Веб Мастерская | Веб разработка и программирование | ИТ | IT

SEO:

Полное руководство по борьбе с дублями страниц

Коллеги, признавайтесь: хоть раз гуглили свой сайт через site: и находили там 3-4 копии одной и той же страницы? Поздравляю, вы не одиноки. Дубли — это как тараканы на кухне: вроде бы не критично, но поисковики морщатся, а ваш рейтинг потихоньку стекает в канализацию.


Почему это больно?

Яндекс и Google тупо не понимают, какую версию показывать в выдаче. Бюджет краулинга расходуется впустую, вес страницы размывается между клонами, и вы теряете позиции там, где должны были быть в топе.


Где искать дубли

→ Screaming Frog — crawl-им сайт, смотрим отчёты по дублирующимся Title, H1, Meta Description. Вкладка «Page Data» сразу покажет проблемные URL.

→ Google Search Console → «Страницы» → фильтруем по «Дублирующимся без указания канонической». Гугл сам всё нашёл, вам остаётся только чинить.

→ Оператор site:ваш-домен.ру + проверка через inurl:, intitle:. Дёшево и сердито.

→ Проверка параметров: ?sort=price, ?utm_source=..., ?page=2. Если сервер отдаёт 200 вместо редиректа — у вас дубль.


Как лечим

1️⃣ 301-редирект — если страница-дубль не нужна вообще (удалённый фильтр, старый URL). Навсегда, без вариантов.

2️⃣ Canonical (rel="canonical") — если дубль нужен пользователям (пагинация, сортировки), но в индекс должна идти одна версия. Ставим в <head>.

3️⃣ robots.txt + meta robots — закрываем мусорные параметры от индексации. Но помним: Disallow не склеивает вес, а noindex + follow — да.

4️⃣ Единый формат URL — один слэш или без, www или без, http vs https. Прописываем редиректы на уровне сервера (nginx/Apache), а не надеваемся на CMS.

5️⃣ Карта сайта — в sitemap.xml только канонические версии. Никаких дублей. Точка.

Лайфхак из мастерской: после всех правок запускаем повторный crawl через 2-3 дня и сверяем количество проиндексированных страниц в Search Console. Если цифра упала на 15-20% — вы всё сделали правильно. Это не потеря, это уборка.

Коллеги, дубли — это не приговор, а просто бардак в структуре. Навели порядок — и поисковик начал вас уважать. Проверьте свой проект на этой неделе, не откладывайте.

Вот так. Идем кодить дальше! 🚀

Экстренный рефакторинг 32 проектов с mysql_* на PHP 8.5 без единой строчки правок в бизнес-логике

Читайте нашу статью на Хабре: https://habr.com/ru/articles/1098930/

Как я с <template> и <slot> подружиться пытался

Читайте нашу статью на Хабре:
https://habr.com/ru/articles/1098408/

ВАЖНО:

Многие так и не решили вопрос с уязвимостью в PHP. Поэтому, если на вашем сервере/VPS используется PHP, вам необходимо:

1. Обновить PHP до исправленной версии: 8.5.12, 8.4.27, 8.3.36 или 8.2.35 (либо пакет дистрибутива с исправлением).

2. Если обновить сразу невозможно — временно установить в php.ini (для PHP-FPM/Apache) параметр:





session.upload_progress.enabled = Off

и перезапустить PHP-FPM/веб-сервер.

3. Ограничить доступ к административным панелям (Bitrix, WordPress, phpMyAdmin и т.п.) доверенными IP-адресами.

4. Проверить сервер на признаки взлома: неизвестные .php-файлы, подозрительные процессы и исходящие соединения.

Важно: взломанные ресурсы, используемые для атак, могут быть заблокированы ЦМУ ССОП на уровне сети.

Позаботьтесь о своем сервере как можно быстрее!

КЕЙС:

Редизайн каталога на 12 000 товаров: фильтрация без перезагрузки страницы

Коллеги, на днях закрыли проект, который начинался со слов клиента: «У нас каталог тормозит, покупатели уходят». А заканчивался тем, что мы перебрали всю логику фильтрации с нуля. Делюсь, что сработало в продакшене.

Дано: интернет-магазин строительных материалов. 12 000+ SKU, 6 уровней вложенности категорий, 14 параметров фильтрации (цена, бренд, материал, размер, наличие и т. д.). Старая реализация — классический сабмит формы, перезагрузка, белый экран на 3–4 секунды. Конверсия в корзину: 1,2%.


Что сделали:

1️⃣ Перенесли фильтрацию на клиент. Сервер отдаёт один раз срез по категории (макс. ~3 000 позиций), дальше крутим на фронте. Для 12 000 товаров по всей витрине — ленивая подгрузка через IntersectionObserver + пагинация по 200 карточек.

