Серверный paywall: как не раскрыть Premium-метрики через SSR и JSON-LD

CSS blur, условный React-компонент после hydration и disabled button изменяют экран, но не сетевой ответ. Пользователь может открыть source, DevTools или запросить endpoint напрямую. Поисковый и AI-crawler тоже читает исходный HTML и JSON-LD, а не коммерческое намерение интерфейса.

Нельзя отправлять Premium-поля с надеждой, что клиент их проигнорирует. Это касается score breakdown, длинной истории, точных закрытых срезов и внутренних идентификаторов. Публичный teaser создаётся отдельной серверной схемой, где запрещённые поля отсутствуют, а не равны скрытому значению.

Сначала сервер валидирует сессию или токен, затем определяет действующую подписку и разрешённую глубину данных. Только после этого выполняется выборка или projection. Проверка одного флага на странице недостаточна, если соседний API route возвращает полную модель без той же политики.

Fail-safe поведение различается по контуру. Недоступный auth rate-limit в production закрывает вход, а недоступный read cache может безопасно перейти к PostgreSQL, потому что entitlement уже рассчитан. Cache не становится источником полномочий и не имеет права расширять доступ.

Public и Premium ответы получают разные cache keys с фактически разрешённым периодом. Key хешируется, чтобы не оставлять slug, query или пользовательские данные в Redis/metrics. Сначала вычисляется access tier, потом читается cache; обратный порядок создаёт риск выдать тёплый Premium-ответ бесплатному запросу.

JSON-LD, RSS, llms.txt, open-data и citation metadata считаются самостоятельными публичными контрактами. Они включают открытые описания, provenance и явно разрешённые агрегаты, но не копируют закрытые поля из внутренней модели. Visible HTML и structured data должны совпадать по смыслу.

Contract tests сравнивают anonymous, free и Premium ответы, проверяют HTML source, RSC/JSON, JSON-LD и cache isolation. Полезен canary-показатель, который существует только в Premium fixture: его отсутствие ищется по всем публичным endpoint и собранным страницам.

Тестируются истечение подписки, повторный запрос после Premium cache hit, отказ Redis и параллельные пользователи разных tiers. Логи и Prometheus labels также не должны содержать email, path params или токены. Защита считается полной только когда закрытое значение не покинуло серверный trust boundary.