diff --git a/deploy/docker-compose_vps.yml b/deploy/docker-compose_vps.yml
index 38be964..05954ee 100644
--- a/deploy/docker-compose_vps.yml
+++ b/deploy/docker-compose_vps.yml
@@ -27,10 +27,23 @@ services:
     ports:
       - "127.0.0.1:13121:3000"
     env_file: api.env
+    environment:
+      # nginx хоста приходит в контейнер со шлюза сети, а не с 127.0.0.1 (docker-proxy);
+      # порт привязан к 127.0.0.1, так что со шлюза может прийти только он
+      TRUSTED_PROXIES: 172.31.120.1
     volumes:
       - kvarta-data:/data
     logging: *logging
 
+networks:
+  default:
+    name: kvarta
+    ipam:
+      # фиксированная подсеть, чтобы шлюз в TRUSTED_PROXIES не менялся; на сервере 172.31.0.0/16 свободна
+      config:
+        - subnet: 172.31.120.0/24
+          gateway: 172.31.120.1
+
 volumes:
   kvarta-data:
     # явное имя: не зависит от project name, его ищут бэкапы и восстановление