravel: клієнт може надіслати такий самий заголовок самостійно. Розбираю, де повинна проходити межа довіри, чому Nginx має перезаписувати значення і коли Laravel справді може використовувати внутрішній заголовок як надійне джерело.
Для статистики ICanUp мені була потрібна країна відвідувача, але я не хотіла зберігати його IP-адресу або викликати зовнішній GeoIP API на кожен перегляд. Я перенесла визначення країни на рівень Nginx і MaxMind, а Laravel отримує лише нормалізований дволітерний код через довірений внутрішній заголовок.
Під час продовження Sectigo SSL сертифікат довго залишався на DCV validation, хоча verification-файл повертав 200 OK. Розповідаю, як я знайшла старий token, розділені HTTP/HTTPS validation paths у Nginx і правильно завершила renewal.