@webnumseoagent/next 0.1.10 → 0.1.12

package/bin/cli.mjs

@@ -97,7 +97,7 @@ async function init() {
     ok("Пакет @webnumseoagent/next установлен — импорт из пакета.");
   } else {
     const vendor = path.join(root, "seoagent");
-    for (const f of ["client.ts", "jsonld.tsx", "sitemap-xsl.ts", "sitemap-build.ts"]) {
+    for (const f of ["client.ts", "jsonld.tsx", "sitemap-xsl.ts", "sitemap-build.ts", "redirects.ts"]) {
       const dest = path.join(vendor, f);
       if (!(await exists(dest))) {
         await fs.mkdir(vendor, { recursive: true });
@@ -224,6 +224,44 @@ async function init() {
     `import { revalidateTag } from "next/cache";\n\nexport async function POST(req${ext === "ts" ? ": Request" : ""}) {\n  if (req.headers.get("x-revalidate-secret") !== process.env.SEOAGENT_REVALIDATE_SECRET) {\n    return new Response("unauthorized", { status: 401 });\n  }\n  revalidateTag(\`seo-\${process.env.SEOAGENT_SITE_ID}\`);\n  return Response.json({ ok: true });\n}\n`,
   );
 
+  // 4.5 middleware (переадресации). Next разрешает ОДИН middleware, а авто-слияние чужого
+  // небезопасно → создаём свой, только если своего нет; иначе печатаем ручную инструкцию.
+  {
+    const MW_MATCHER = '"/((?!api|_next/static|_next/image|favicon.ico|.*\\\\..*).*)"';
+    const mwBase = appDir === "src/app" ? "src" : "."; // middleware рядом с app/
+    const mwDirAbs = path.join(root, mwBase === "." ? "" : mwBase);
+    const existing = [];
+    for (const b of [".", "src"]) {
+      for (const f of ["middleware.ts", "middleware.js"]) {
+        const rel = b === "." ? f : `${b}/${f}`;
+        if (await exists(path.join(root, rel))) existing.push(rel);
+      }
+    }
+    const redirImport = pkgMode
+      ? "@webnumseoagent/next/redirects"
+      : (() => {
+          let rel = path.relative(mwDirAbs, path.join(root, "seoagent")).split(path.sep).join("/");
+          if (!rel.startsWith(".")) rel = "./" + rel;
+          return `${rel}/redirects`;
+        })();
+
+    if (existing.length) {
+      log(`\n  \x1b[1mmiddleware уже есть (${existing.join(", ")})\x1b[0m — добавь переадресации ВРУЧНУЮ (Next разрешает один middleware):`);
+      log(`    \x1b[36mimport { seoRedirects } from "${redirImport}";\x1b[0m`);
+      log(`    1) первым в функции middleware:  \x1b[36mconst r = await seoRedirects(request); if (r) return r;\x1b[0m`);
+      log(`    2) добавь в config.matcher:  \x1b[36m${MW_MATCHER}\x1b[0m`);
+      log(`    3) если middleware делает auth — оставь свою логику scoped (напр. if(!path.startsWith("/admin")) return NextResponse.next()).`);
+      log(`       \x1b[1mAuth-чувствительно: проверь git diff и вход перед деплоем.\x1b[0m`);
+    } else {
+      const mwPath = path.join(mwDirAbs, `middleware.${ext}`);
+      const body =
+        ext === "ts"
+          ? `import { NextResponse, type NextRequest } from "next/server";\nimport { seoRedirects } from "${redirImport}";\n\nexport async function middleware(request: NextRequest) {\n  const redirect = await seoRedirects(request);\n  if (redirect) return redirect;\n  return NextResponse.next();\n}\n\nexport const config = { matcher: [${MW_MATCHER}] };\n`
+          : `import { NextResponse } from "next/server";\nimport { seoRedirects } from "${redirImport}";\n\nexport async function middleware(request) {\n  const redirect = await seoRedirects(request);\n  if (redirect) return redirect;\n  return NextResponse.next();\n}\n\nexport const config = { matcher: [${MW_MATCHER}] };\n`;
+      await ensureFile(mwPath, body);
+    }
+  }
+
   // 5. .env.local
   const envPath = path.join(root, ".env.local");
   const cur = (await exists(envPath)) ? await fs.readFile(envPath, "utf8") : "";

