ozsm.ru: Mobile PSI 44→100, security headers и post-mysqldump incident recovery

Сайт промышленного производителя ozsm.ru загружался на телефоне 11 секунд. За 10 рабочих дней мы довели его до 2 секунд и до максимальной оценки Google. Параллельно закрыли юридический риск штрафа 1–6 млн ₽ по 152-ФЗ и убрали keyword stuffing. Потом одна неосторожная команда в базе данных стёрла половину результата — восстановили за день из дисциплины бэкапов. Три урока, которые мы теперь применяем на всех клиентских проектах.

Что было до: сайт терял клиентов на телефоне

ОЗСМ — российский производитель вибропогружателей, сваебоев и металлоконструкций. Продукт тяжёлый, длинный цикл сделки 2–6 месяцев, основной канал заявок — поиск по моделям техники. Конкуренты — европейские бренды и переупаковщики с большими бюджетами.

На 23 апреля 2026 года сайт был построен на MODX 2.7 (платформа 2018 года) и шёл на shared-хостинге Beget. Объективная картина:

• Мобильная версия загружалась 11,3 секунды. Гугл считает приемлемым ≤ 2,5 секунды. Превышение в 5 раз.
• Оценка Google для мобайла — 44 из 100. Зона «Poor». Когда такая оценка месяцами — Гугл понижает позиции автоматически.
• На страницах заявки стояла Google reCAPTCHA. Это передача персональных данных за границу. С 1 июля 2025 — нарушение 152-ФЗ. Штраф 1–6 млн ₽.
• Главная грузила два экземпляра jQuery, мёртвую аналитику и встроенный виджет Яндекс.Карт. Около 520 КБ кода, из которых половина никогда не использовалась.

Что это означало для бизнеса: посетитель с телефона уходил к конкуренту, не дождавшись прайс-листа. По нашим оценкам, до 60% мобильного трафика терялось до показа продукта.

Что мы сделали: разогнали сайт за 10 дней, не переписывая его

Платформу не трогали. Никаких миграций, никаких новых URL, никакого переноса контента. Работали только с тем, что грузит браузер: убирали лишнее, откладывали неважное, делали ленивым то, что не нужно на первом экране.

Восемь итераций по 1 дню каждая, после каждой — замер. Если стало хуже — откат до того, как пользователь это увидит.

Главная картинка-слайдер грузилась 7 секунд. Это был старый плагин 2018 года. Заменили на статический блок, первое изображение вшили прямо в HTML. Стало мгновенно.

Картинки товаров весили 6 МБ. Конвертировали в современный формат WebP, добавили правило «грузить только когда пользователь до них доскроллил». Стало 1,8 МБ. Каталог из 200+ карточек открывается без задержки.

Карта России с регионами поставок весила 800 КБ. Грузилась всегда, даже если пользователь ушёл со страницы до неё. Сделали так, чтобы карта подгружалась только когда пользователь её увидел на экране. Эффект: -800 КБ для всех, кто не доскроллил.

Яндекс.Метрика грузилась первой. Перенесли её в фоновую очередь — теперь она запускается только когда браузер свободен или когда пользователь начал взаимодействовать со страницей. Это не лишает нас аналитики, но снимает блокировку первого экрана.

Google reCAPTCHA → Yandex SmartCaptcha. Российский аналог, сертифицирован ФСТЭК, данные не уходят за границу. Юридический риск закрыт, плюс бонус: SmartCaptcha весит в 18 раз меньше reCAPTCHA. Дополнительно — отложенная загрузка (грузится только когда пользователь начал заполнять форму) и невидимая ловушка для ботов.

Доступность по WCAG. Закрыли пять нарушений: убрали блокировку зума (это нарушение для людей с плохим зрением), увеличили контраст cookie-баннера, расширили зону клика кнопок до 44×44 пикселя.

Что получили на сайте после первого спринта

Бизнес-итог: посетитель на телефоне теперь видит первый экран быстрее, чем успевает закрыть вкладку. Юридический риск 1–6 млн ₽ закрыт. Конкурентам в SEO стало сложнее обгонять нас на технических факторах.

Что было плохо с поиском и AI-выдачей

После того как сайт начал быстро открываться, мы посмотрели его глазами поисковика. Картина:

• На сайте отсутствовала страница «Политика обработки ПДн». В подвале была ссылка, но при клике — ошибка 404. Это нарушение 152-ФЗ. Поисковик при обнаружении такой страницы понижает доверие ко всему сайту.
• Файл правил для роботов (robots.txt) разрешал индексацию всем подряд. AI-боты (ChatGPT, Perplexity, Я.Нейро) могли индексировать сайт, но и спам-парсеры могли воровать контент.
• Описание главной страницы было набито ключевыми словами. 729 символов «вибропогружатель, погружение шпунта, виброкатки, забивка свай…» — для Яндекса с 2015 года это сигнал «низкокачественная страница».
• Перенаправления на https не работали как надо. Старый Beget отдавал 302 (временное), а не 301 (постоянное). Поисковик не консолидировал старые ссылки.
• Микроразметка товара отдавала «цена = 0». Для B2B «цена по запросу» это была неверная запись — Google показывал предупреждение в Rich Results.