2️⃣ Debounce + Web Worker. Ввод в поиск и чекбоксы фильтров уходят в воркер с задержкой 300 мс. Воркер гоняет фильтрацию по индексу (простой Map по каждому параметру), возвращает массив ID. Основной поток не фризит.

3️⃣ Скелетоны вместо спиннера. Пока воркер считает, показываем анимированные заглушки карточек. Пользователь видит, что «что-то происходит», а не тупит в пустоту.

4️⃣ Синхронизация с URL. Каждый набор фильтров пишется в query-params через History API. Ссылку можно скопировать, отправить, добавить в закладки. Без перезагрузки.

5️⃣ Счётчик результатов в реальном времени. «Найдено 347 товаров» обновляется мгновенно, ещё до отрисовки карточек. Даёт ощущение контроля.


Результат через 3 недели после деплоя:

— Время отклика фильтра: 3–4 сек → 120 мс (медиана).
— Конверсия в корзину: 1,2% → 2,7%.
— Показатель отказов на страницах каталога упал на 38%.

Грабли, на которые наступили: на первом прототипе грузили все 12 000 объектов разом. На слабых мобилках Safari просто умирал по памяти. Пришлось резать на чанки и выгружать невидимые карточки из DOM.

Главный вывод: не бойтесь переносить логику на клиент, если объём данных вменяемый. Но всегда тестируйте на реальных устройствах, а не на MacBook с 32 ГБ оперативки. 😄

Вот так. Идем кодить дальше! 🚀

ДАЙДЖЕСТ НОВОСТЕЙ:

Коллеги, снова пятница, и у меня для вас свежая подборка новостей из мира веб-разработки! 🔥


🚀 React 19.3 вышел — что нового?
Команда React выкатила версию 19.3 с целым рядом улучшений. Ходят слухи, что скоро увидим и React 20, но пока довольствуемся тем, что есть. Если работаете на React — самое время обновиться и протестировать новые фичи в продакшене!


⚡ Next.js 16.4: Turbopack становится стабильным
Vercel продолжает радовать. Новый Next.js 16.4 приносит lazy compilation, уменьшенный вывод Turbopack и полную поддержку React 19.3. Скорость сборки выросла, билды стали быстрее — фрилансерам и студиям это точно понравится!


🟢 Node.js 26: Temporal API теперь по умолчанию
Долгожданное событие для бэкендеров. В Node.js 26 Temporal API включен по умолчанию, добавились Map upsert helpers и новый V8 14.6. Если вы все еще на старых версиях — пора планировать миграцию, потому что старая добрая Date уже уходит в прошлое.


🛡️ PHP2Shell: критические уязвимости RCE
Внимание, бэкендеры на PHP! Обнаружены две критические уязвимости (CVE-2026-109618 и CVE-2026-109619), позволяющие неаутентифицированному злоумышленнику выполнять произвольный код на сервере. Затронуты версии PHP от 5.4 до 8.5 — это практически все, что вы могли встретить в legacy-проектах. Срочно обновляйтесь и проверяйте свои клиенты!


⚠️ Vmanager под ударом: обход аутентификации
А здесь у нас Cisco Catalyst SD-WAN Manager (vManager). Уязвимость CVE-2026-76504 позволяет получить права администратора одним POST-запросом — буквально без всякой аутентификации. Если вы используете vManager для управления сетью — патчите инфраструктуру немедленно, иначе ваш сервер может уйти к злоумышленникам.

Всем удачи и да поможет нам Ктулху...

CMS:

Когда стоит выбирать Drupal вместо WordPress

Коллеги, давайте честно: в 8 из 10 проектов WordPress закроет задачу. Но есть те самые 2 из 10, где вы будете проклинать всё на свете, пытаясь натянуть его на сложный проект. И вот тут на сцену выходит Drupal.

Когда Drupal реально оправдан:

🔹 Сложная структура контента. У вас 15+ типов материалов, связанных друг с другом: статьи → авторы → категории → теги → регионы → ещё какая-нибудь сущность. В WP вы утонете в плагинах ACF и кастомных таксономиях. В Drupal это нативная история из коробки.

🔹 Гибкие права доступа. Когда нужно, чтобы редактор видел одно, менеджер — другое, а клиент из региона Х — только свой кусок. В Drupal система ролей и разрешений гранулярная до неприличия.

🔹 Мультиязычность на стероидах. Не просто «перевели страницу», а 5 языков, разные структуры меню, локализованные таксономии, переводы полей сущностей. Drupal делает это без танцев с бубном.

