Headless WordPress на офшорном NVMe VPS

WordPress включает встроенный REST API по адресу /wp-json/wp/v2 - этот API даёт доступ к постам, страницам, медиа, категориям, кастомным post types. Авторизация через Application Passwords (для machine-to-machine) или JWT-токены через плагин типа JWT Authentication for WP-API. На офшорном VPS API защищается Nginx rate-limiting и IP-whitelist для admin-эндпоинтов.

WPGraphQL - плагин, добавляющий GraphQL API поверх данных WordPress. Это удобнее REST для headless-сценариев: один запрос вместо нескольких, точная типизация, поддержка nested queries. Фронтенд на Apollo Client или urql получает только нужные поля, что снижает payload и ускоряет рендеринг.

WPGraphQL расширяется кастомными типами через WPGraphQL for Custom Post Types, WPGraphQL for Advanced Custom Fields, WPGraphQL for Yoast SEO. Эти плагины подключают custom-данные в GraphQL-схему, что критично для WordPress-сайтов с богатой структурой контента (магазины на WooCommerce, журналы с custom post types).

Next.js - наиболее популярный фронтенд-фреймворк для headless WordPress: поддерживает Static Site Generation (SSG), Incremental Static Regeneration (ISR), Server-Side Rendering (SSR). Для блогов и журналов оптимальна ISR - страницы генерируются статически, но обновляются в фоне при изменении контента в WordPress (по webhook или revalidate-таймеру).

На офшорном VPS можно разместить и WordPress-бэкенд, и Next.js-фронтенд на одной машине. Архитектура: Nginx как reverse proxy на 443 порту, фронтенд на Node.js (PM2-managed) на 3000 порту, WordPress на PHP-FPM на 9000 порту. Nginx проксирует /api/* и /wp-admin/* на WordPress, остальное на Next.js.

Альтернативная архитектура - WordPress на отдельном офшорном VPS как pure backend, фронтенд развёрнут на Vercel или Netlify. Это даёт глобальный CDN для фронтенда и юрисдикционную свободу для WordPress-контента. Минус - зависимость от облачного провайдера для фронтенда, который может в теории заблокировать домен.

Headless-архитектура даёт несколько важных преимуществ для проектов на офшорном хостинге. Во-первых, security - фронтенд статический или серверный JavaScript без PHP, что снимает большинство классических WordPress-уязвимостей (SQL-injection через темы, RCE через плагины). Атаковать можно только WordPress-бэкенд, который изолирован за Nginx и Application Passwords.

Во-вторых, скорость - статические страницы Next.js отдаются за 5-20 мс с любого VPS, что в 10-30 раз быстрее динамической рендеринг WordPress. Cloudflare CDN ставится бесплатным тарифом, что добавляет глобальное кеширование. Для медиа-проектов с пиковыми нагрузками (вирусные посты, breaking news) headless даёт устойчивость, недоступную монолитному WordPress.

В-третьих, разделение публичного фронта и админ-зоны - admin WordPress можно вообще закрыть от публичного интернета через VPN или Cloudflare Access, оставив доступным только редакторам команды. Это серьёзно снижает вектор атаки и упрощает compliance для проектов в чувствительных юрисдикциях.