package/dist/redirects.d.ts

@@ -0,0 +1,2 @@
+import { NextResponse, type NextRequest } from "next/server";
+export declare function seoRedirects(request: NextRequest): Promise<NextResponse | null>;

package/dist/redirects.js

@@ -0,0 +1,161 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.seoRedirects = seoRedirects;
+// Рантайм-переадресации для Next.js middleware (Edge). Тянет активные правила с
+// платформы и применяет к входящему запросу. Отдельный сабпас "@webnumseoagent/next/redirects",
+// чтобы Edge-код не попадал в RSC-бандлы.
+//
+// В Edge middleware Next Data Cache (next:{revalidate,tags}) НЕ работает и revalidateTag
+// сюда не достаёт — поэтому кэшируем правила модульным TTL (переживает жизнь изолята).
+// Правки на платформе применяются в пределах TTL (~минута), не мгновенно.
+//
+// FAIL-SAFE: при любой ошибке / отсутствии env возвращаем null — сайт работает как обычно.
+const server_1 = require("next/server");
+const API = process.env.SEOAGENT_API_BASE ?? "";
+const SITE = process.env.SEOAGENT_SITE_ID ?? "";
+const TOKEN = process.env.SEOAGENT_TOKEN ?? "";
+const TTL_OK = 60000; // успех — правила живут минуту
+const TTL_FAIL = 10000; // ошибка — быстрее повторить, но не долбить
+const FETCH_TIMEOUT = 2000; // middleware на горячем пути каждого запроса — таймаут короткий
+const MAX_PATTERN = 200;
+const MAX_PATH = 2000;
+const is3xx = (c) => c === 301 || c === 302 || c === 307;
+function normPath(p) {
+    let s = p;
+    try {
+        s = decodeURIComponent(p);
+    }
+    catch {
+        /* битый % — оставляем как есть */
+    }
+    if (s.length > MAX_PATH)
+        s = s.slice(0, MAX_PATH);
+    if (s.length > 1)
+        s = s.replace(/\/+$/, "") || "/";
+    return s;
+}
+function normSource(v) {
+    let s = (v ?? "").trim();
+    if (!s)
+        return s;
+    if (/^https?:\/\//i.test(s))
+        return s.replace(/\/+$/, "");
+    if (!s.startsWith("/"))
+        s = "/" + s;
+    return s.length > 1 ? s.replace(/\/+$/, "") : s;
+}
+function compile(rules) {
+    const out = [];
+    for (const r of rules) {
+        if (!r || r.active === false)
+            continue;
+        const code = Number(r.code);
+        if (is3xx(code) && !r.destination)
+            continue; // 3xx без назначения бессмысленно
+        if (![301, 302, 307, 410, 451].includes(code))
+            continue;
+        const tests = [];
+        for (const src of r.sources ?? []) {
+            const raw = (src?.value ?? "").trim();
+            if (!raw || raw.length > MAX_PATTERN)
+                continue;
+            const ci = src.ignoreCase !== false; // по умолчанию регистронезависимо
+            if (src.type === "regex") {
+                try {
+                    const re = new RegExp(raw, ci ? "i" : ""); // компилируем ОДИН раз
+                    tests.push((p) => re.test(p));
+                }
+                catch {
+                    /* битый regex — пропускаем только этот источник */
+                }
+            }
+            else {
+                // exact/start — пути (нормализуем как путь); contains/end — под-строка/суффикс
+                // (берём как есть, только trim), иначе навязанный '/' ломает совпадение (".html").
+                const norm = src.type === "exact" || src.type === "start" ? normSource(raw) : raw.trim();
+                const v = ci ? norm.toLowerCase() : norm;