🔹 Безопасность уровня «госсайт». Не зря на Drupal сидят whitehouse.gov и куча университетов. Модуль Security Team работает как часы, патчи выходят быстро, аудит кода строгий.

🔹 Контент как API. Headless-архитектура, когда фронт на React/Next, а бэк отдаёт JSON. В Drupal это из коробки через JSON:API. В WP — через плагины и боль.


А когда Drupal — оверкилл:

Блог, лендинг, визитка, простой интернет-магазин на 50 товаров. Серьёзно, не мучайте себя. WordPress + Elementor/WooCommerce закроют это за неделю.

Главный критерий выбора: если вы ловите себя на мысли «мне нужна не просто CMS, а фреймворк для управления контентом» — смотрите в сторону Drupal. Порог входа выше, порог боли на третьем месяце поддержки — ниже.

Из практики
Переносили корпоративный портал с 200+ страницами и 8 ролями с WP на Drupal. Клиент перестал звонить в 2 часа ночи с вопросом «почему плагин конфликтовал». Бесценно. 😄

Вот так. Идем кодить дальше! 🚀

ЭТО ВАЖНО!

PHP2SHELL: ломают сам язык, а не ваш код

Коллеги, 21 октября команда PHP выпустила внеочередные патчи. В ядре языка нашли две критические уязвимости (CVE-2026-109618 и CVE-2026-109619) с оценкой 9.2 из 10, названные исследователями PHP2Shell.

Главная боль: это дыра НЕ в вашем коде и НЕ в плагинах, а в самом интерпретаторе!

Атакующему не нужен ваш логин или баг в приложении. Он просто шлёт запрос, вызывающий исчерпание памяти (memory_limit) или фатальную ошибку.

Механизм обработки ошибок в PHP некорректно убирает за собой мусор, оставляя use-after-free в памяти, который хакер использует для удаленного выполнения шелл-кода (RCE).

Масштаб пугает: PHP работает на трёх четвертях веба. Уязвимы все версии, начиная с 5.4. Эксплойты уже подтверждены на свежих контейнерах WordPress, Drupal, Joomla и Magento. Под ударом даже простая страница «Hello World».

Что делать прямо сейчас:

1. Обновите PHP до 8.2.35, 8.3.36, 8.4.27 или 8.5.12.

2. Обязательно перезапустите воркеры (php-fpm / Apache)! Просто обновить пакеты мало, дыра живёт в процессах.

3. Если вы на 8.1 или старее — официальных патчей нет. Ищите бэкпорты от вендора дистрибутива или срочно планируйте переезд.

4. Временно отключите в php.ini опцию session.upload_progress.enabled=0 — она закрывает один из векторов.

5. Если обновить нельзя, а сервер смотрит в интернет — временно закройте его от внешнего мира.

Ваш код может быть идеальным, но если дырявый фундамент — сервер уже не ваш.

Всем удачи и поможет нам Ктулху...

JS:

Шаблонные литералы — это не только ${переменная}, но и нормальная многострочность без \n и бесконечных плюсов.

Раньше:

const msg = "Привет, " + name + "!\n" +
"Заказ №" + id + " готов.";

Теперь:





const msg = Привет, ${name}! Заказ №${id} готов.;

Обратные кавычки сохраняют переносы строк как в редакторе. Для писем, логов, уведомлений и небольших HTML-фрагментов это просто спасение.

В реальных проектах я часто вижу, как джуны тащат конкатенацию из старых примеров. Но шаблонные литералы — это стандарт с 2015 года, и их можно смело использовать даже без сборки и танцев с бубном.

Но есть два подводных камня.

1. Лишние отступы из кода попадут в строку. Если шаблон выровнен по красоте, эти пробелы окажутся в тексте. Для писем и разметки это часто критично.

2. Если внутрь ${} попадает пользовательский ввод и строка идёт в HTML, шаблон не защищает от XSS. Экранируйте данные.

Отдельная история — тегированные шаблоны. Это когда перед обратными кавычками ставят функцию, например, чтобы автоматически экранировать значения. Для простых задач это не нужно, но сам механизм показывает, что литералы можно расширять.

Совет из практики

Если шаблон уходит в innerHTML, вынесите экранирование в отдельную функцию и оборачивайте все пользовательские значения. Это спасёт от кучи глупых багов.

Практика: видите склейку через + и \n — предлагайте рефакторинг на шаблонные литералы. Код становится короче, а читать его приятнее. Для больших шаблонов лучше шаблонизатор, но для простых задач литералы идеальны.

Вот так. Идем кодить дальше! 🚀