diff --git a/_docker/app/php.ini b/_docker/app/php.ini
index 0dc8b98..36bde21 100755
--- a/_docker/app/php.ini
+++ b/_docker/app/php.ini
@@ -1,21 +1,54 @@
 post_max_size = 128M
 upload_max_filesize = 128M
 
-# OPTIMIZATION: Увеличен лимит памяти для обработки больших IMAP-сообщений
-# Предыдущая ошибка: 256MB было недостаточно для загрузки всех писем
-# Теперь: 1GB позволяет обрабатывать письма batch-ами по 10 штук
+; OPTIMIZATION: Увеличен лимит памяти для обработки больших IMAP-сообщений
+; Предыдущая ошибка: 256MB было недостаточно для загрузки всех писем
+; Теперь: 1GB позволяет обрабатывать письма batch-ами по 10 штук
 memory_limit = 1G
 
 request_terminate_timeout = 300
 max_execution_time = 120
 max_input_time = 120
 
-# OPTIMIZATION: Настройки OPcache для производительности
+; OPTIMIZATION: Настройки OPcache для производительности
 opcache.enable = 1
 opcache.memory_consumption = 128
 opcache.max_accelerated_files = 10000
 opcache.revalidate_freq = 2
 
-# OPTIMIZATION: Настройки сессий
+; OPTIMIZATION: Настройки сессий
 session.gc_maxlifetime = 1440
 session.cookie_lifetime = 0
+
+; ============================================
+; SECURITY: Ограничение доступа к файловой системе
+; PHP имеет доступ только к /var/www и /tmp
+; ============================================
+open_basedir = /var/www:/tmp
+
+; ============================================
+; SECURITY: Запрет опасных функций
+; curl_exec и shell_exec оставлены — используются приложением (VK API, LibreOffice конвертация)
+; ============================================
+disable_functions = passthru,system,proc_open,popen,parse_ini_file,show_source,highlight_file,pcntl_exec,leak,apache_child_terminate,posix_kill,posix_mkfifo,posix_setpgid,posix_setsid,posix_setuid
+
+; ============================================
+; SECURITY: Запрет удалённого включения файлов
+; Предотвращает RFI (Remote File Inclusion) атаки
+; ============================================
+allow_url_include = Off
+allow_url_fopen = On
+
+; ============================================
+; SECURITY: Защищённые сессии
+; ============================================
+session.cookie_httponly = 1
+session.cookie_secure = 1
+session.use_strict_mode = 1
+session.use_only_cookies = 1
+session.name = __Secure-NTSPISESSID
+
+; ============================================
+; SECURITY: Скрыть версию PHP из заголовков
+; ============================================
+expose_php = Off
diff --git a/_docker/nginx/prod/conf.d/nginx.conf b/_docker/nginx/prod/conf.d/nginx.conf
index b70e049..a3a0927 100755
--- a/_docker/nginx/prod/conf.d/nginx.conf
+++ b/_docker/nginx/prod/conf.d/nginx.conf
@@ -50,14 +50,15 @@ server {
     root /var/www/public;
 
     # Security headers
-    add_header X-Frame-Options "SAMEORIGIN";
-    add_header X-Content-Type-Options "nosniff";
-    add_header X-XSS-Protection "1; mode=block";
-    add_header Referrer-Policy "strict-origin-when-cross-origin";
-    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload";
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header X-XSS-Protection "1; mode=block" always;
+    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
+    add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' data:; connect-src 'self' https:; frame-ancestors 'self';" always;
 
     location / {
-        add_header Access-Control-Allow-Origin *;
+        add_header Access-Control-Allow-Origin "https://www.ntspi.ru" always;
         try_files $uri /index.php?$args;
     }
 
@@ -85,7 +86,44 @@ server {
         return 301 /abitur/;
     }
 
+    # ============================================
+    # SECURITY: Запрет доступа к чувствительным файлам
+    # ============================================
+
+    # Запрет доступа к .env, .git и всем скрытым файлам
+    location ~ /\. {
+        deny all;
+        return 404;
+    }
+
+    # Запрет доступа к composer, package, lock, readme файлам
+    location ~* (composer\.(json|lock)|package\.(json|lock)|\.md|\.txt|\.log)$ {
+        deny all;
+        return 404;
+    }
+
+    # Запрет доступа к vendor
+    location ~ ^/vendor/ {
+        deny all;
+        return 404;
+    }
+
+    # Запрет прямого доступа к storage (вне symlink public/storage)
+    location ~ ^/storage/ {
+        deny all;
+        return 404;
+    }
+
+    # ============================================
+    # PHP-FPM: ТОЛЬКО /index.php как entry point
+    # ============================================
     location ~ \.php$ {
+        # КРИТИЧНО: Разрешаем ТОЛЬКО /index.php
+        # Любой другой .php файл (например, shell.php в uploads) — 403
+        if ($uri !~ ^/index\.php$) {
+            return 403;
+        }
+
         try_files $uri =404;
         fastcgi_split_path_info ^(.+\.php)(/.+)$;
         fastcgi_pass app:9000;