diff --git a/docker-compose.prod.yml b/docker-compose.prod.yml
index 78739fe..a4634d4 100644
--- a/docker-compose.prod.yml
+++ b/docker-compose.prod.yml
@@ -15,7 +15,13 @@ services:
     cap_drop:
       - ALL
     cap_add:
+      # NET_BIND_SERVICE — слушать :80; CHOWN/SETUID/SETGID — nginx при старте
+      # отдаёт кэш-директории воркеру (chown client_temp ...) и сбрасывает
+      # права мастера на пользователя nginx
       - NET_BIND_SERVICE
+      - CHOWN
+      - SETUID
+      - SETGID
     healthcheck:
       test: ["CMD-SHELL", "wget -qO /dev/null http://127.0.0.1/ || exit 1"]
       interval: 30s