Скромний VPS за $10/місяць — один сервер Ubuntu з Nginx, PM2 і bash-скриптом — здатен надійно обслуговувати Node.js-застосунок без Vercel, AWS чи Kubernetes-кластера.

Я пробував інші шляхи. Використовував Vercel (чудово, поки вам не потрібні cron-завдання, постійні WebSocket-з'єднання або просто контроль). Використовував AWS (чудово, якщо вам подобається проводити половину дня в IAM-політиках). Я завжди повертаюся до VPS.

Але ось проблема: кожен туторіал "деплой на VPS" в інтернеті зупиняється на щасливому шляху. Вам показують, як встановити Node.js і запустити node server.js, і називають це продакшеном. Потім ваш сервер брутфорсять через SSH, процес падає о 3 ночі, бо ніхто не налаштував менеджер процесів, а ваш SSL-сертифікат закінчився три місяці тому.

Це гайд, який я хотів би мати. Все тут перевірено в бою.

Почніть з безпеки, а не з коду

Перш ніж навіть думати про Node.js, захистіть сервер. Свіжі інстанси VPS — це мішені. Автоматизовані боти починають атакувати ваш SSH-порт за лічені хвилини після створення.

bash

adduser deploy
usermod -aG sudo deploy

bash

ssh-copy-id deploy@your-server-ip

bash

sudo nano /etc/ssh/sshd_config

bash

PasswordAuthentication no
PermitRootLogin no

bash

sudo systemctl restart sshd

bash

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw allow 'Nginx Full'
sudo ufw enable

bash

sudo apt install fail2ban -y
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

ini

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log
maxretry = 3
bantime = 3600
findtime = 600

bash

sudo systemctl enable fail2ban
sudo systemctl start fail2ban

bash

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure -plow unattended-upgrades

bash

curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.40.1/install.sh | bash
source ~/.bashrc
nvm install --lts
nvm alias default lts/*

bash

node -v  # v22.x.x або яка там зараз LTS
npm -v

bash

nvm alias default 22

bash

npm install -g pm2

javascript

// ecosystem.config.js
module.exports = {
  apps: [
    {
      name: "myapp",
      script: "node_modules/.bin/next",
      args: "start -p 3002",
      cwd: "/var/www/example.com",
      instances: 2,
      exec_mode: "cluster",
      max_memory_restart: "500M",
      env: {
        NODE_ENV: "production",
        PORT: 3002,
      },
      // Граціозне завершення
      kill_timeout: 5000,
      listen_timeout: 10000,
      wait_ready: false,
      // Логування
      log_date_format: "YYYY-MM-DD HH:mm:ss Z",
      error_file: "/var/log/pm2/myapp-error.log",
      out_file: "/var/log/pm2/myapp-out.log",
      merge_logs: true,
      // Автоперезапуск при збої
      autorestart: true,
      max_restarts: 10,
      min_uptime: "10s",
      // Не спостерігати в продакшені
      watch: false,
    },
  ],
};

bash

pm2 startup systemd
# Скопіюйте і виконайте команду, яку він виведе
pm2 save

bash

pm2 install pm2-logrotate
pm2 set pm2-logrotate:max_size 50M
pm2 set pm2-logrotate:retain 7
pm2 set pm2-logrotate:compress true

bash

sudo apt install nginx -y

nginx

# /etc/nginx/sites-available/example.com
 
upstream node_app {
    server 127.0.0.1:3002;
    keepalive 64;
}
 
server {
    listen 80;
    listen [::]:80;
    server_name example.com www.example.com;
 
    # Перенаправлення всього HTTP на HTTPS
    return 301 https://$host$request_uri;
}
 
server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;
    server_name example.com www.example.com;
 
    # SSL (керується Certbot — ці рядки додаються автоматично)
    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    include /etc/letsencrypt/options-ssl-nginx.conf;
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem;
 
    # Заголовки безпеки
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-XSS-Protection "1; mode=block" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
 
    # Gzip-стиснення
    gzip on;
    gzip_vary on;
    gzip_proxied any;
    gzip_comp_level 6;
    gzip_min_length 256;
    gzip_types
        text/plain
        text/css
        text/javascript
        application/javascript
        application/json
        application/xml
        image/svg+xml
        application/wasm;
 
    # Налаштування проксі
    location / {
        proxy_pass http://node_app;
        proxy_http_version 1.1;
 
        # Заголовки
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
 
        # Підтримка WebSocket (якщо колись знадобиться)
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
 
        # Таймаути — щедрі, але не безкінечні
        proxy_connect_timeout 60s;
        proxy_send_timeout 60s;
        proxy_read_timeout 60s;
 
        # Буферизація — нехай Nginx обробляє повільних клієнтів
        proxy_buffering on;
        proxy_buffer_size 16k;
        proxy_buffers 4 32k;
        proxy_busy_buffers_size 64k;
    }
 
    # Статичні ресурси Next.js — нехай Nginx роздає їх напряму
    location /_next/static/ {
        alias /var/www/example.com/.next/static/;
        expires 365d;
        access_log off;
        add_header Cache-Control "public, immutable";
    }
 