+                const f = (p) => (ci ? p.toLowerCase() : p);
+                if (src.type === "exact")
+                    tests.push((p) => f(p) === v);
+                else if (src.type === "contains")
+                    tests.push((p) => f(p).includes(v));
+                else if (src.type === "start")
+                    tests.push((p) => f(p).startsWith(v));
+                else if (src.type === "end")
+                    tests.push((p) => f(p).endsWith(v));
+            }
+        }
+        if (tests.length)
+            out.push({ test: (p) => tests.some((t) => t(p)), destination: r.destination, code });
+    }
+    return out;
+}
+let cache = null;
+let inflight = null;
+async function loadRules() {
+    if (!API || !SITE || !TOKEN)
+        return null;
+    try {
+        const r = await fetch(`${API}/api/seo/${SITE}/redirects`, {
+            headers: { "x-seo-agent-key": TOKEN },
+            signal: AbortSignal.timeout(FETCH_TIMEOUT),
+            // без next:{revalidate,tags} — в Edge middleware не действуют
+        });
+        if (!r.ok)
+            return null;
+        const body = (await r.json());
+        const raw = Array.isArray(body) ? body : (body?.rules ?? []);
+        return compile(Array.isArray(raw) ? raw : []);
+    }
+    catch {
+        return null;
+    }
+}
+async function getRules() {
+    const now = Date.now();
+    if (cache && now - cache.at < cache.ttl)
+        return cache.rules;
+    if (inflight)
+        return inflight; // дедуп конкурентных промахов на холодном изоляте
+    inflight = loadRules()
+        .then((rules) => {
+        cache = { at: Date.now(), ttl: rules === null ? TTL_FAIL : TTL_OK, rules };
+        inflight = null;
+        return rules;
+    })
+        .catch(() => {
+        inflight = null;
+        return cache?.rules ?? null;
+    });
+    return inflight;
+}
+// Вызывать ПЕРВЫМ в middleware: `const r = await seoRedirects(request); if (r) return r;`
+async function seoRedirects(request) {
+    try {
+        const rules = await getRules();
+        if (!rules || rules.length === 0)
+            return null;
+        const path = normPath(request.nextUrl.pathname);
+        for (const rule of rules) {
+            if (!rule.test(path))
+                continue;
+            if (rule.code === 410 || rule.code === 451) {
+                const msg = rule.code === 410 ? "410 Gone" : "451 Unavailable For Legal Reasons";
+                return new server_1.NextResponse(msg, { status: rule.code, headers: { "content-type": "text/plain; charset=utf-8" } });
+            }
+            const abs = /^https?:\/\//i.test(rule.destination);
+            const target = abs ? new URL(rule.destination) : new URL(rule.destination, request.url);
+            // Защита от петли: назначение = текущий путь того же origin — пропускаем.
+            if (target.origin === request.nextUrl.origin && normPath(target.pathname) === path)
+                continue;
+            // Сохраняем входящий query, если у назначения своего нет.
+            if (!target.search && request.nextUrl.search)
+                target.search = request.nextUrl.search;
+            return server_1.NextResponse.redirect(target, rule.code);
+        }
+        return null;
+    }
+    catch {
+        return null; // любая ошибка → сайт продолжает работать
+    }
+}