Что мы сделали с поиском за один день

Пять групп правок (G1–G5), без новых разработок, без миграций.

Страница политики ПДн. Создали страницу, перенесли текст с дочерней страницы, проверили — открывается, в карте сайта, в подвале работает.

Правила для поисковых ботов. Переписали файл robots.txt: 13 разделов, AI-боты Anthropic/OpenAI/Perplexity явно разрешены (для цитирования в ChatGPT и Perplexity), спам-парсеры заблокированы. Карту сайта (sitemap.xml) обновили: 55 страниц с правильными приоритетами.

Серверные настройки. Через файл .htaccess включили 6 заголовков безопасности: HSTS (защита от MITM), X-Frame-Options (защита от clickjacking), Referrer-Policy (защита приватности пользователей), убрали утечку информации о версии PHP. Старые перенаправления 302 → 301. www-версию домена принудительно отправляем на основной.

Описание главной страницы. Из 729 символов мусора — 197 символов прямого ответа: «ОЗСМ — российский производитель вибропогружателей с 1950 года…». Поисковик теперь понимает, что показывать в выдаче.

Микроразметка для AI. Заменили неправильную «цена = 0» на конструкцию «цена по запросу». Google Rich Results Validator показал зелёный. Добавили блок FAQ с 6 вопросами по моделям вибропогружателей — это самый цитируемый тип разметки в ChatGPT и Perplexity.

IndexNow. Подключили механизм мгновенного оповещения Яндекса и Bing при изменении страниц — теперь правки появляются в индексе за минуты, а не за дни.

Что получили в SEO

11 из 11 проверок пройдено. На стороне Яндекса и Google остаётся только время — индекс пересобирается за 1–4 недели после структурных правок такого масштаба.

Главное: сайт теперь готов цитироваться в AI-поиске. ChatGPT и Perplexity при запросе про вибропогружатели находят микроразметку FAQ и блок прямых ответов — это даёт ссылку на сайт в ответе AI вместо ссылки на конкурента.

Как мы потеряли половину результата за одну команду — и восстановили за день

После закрытия SEO-спринта пользователь сообщил: блок «География поставок» сломан, фотогалерея исчезла, на странице контактов чекбокс согласия пред-отмечен (это снова нарушение 152-ФЗ).

Что произошло. Накануне я делал бэкап одной настройки сайта стандартной командой базы данных. Команда выглядит как «сохрани одну строку». На самом деле она сохраняет: «удали таблицу — создай таблицу заново — вставь одну строку». На следующее утро я применил этот бэкап «обратно». Все 121 настроек сайта стёрлись, осталась одна.

Среди стёртого — все артефакты двухнедельной работы: код первой формы, лента фотогалереи, отложенная загрузка Яндекс.Метрики, верстка футера.

Что нас спасло. За время первого спринта я делал полный дамп базы перед каждой итерацией. У меня лежал бэкап от 24 апреля — 126 МБ, моментальный снимок до начала всех изменений. Из него извлекли только одну нужную таблицу (без затрагивания остальных 200+ таблиц). Поверх неё «накатили» правки последних дней из последовательной цепочки бэкапов — по одной правке от каждой итерации.

К вечеру работоспособность была восстановлена. Параллельно поймали и закрыли три каскадных проблемы: карта поставок перестала показываться (другая причина, кеш MODX стрипал регистрации JS), производительность снова упала (отключили кеш для исправления карты, потом нашли решение без отключения), чекбокс согласия был помечен заранее (нарушение 152-ФЗ, штраф 60–100 тыс. ₽).

Что сделали навсегда. Три правила записали в memory-файл, который доступен на любом нашем будущем проекте. Они описаны ниже в разделе «Уроки».

backup-pre-seo-20260424-114401/db-dump.sql   ⭐ 126 МБ FULL DB
backup-pre-b11-20260502_191110/
backup-pre-jquery-cleanup-20260502_194523/   ⭐ chunk87 footer
backup-pre-b12-a11y-20260502_201757/         ⭐ chunk160-swiper.html.bak
backup-pre-b13-smartcaptcha-20260502_211831/
backup-pre-b14-a11y-20260502_215036/         ⭐ chunk142, template4, resource297

window.GeosalesConfig = {
  center: [53.24, 50.22], zoom: 10,
  action: 'list', cluster_icons: true,
  controls: ['zoomControl'], behaviors: ['drag','dblClickZoom'],
  clusterize: true, clickZoom: 12, clusterclickout: true,
};

if ('IntersectionObserver' in window) {
  const obs = new IntersectionObserver((entries) => {
    if (!entries[0].isIntersecting) return;
    obs.disconnect();
    loadMaps(); // sequential: api-maps → geosales/yandex.js → geosales/default.js
  }, { rootMargin: '400px' });
  obs.observe(document.getElementById('GeosalesMap'));
} else {
  loadMaps();
}

