Tilda Comments: кейс

Тип проекта: веб-сервис (SaaS), собственный продукт. Моя роль: всё от идеи до продакшена: backend, frontend, инфраструктура и дизайн.

Задача

В конструкторе Tilda нет штатных комментариев. Нужно было сделать сервис, который добавляет их на любой сайт и при этом:

подключается без навыков программирования;
почти не влияет на скорость загрузки;
даёт полноценную модерацию и защиту от спама;
работает на обычном shared-хостинге.

Что сделано

Виджет комментариев. Подключается к любой странице Tilda одной строкой кода в HTML-блоке (T123). Один код работает на весь сайт: виджет сам определяет страницу, включая посты Tilda Feed, и показывает нужную ветку обсуждения.

Личный кабинет владельца сайта:

несколько сайтов в одном аккаунте;
модерация: одобрение, скрытие, удаление, восстановление, корзина;
премодерация и массовые действия;
настройка дизайна виджета (тема, акцентный цвет, цвет плашек, скругления) с живым превью;
настройка полей формы (имя, фамилия, e-mail, телефон) и их обязательности;
ссылки на страницы, где оставлены комментарии.

Авторизация: регистрация, подтверждение e-mail, восстановление и смена пароля, собственная отправка писем по SMTP.

Раздел суперадминистратора: пользователи, проекты, сводная статистика сервиса и блокировка аккаунтов.

Технологии

Чистый PHP 8, MySQL и ванильный JavaScript, без фреймворков и внешних зависимостей: так сервис быстрее и спокойно живёт на обычном хостинге. Виджет работает в изолированном iframe и общается со страницей через postMessage. Деплой автоматический, из Git.

Как это устроено

Скорость. Весь код виджета весит около 16 КБ в сжатом виде. Он загружается лениво, только когда посетитель доскроллил до комментариев, и живёт в iframe, поэтому не тормозит сайт и не может сломать его вёрстку.

Безопасность и антиспам. Подписанные HMAC-токены вместо cookies (корректно работают внутри iframe), приём комментариев только с домена проекта, защита от ботов (скрытые ловушки, ограничение частоты, блокировка ссылок), CSRF-защита и единые лимиты ввода в кабинете.

Совместимость. Обычные страницы, посты Tilda Feed и превью-домены *.tilda.ws для проверки до публикации.

Результат

Готовый к работе сервис: подключается к сайту на Tilda за несколько минут без программирования, не нагружает страницу и закрывает задачу живых обсуждений под контентом. Сервис бесплатный.