package/dist/sitemap-build.js

@@ -1,6 +1,32 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
 exports.seoWrapSitemap = seoWrapSitemap;
+const API = process.env.SEOAGENT_API_BASE ?? "";
+const SITE = process.env.SEOAGENT_SITE_ID ?? "";
+const TOKEN = process.env.SEOAGENT_TOKEN ?? "";
+const CFG_DEFAULT = { images: true, excludedGroups: [], excludedRoutes: [] };
+async function fetchSitemapCfg() {
+    if (!API || !SITE || !TOKEN)
+        return CFG_DEFAULT; // fail-safe = прежнее поведение
+    try {
+        const r = await fetch(`${API}/api/seo/${SITE}/sitemap-config`, {
+            headers: { "x-seo-agent-key": TOKEN },
+            next: { revalidate: 300, tags: [`seo-${SITE}`] }, // тот же тег ⇒ пинг ревалидации сбрасывает
+            signal: AbortSignal.timeout(5000),
+        });
+        if (!r.ok)
+            return CFG_DEFAULT;
+        const j = (await r.json());
+        return {
+            images: j?.images !== false,
+            excludedGroups: Array.isArray(j?.excludedGroups) ? j.excludedGroups.map(String) : [],
+            excludedRoutes: Array.isArray(j?.excludedRoutes) ? j.excludedRoutes.map(String) : [],
+        };
+    }
+    catch {
+        return CFG_DEFAULT;
+    }
+}
 function escapeXml(s) {
     return s
         .replace(/&/g, "&")
@@ -63,6 +89,17 @@ function groupOfUrl(loc) {
     const segs = path.split("/").filter(Boolean);
     return segs.length <= 1 ? "pages" : dec(segs[0]);
 }
+// Нормализованный путь записи (декодированный, без хвостового слэша) — для сравнения
+// с excludedRoutes (точное совпадение пути).
+function pathOf(loc) {
+    try {
+        return dec(new URL(loc).pathname).replace(/\/+$/, "") || "/";
+    }
+    catch {
+        return loc;
+    }
+}
+const normPath = (p) => dec(p).replace(/\/+$/, "") || "/";
 function pi(origin) {
     return `<?xml version="1.0" encoding="UTF-8"?>\n<?xml-stylesheet type="text/xsl" href="${escapeXml(origin + "/sitemap.xsl")}"?>\n`;
 }
@@ -100,6 +137,7 @@ const EMPTY = `<?xml version="1.0" encoding="UTF-8"?>\n<urlset xmlns="http://www
 // urlset, если раздел один); kind="child" — под-карта раздела `group`.
 // Fail-safe: если генератор упал — отдаём валидную пустую карту (не 500).
 async function seoWrapSitemap(fn, kind, group) {
+    const cfg = await fetchSitemapCfg();
     let entries;
     try {
         entries = normalize(await fn());
@@ -110,15 +148,33 @@ async function seoWrapSitemap(fn, kind, group) {
     const origin = originOf(entries);
     if (!origin || entries.length === 0)
         return EMPTY;
+    // Трансформации применяем к списку записей ОДИН раз, до ветвления по kind —
+    // иначе flat и «схлопывание в один раздел» их обходят.
+    if (!cfg.images)
+        for (const e of entries)
+            e.images = undefined; // убрать изображения
+    if (cfg.excludedRoutes.length) {
+        const ex = new Set(cfg.excludedRoutes.map(normPath));
+        entries = entries.filter((e) => !ex.has(pathOf(e.loc))); // исключить отдельные пути
+    }
+    const excluded = new Set(cfg.excludedGroups);
     // flat — одна карта со всеми URL (без под-карт); используется, когда под-карты недоступны.
     if (kind === "flat")
-        return urlsetXml(origin, entries);
+        return urlsetXml(origin, entries.filter((e) => !excluded.has(groupOfUrl(e.loc))));
     if (kind === "child") {
         const g = (group ?? "").replace(/\.xml$/i, "");
+        if (excluded.has(g))
+            return EMPTY; // раздел выключен → пустая (валидная) карта
         return urlsetXml(origin, entries.filter((e) => groupOfUrl(e.loc) === g));
     }
-    const groups = [...new Set(entries.map((e) => groupOfUrl(e.loc)))].sort();
-    if (groups.length <= 1)
-        return urlsetXml(origin, entries);
+    // index
+    const groups = [...new Set(entries.map((e) => groupOfUrl(e.loc)))].sort().filter((g) => !excluded.has(g));
+    if (groups.length === 0)
+        return EMPTY; // всё выключено → пустая карта (backstop)
+    if (groups.length === 1) {
+        // остался один раздел → отдаём его urlset (только его записи, не все!)
+        const only = groups[0];
+        return urlsetXml(origin, entries.filter((e) => groupOfUrl(e.loc) === only));
+    }
     return indexXml(origin, groups);
 }

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@webnumseoagent/next",
-  "version": "0.1.10",
+  "version": "0.1.12",
   "description": "Runtime SEO adapter + installer for Next.js App Router sites (SEO Agent platform)",
   "main": "dist/client.js",
   "types": "dist/client.d.ts",
@@ -15,6 +15,10 @@
     "./jsonld": {
       "types": "./dist/jsonld.d.ts",
       "default": "./dist/jsonld.js"
+    },
+    "./redirects": {
+      "types": "./dist/redirects.d.ts",
+      "default": "./dist/redirects.js"
     }
   },
   "files": [
@@ -23,6 +27,7 @@
     "jsonld.tsx",
     "sitemap-xsl.ts",
     "sitemap-build.ts",
+    "redirects.ts",
     "bin",
     "README.md"
   ],

