Чеклист production

• HTTPS на сайте и API
• mxheadless_debug=false
• mxheadless_enabled=true (или осознанный kill switch)
• CORS: конкретные origins, без * + credentials
• mxheadless_trusted_proxies заполнен за LB
• Rate limit включён. При необходимости задайте per-key лимиты
• Swagger: отключите UI в публичном интернете (mxheadless_swagger_enabled=false), если docs не нужны снаружи (OpenAPI JSON всё ещё может быть доступен)
• OAuth включайте только если нужен. Grant password оставьте выключенным
• Webhook: allow_private_urls=false. Worker повесьте в cron
• Audit включите при compliance. Настройте prune
• Секреты ключей не в git. Проведите ротацию по процедуре
• Friendly URLs и rewrite проверены через curl health и resources