Выделенные серверы для веб-хостинга, интернет-магазинов и SaaS

Каждый воркер PHP-FPM обрабатывает один запрос за раз, поэтому pm.max_children — это ваш реальный предел параллельности. Рассчитайте его с двух сторон и возьмите меньшее значение:

• Память: объем ОЗУ, который можно отдать под PHP ÷ средний размер воркера. Не гадайте, а измерьте этот размер под реальным трафиком, например с помощью ps -o rss= -C php-fpm8.3 (с поправкой на вашу версию PHP).
• Процессор: некэшируемые запросы упираются в CPU, поэтому сверх нескольких воркеров на поток они лишь ждут в очереди свободного ядра. Запросы, ожидающие ответа медленных API, оправдывают большее число воркеров.

Выделяйте каждому сайту собственный пул и системного пользователя, чтобы один скомпрометированный плагин не мог читать файлы соседей. Используйте pm = ondemand для малопосещаемых сайтов и dynamic для нагруженных, а OPcache задайте такого размера, чтобы он никогда не вытеснял скрипты.

Анонимные посетители вообще не должны доходить до PHP: полностраничный кэш (FastCGI-кэш nginx, LSCache на OpenLiteSpeed или плагин кэширования) отвечает им из памяти или с диска. Дорогой трафик — тот, что нельзя закэшировать: корзины, оформление заказа, страницы аккаунта и авторизованные пользователи. Такие запросы каждый раз выполняют PHP и SQL, и именно здесь высокие тактовые частоты себя окупают.

• Добавьте постоянный объектный кэш на Redis или Valkey, чтобы повторяющиеся запросы не доходили до MariaDB.
• Задайте innodb_buffer_pool_size так, чтобы часто читаемые таблицы и индексы помещались в ОЗУ и при этом оставалось место для PHP и страничного кэша.
• Задайте DISABLE_WP_CRON и запускайте wp cron event run --due-now по системному таймеру, чтобы задачи по расписанию перестали выполняться за счет запросов посетителей.

Почту с нового IP-адреса сервера в первую очередь оценивают по тому, как она настроена:

• Настройте обратную DNS-запись так, чтобы PTR-запись совпадала с именем хоста, которое объявляет ваш почтовый сервер; в личном кабинете это делается за один шаг.
• Для каждого домена-отправителя опубликуйте SPF, подписывайте письма DKIM и добавьте политику DMARC.
• Рассылки и большие объемы почты отправляйте через специализированный сервис; по нашим Правилам допустимого использования массовые рассылки допускаются только с согласия получателей (opt-in).

Зеркало копирует ошибки так же исправно, как и данные: удаленная папка или взломанный сайт сразу оказываются на обоих дисках. Каждую ночь отправляйте зашифрованные резервные копии за пределы машины, например с помощью BorgBackup или restic в дополнительное место для резервных копий, и проверьте восстановление заранее, до того как оно понадобится.