package/redirects.ts

@@ -0,0 +1,166 @@
+// Рантайм-переадресации для Next.js middleware (Edge). Тянет активные правила с
+// платформы и применяет к входящему запросу. Отдельный сабпас "@webnumseoagent/next/redirects",
+// чтобы Edge-код не попадал в RSC-бандлы.
+//
+// В Edge middleware Next Data Cache (next:{revalidate,tags}) НЕ работает и revalidateTag
+// сюда не достаёт — поэтому кэшируем правила модульным TTL (переживает жизнь изолята).
+// Правки на платформе применяются в пределах TTL (~минута), не мгновенно.
+//
+// FAIL-SAFE: при любой ошибке / отсутствии env возвращаем null — сайт работает как обычно.
+import { NextResponse, type NextRequest } from "next/server";
+
+const API = process.env.SEOAGENT_API_BASE ?? "";
+const SITE = process.env.SEOAGENT_SITE_ID ?? "";
+const TOKEN = process.env.SEOAGENT_TOKEN ?? "";
+
+type MatchType = "exact" | "contains" | "start" | "end" | "regex";
+interface Source {
+  value: string;
+  type: MatchType;
+  ignoreCase?: boolean;
+}
+interface RawRule {
+  id?: string;
+  sources: Source[];
+  destination: string;
+  code: number;
+  active?: boolean;
+}
+interface CompiledRule {
+  test: (path: string) => boolean;
+  destination: string;
+  code: number;
+}
+
+const TTL_OK = 60_000; // успех — правила живут минуту
+const TTL_FAIL = 10_000; // ошибка — быстрее повторить, но не долбить
+const FETCH_TIMEOUT = 2_000; // middleware на горячем пути каждого запроса — таймаут короткий
+const MAX_PATTERN = 200;
+const MAX_PATH = 2_000;
+
+const is3xx = (c: number) => c === 301 || c === 302 || c === 307;
+
+function normPath(p: string): string {
+  let s = p;
+  try {
+    s = decodeURIComponent(p);
+  } catch {
+    /* битый % — оставляем как есть */
+  }
+  if (s.length > MAX_PATH) s = s.slice(0, MAX_PATH);
+  if (s.length > 1) s = s.replace(/\/+$/, "") || "/";
+  return s;
+}
+
+function normSource(v: string): string {
+  let s = (v ?? "").trim();
+  if (!s) return s;
+  if (/^https?:\/\//i.test(s)) return s.replace(/\/+$/, "");
+  if (!s.startsWith("/")) s = "/" + s;
+  return s.length > 1 ? s.replace(/\/+$/, "") : s;
+}
+
+function compile(rules: RawRule[]): CompiledRule[] {
+  const out: CompiledRule[] = [];
+  for (const r of rules) {
+    if (!r || r.active === false) continue;
+    const code = Number(r.code);
+    if (is3xx(code) && !r.destination) continue; // 3xx без назначения бессмысленно
+    if (![301, 302, 307, 410, 451].includes(code)) continue;
+
+    const tests: Array<(p: string) => boolean> = [];
+    for (const src of r.sources ?? []) {
+      const raw = (src?.value ?? "").trim();
+      if (!raw || raw.length > MAX_PATTERN) continue;
+      const ci = src.ignoreCase !== false; // по умолчанию регистронезависимо
+      if (src.type === "regex") {
+        try {
+          const re = new RegExp(raw, ci ? "i" : ""); // компилируем ОДИН раз
+          tests.push((p) => re.test(p));
+        } catch {
+          /* битый regex — пропускаем только этот источник */
+        }
+      } else {
+        // exact/start — пути (нормализуем как путь); contains/end — под-строка/суффикс
+        // (берём как есть, только trim), иначе навязанный '/' ломает совпадение (".html").
+        const norm = src.type === "exact" || src.type === "start" ? normSource(raw) : raw.trim();