    # Публічні статичні файли
    location /static/ {
        alias /var/www/example.com/public/static/;
        expires 30d;
        access_log off;
    }
 
    # Блокування доступу до прихованих файлів
    location ~ /\. {
        deny all;
        access_log off;
        log_not_found off;
    }
}

bash

sudo ln -s /etc/nginx/sites-available/example.com /etc/nginx/sites-enabled/
sudo rm /etc/nginx/sites-enabled/default
sudo nginx -t
sudo systemctl reload nginx

bash

sudo apt install certbot python3-certbot-nginx -y
sudo certbot --nginx -d example.com -d www.example.com

bash

sudo systemctl list-timers | grep certbot

bash

sudo certbot renew --dry-run

bash

#!/bin/bash
# deploy.sh — деплой майже без простою
 
set -euo pipefail
 
APP_DIR="/var/www/example.com"
APP_NAME="myapp"
LOG_FILE="/var/log/deploy.log"
HEALTH_URL="http://localhost:3002"
MAX_RETRIES=10
RETRY_INTERVAL=3
 
log() {
    echo "[$(date '+%Y-%m-%d %H:%M:%S')] $1" | tee -a "$LOG_FILE"
}
 
log "=== Деплой розпочато ==="
 
cd "$APP_DIR"
 
# Отримання останнього коду
log "Отримання останніх змін..."
git pull origin main 2>&1 | tee -a "$LOG_FILE"
 
# Встановлення залежностей
log "Встановлення залежностей..."
npm install --legacy-peer-deps 2>&1 | tee -a "$LOG_FILE"
 
# Збірка
log "Збірка додатку..."
rm -rf .next
npm run build 2>&1 | tee -a "$LOG_FILE"
 
if [ $? -ne 0 ]; then
    log "ПОМИЛКА: Збірка не вдалася. Деплой перервано."
    exit 1
fi
 
# Перезавантаження PM2 (без простою в кластерному режимі)
log "Перезавантаження PM2..."
pm2 reload "$APP_NAME" 2>&1 | tee -a "$LOG_FILE"
pm2 save 2>&1 | tee -a "$LOG_FILE"
 
# Перевірка здоров'я з повторними спробами
log "Запуск перевірки здоров'я..."
for i in $(seq 1 $MAX_RETRIES); do
    HTTP_CODE=$(curl -s -o /dev/null -w '%{http_code}' "$HEALTH_URL" 2>/dev/null || echo "000")
    if [ "$HTTP_CODE" = "200" ]; then
        log "Перевірка здоров'я пройдена (HTTP $HTTP_CODE)"
        log "=== Деплой завершено успішно ==="
        exit 0
    fi
    log "Спроба перевірки здоров'я $i/$MAX_RETRIES (HTTP $HTTP_CODE). Повтор через ${RETRY_INTERVAL}с..."
    sleep $RETRY_INTERVAL
done
 
log "ПОМИЛКА: Перевірка здоров'я не вдалася після $MAX_RETRIES спроб"
log "Відкат до попереднього стану PM2..."
pm2 restart "$APP_NAME" 2>&1 | tee -a "$LOG_FILE"
exit 1

bash

chmod +x deploy.sh

bash

ssh root@your-server-ip "bash /var/www/example.com/deploy.sh"

bash

pm2 status
pm2 logs myapp --lines 50
sudo systemctl status nginx
sudo tail -50 /var/log/nginx/error.log

bash

pm2 describe myapp

bash

sudo certbot certificates

bash

sudo certbot renew --force-renewal
sudo systemctl reload nginx

bash

df -h
du -sh /var/log/*
pm2 flush

bash

ssh deploy@example.com "pm2 status && df -h / && uptime"

bash

sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

bash

# ~/.ssh/config
Host myapp
    HostName YOUR_SERVER_IP
    User deploy
    IdentityFile ~/.ssh/id_ed25519

Налаштування VPS, яке реально працює: Node.js, PM2, Nginx і деплої без простою

Почніть з безпеки, а не з коду

Створіть користувача без root-доступу

Налаштуйте SSH-автентифікацію за ключем

Фаєрвол з UFW

Fail2Ban

Автоматичні оновлення безпеки

Node.js: використовуйте NVM, а не apt

PM2: менеджер процесів, який виправдовує себе

Встановлення та налаштування

Конфігурація екосистеми

Скрипт запуску

Ротація логів

Nginx: зворотний проксі, який робить більше, ніж ви думаєте

Встановлення

Конфігурація

SSL за п'ять хвилин

Перевірка автоподовження

Скрипт деплою

Коли щось ламається о 2 ночі

"Сайт не працює"

"Пам'ять постійно зростає"

"SSL-сертифікат закінчився"

"Дисковий простір закінчився"

Команда, яку я запускаю щоранку

Чого більшість гайдів не розкаже

Повний чекліст

Чи це "ентерпрайз-рівень"?

Схожі записи

Monorepos in 2026: Nx, Turborepo, and the Lessons Nobody Shares

YAML Validator Guide: Catch Config Errors Before Deploy