Хронология спринта

Уроки для тех, кто планирует то же

Каждый из этих уроков мы получили ценой production-инцидента — не из best-practice guide. Один и тот же урок повторился несколько раз в одной сессии (особенно третий). Именно поэтому они стали правилами на уровне memory-файла, доступного из любого нашего следующего проекта.

Урок 1 — стандартный бэкап одной строки в базе данных уничтожает таблицу. Команда выглядит безопасно, последствия — катастрофические. Если вам нужно сохранить одну запись «на всякий случай» перед правкой — делайте это через PHP-скрипт или специальный флаг команды, который вырезает разрушающие части. Не через стандартный экспорт. И всегда держите полный снимок базы данных перед началом любого спринта правок — он спас нам неделю работы.

Урок 2 — не запускайте сложные команды через несколько уровней оболочек. В нашем случае это была команда вида «SSH → bash → PHP → регулярное выражение → база данных». На каждом уровне свои правила экранирования. Если одно перепутали — команда молча отрабатывает с null-значением и затирает рабочую запись. Решение: писать обычный файл скрипта на компьютере, копировать на сервер целиком, запускать одной командой.

Урок 3 — для динамических виджетов на старом сайте используйте отдельный JS-файл, а не код прямо в шаблоне. Шаблонизатор MODX (Fenom) видит фигурные скобки {...} в JavaScript и пытается их интерпретировать как свои инструкции. Страница «молча» становится пустой — без ошибки, без записи в лог. Один внешний JS-файл, подключённый через тег <script src="..." defer>, решает проблему навсегда. Этот же подход теперь используется на всех клиентских проектах, где есть Я.Карты, Я.Метрика или другие сторонние виджеты.

mysqldump --where='id=X' db table > backup.sql
# позже:
mysql db < backup.sql   # TRUNCATE table, оставляет только row X

mysqldump --no-create-info --where='id=X' db table > backup-row.sql
# Это просто один INSERT — можно прогнать вместе с UPDATE.

$row = $modx->getObject('modChunk', 88);
file_put_contents("backup-chunk88-" . date("Ymd_His") . ".php",
    "<?php return " . var_export($row->toArray(), true) . ";");
// Rollback позже: include + setMany + save

ssh user@host "php -r \"
\\\$content = '...';
\\\$patched = preg_replace('/regex/s', '\\\$replacement', \\\$content);
file_put_contents('chunk.txt', \\\$patched);
\""

cat > script.php <<'PHP'
<?php
require '/path/modx/index.php';
$chunk = $modx->getObject('modChunk', ['id' => 88]);
$content = $chunk->getContent();
$chunk->setContent($patched);
$chunk->save();
PHP
scp script.php user@host:/tmp/seo-patch.php
ssh user@host "php /tmp/seo-patch.php"

<script>
window.GeosalesConfig = {center: [53.24, 50.22], zoom: 10};
</script>

Что осталось на следующий заход

Технический фронт закрыт. В backlog — задачи следующего уровня (контентовый сейл, авторитет):

• Title и description для разделов «Каталог», «Товар», «Услуги» (источник rendering для других templates пока неясен, нужен audit Fenom-cache).
• Cache-Control public через альтернативный механизм (MODX-плагин или nginx-side через Beget VIP).
• Wikipedia-сущность «Охтинский завод» (внешняя задача, не разработка).
• Отзывы в Яндекс.Бизнес с 4,3 до 4,6 (community management, не код).
• Авто-пинг IndexNow по диффу sitemap (сейчас вручную после крупной публикации).

Каждый пункт — отдельный мини-спринт или вообще не разработка. Главное уже сделано.

Главный вывод

Сайт 2018 года на старом движке можно довести до максимальных оценок производительности и SEO. Это не вопрос платформы — это вопрос дисциплины: убирать неиспользуемое, откладывать необязательное, делать ленивым то, что не нужно на первом экране.

Главные риски — не платформа, а наследие старых решений (две копии jQuery, мёртвые скрипты, тяжёлые embed-виджеты) и инструменты администрирования базы данных, которые проектировались до того как production-сайты могли пострадать от одной неосторожной команды.

Связано

См. также кейс ОЗСМ с итоговыми метриками и статью про lazy-load Яндекс.Карт, отдельный разбор замены Google reCAPTCHA на SmartCaptcha и гайд Mobile PSI 44→100 на legacy MODX с исходными цифрами по B11.3.