+        const v = ci ? norm.toLowerCase() : norm;
+        const f = (p: string) => (ci ? p.toLowerCase() : p);
+        if (src.type === "exact") tests.push((p) => f(p) === v);
+        else if (src.type === "contains") tests.push((p) => f(p).includes(v));
+        else if (src.type === "start") tests.push((p) => f(p).startsWith(v));
+        else if (src.type === "end") tests.push((p) => f(p).endsWith(v));
+      }
+    }
+    if (tests.length) out.push({ test: (p) => tests.some((t) => t(p)), destination: r.destination, code });
+  }
+  return out;
+}
+
+let cache: { at: number; ttl: number; rules: CompiledRule[] | null } | null = null;
+let inflight: Promise<CompiledRule[] | null> | null = null;
+
+async function loadRules(): Promise<CompiledRule[] | null> {
+  if (!API || !SITE || !TOKEN) return null;
+  try {
+    const r = await fetch(`${API}/api/seo/${SITE}/redirects`, {
+      headers: { "x-seo-agent-key": TOKEN },
+      signal: AbortSignal.timeout(FETCH_TIMEOUT),
+      // без next:{revalidate,tags} — в Edge middleware не действуют
+    });
+    if (!r.ok) return null;
+    const body = (await r.json()) as { rules?: RawRule[] } | RawRule[] | null;
+    const raw = Array.isArray(body) ? body : (body?.rules ?? []);
+    return compile(Array.isArray(raw) ? raw : []);
+  } catch {
+    return null;
+  }
+}
+
+async function getRules(): Promise<CompiledRule[] | null> {
+  const now = Date.now();
+  if (cache && now - cache.at < cache.ttl) return cache.rules;
+  if (inflight) return inflight; // дедуп конкурентных промахов на холодном изоляте
+  inflight = loadRules()
+    .then((rules) => {
+      cache = { at: Date.now(), ttl: rules === null ? TTL_FAIL : TTL_OK, rules };
+      inflight = null;
+      return rules;
+    })
+    .catch(() => {
+      inflight = null;
+      return cache?.rules ?? null;
+    });
+  return inflight;
+}
+
+// Вызывать ПЕРВЫМ в middleware: `const r = await seoRedirects(request); if (r) return r;`
+export async function seoRedirects(request: NextRequest): Promise<NextResponse | null> {
+  try {
+    const rules = await getRules();
+    if (!rules || rules.length === 0) return null;
+    const path = normPath(request.nextUrl.pathname);
+
+    for (const rule of rules) {
+      if (!rule.test(path)) continue;
+
+      if (rule.code === 410 || rule.code === 451) {
+        const msg = rule.code === 410 ? "410 Gone" : "451 Unavailable For Legal Reasons";
+        return new NextResponse(msg, { status: rule.code, headers: { "content-type": "text/plain; charset=utf-8" } });
+      }
+
+      const abs = /^https?:\/\//i.test(rule.destination);
+      const target = abs ? new URL(rule.destination) : new URL(rule.destination, request.url);
+
+      // Защита от петли: назначение = текущий путь того же origin — пропускаем.
+      if (target.origin === request.nextUrl.origin && normPath(target.pathname) === path) continue;
+
+      // Сохраняем входящий query, если у назначения своего нет.
+      if (!target.search && request.nextUrl.search) target.search = request.nextUrl.search;
+      return NextResponse.redirect(target, rule.code);
+    }
+    return null;
+  } catch {
+    return null; // любая ошибка → сайт продолжает работать
+  }
+}

package/sitemap-build.ts

@@ -1,8 +1,44 @@
 // «Оборачивание» существующей карты сайта: берём данные из ИХ генератора
 // (сохраняя свежесть и все URL), группируем по разделам и отдаём стилизованный
 // индекс + под-карты со ссылкой на XSL. Работает на стороне сайта (без платформы).
+//
+// Плюс тянем настройки карты с платформы (изображения / исключённые разделы и пути) —
+// тем же тегированным fetch, что и robots (вариант B): при сохранении на платформе
+// пинг ревалидации сбрасывает тег seo-<SITE>, и карта пересобирается с новыми правилами.
+// Fail-safe: если платформа недоступна — ведём себя как раньше (всё включено).
 import type { MetadataRoute } from "next";
 
+const API = process.env.SEOAGENT_API_BASE ?? "";
+const SITE = process.env.SEOAGENT_SITE_ID ?? "";
+const TOKEN = process.env.SEOAGENT_TOKEN ?? "";
+
+interface SitemapCfg {
+  images: boolean;
+  excludedGroups: string[];
+  excludedRoutes: string[];
+}
+const CFG_DEFAULT: SitemapCfg = { images: true, excludedGroups: [], excludedRoutes: [] };
+
+async function fetchSitemapCfg(): Promise<SitemapCfg> {
+  if (!API || !SITE || !TOKEN) return CFG_DEFAULT; // fail-safe = прежнее поведение
+  try {
+    const r = await fetch(`${API}/api/seo/${SITE}/sitemap-config`, {
+      headers: { "x-seo-agent-key": TOKEN },
+      next: { revalidate: 300, tags: [`seo-${SITE}`] }, // тот же тег ⇒ пинг ревалидации сбрасывает
+      signal: AbortSignal.timeout(5000),
+    });
+    if (!r.ok) return CFG_DEFAULT;
+    const j = (await r.json()) as Partial<SitemapCfg> | null;
+    return {
+      images: j?.images !== false,
+      excludedGroups: Array.isArray(j?.excludedGroups) ? j!.excludedGroups!.map(String) : [],
+      excludedRoutes: Array.isArray(j?.excludedRoutes) ? j!.excludedRoutes!.map(String) : [],
+    };
+  } catch {
+    return CFG_DEFAULT;
+  }
+}
+
 function escapeXml(s: string): string {
   return s
     .replace(/&/g, "&amp;")
@@ -82,6 +118,17 @@ function groupOfUrl(loc: string): string {
   return segs.length <= 1 ? "pages" : dec(segs[0]);
 }
 
+// Нормализованный путь записи (декодированный, без хвостового слэша) — для сравнения
+// с excludedRoutes (точное совпадение пути).
+function pathOf(loc: string): string {
+  try {
+    return dec(new URL(loc).pathname).replace(/\/+$/, "") || "/";
+  } catch {
+    return loc;
+  }
+}
+const normPath = (p: string): string => dec(p).replace(/\/+$/, "") || "/";
+
 function pi(origin: string): string {
   return `<?xml version="1.0" encoding="UTF-8"?>\n<?xml-stylesheet type="text/xsl" href="${escapeXml(origin + "/sitemap.xsl")}"?>\n`;
 }
@@ -123,6 +170,7 @@ export async function seoWrapSitemap(
   kind: "index" | "child" | "flat",
   group?: string,
 ): Promise<string> {
+  const cfg = await fetchSitemapCfg();
   let entries: NEntry[];
   try {
     entries = normalize(await fn());
@@ -132,15 +180,31 @@ export async function seoWrapSitemap(
   const origin = originOf(entries);
   if (!origin || entries.length === 0) return EMPTY;
 
+  // Трансформации применяем к списку записей ОДИН раз, до ветвления по kind —
+  // иначе flat и «схлопывание в один раздел» их обходят.
+  if (!cfg.images) for (const e of entries) e.images = undefined; // убрать изображения
+  if (cfg.excludedRoutes.length) {
+    const ex = new Set(cfg.excludedRoutes.map(normPath));
+    entries = entries.filter((e) => !ex.has(pathOf(e.loc))); // исключить отдельные пути
+  }
+  const excluded = new Set(cfg.excludedGroups);
+
   // flat — одна карта со всеми URL (без под-карт); используется, когда под-карты недоступны.
-  if (kind === "flat") return urlsetXml(origin, entries);
+  if (kind === "flat") return urlsetXml(origin, entries.filter((e) => !excluded.has(groupOfUrl(e.loc))));
 
   if (kind === "child") {
     const g = (group ?? "").replace(/\.xml$/i, "");
+    if (excluded.has(g)) return EMPTY; // раздел выключен → пустая (валидная) карта
     return urlsetXml(origin, entries.filter((e) => groupOfUrl(e.loc) === g));
   }
 
-  const groups = [...new Set(entries.map((e) => groupOfUrl(e.loc)))].sort();
-  if (groups.length <= 1) return urlsetXml(origin, entries);
+  // index
+  const groups = [...new Set(entries.map((e) => groupOfUrl(e.loc)))].sort().filter((g) => !excluded.has(g));
+  if (groups.length === 0) return EMPTY; // всё выключено → пустая карта (backstop)
+  if (groups.length === 1) {
+    // остался один раздел → отдаём его urlset (только его записи, не все!)
+    const only = groups[0];
+    return urlsetXml(origin, entries.filter((e) => groupOfUrl(e.loc) === only));
+  }
   return indexXml(origin, groups);
 }