Hardening de VPS Linux, Caddy HTTP/3 e Resiliência Mobile: Da Automação à Produção Confiável

O Desafio Técnico do Dia

Atuar como Senior Full-Stack & AI Automation Engineer significa assumir a responsabilidade por todo o ciclo operacional: da segurança do kernel Linux à estabilidade do render em navegadores móveis.

Houve três frentes centrais de trabalho no estúdio:

1. Estabilidade de Domínios Multi-Tenant: Correção de roteamento e links de landing pages estratégicas.
2. Erros de Runtime no Safari iOS: Depuração de falhas relatadas em iPhones causadas por montagem de componentes e botões duplicados de WhatsApp.
3. Hardening de Infraestrutura: Configuração estrita de firewall no Linux VPS, mitigação ativa de intrusões e snapshots automáticos do banco de dados para um canal privado no Telegram.

---

1. Infraestrutura Segura: Caddy HTTP/3, UFW e Fail2ban

Nossa abordagem de infraestrutura foca na simplicidade defensiva e no isolamento de serviços.

Firewall UFW Estrito

Bloqueamos qualquer tráfego desnecessário, mantendo ativas apenas as portas essenciais:

# Política base: bloqueio estrito de entrada
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp comment 'SSH bastion'
sudo ufw allow 80/tcp comment 'HTTP ACME challenge'
sudo ufw allow 443/tcp comment 'HTTPS TLS 1.3'
sudo ufw allow 443/udp comment 'HTTP/3 QUIC'
sudo ufw enable

Com o Fail2ban ativo monitorando tentativas contra SSH e serviços autenticados, tentativas maliciosas são mitigadas instantaneamente.

Caddy com HTTP/3 Nativo

O Caddy atua como proxy reverso com suporte nativo a HTTP/3 (QUIC via UDP) e TLS 1.3 automático:

gatocolectivo.com {
    encode zstd gzip
    reverse_proxy 127.0.0.1:3000 {
        header_up Host {host}
        header_up X-Real-IP {remote_host}
    }
    header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
    header X-Content-Type-Options "nosniff"
    header X-Frame-Options "DENY"
}

Backups Automatizados no Telegram Vault

Para garantir cópias de segurança fora do servidor sem fricção, criamos uma rotina que envia os dumps compactados e criptografados diretamente para o Telegram via Bot API:

#!/usr/bin/env bash
set -euo pipefail
BACKUP_DATE=$(date +%Y%m%d_%H%M%S)
ARCHIVE="/tmp/db_snapshot_${BACKUP_DATE}.sql.gz"

# Dump e compressão
docker exec -t postgres_prod pg_dump -U postgres app_db | gzip -9 > "$ARCHIVE"

# Envio seguro ao Telegram
curl -s -F chat_id="${TELEGRAM_ADMIN_CHAT_ID}" \
     -F document=@"${ARCHIVE}" \
     -F caption="🛡️ Snapshot automatizado DB: ${BACKUP_DATE}" \
     "https://api.telegram.org/bot${TELEGRAM_BACKUP_BOT_TOKEN}/sendDocument"

rm -f "$ARCHIVE"

---

2. Resiliência Mobile: Eliminando Falhas no iOS WebKit

Identificamos que o erro de renderização no iPhone era provocado por um bloqueio de rolagem inadequado no menu responsivo e pela duplicidade de scripts de atendimento.

Refatoramos a navegação móvel com controle determinístico de eventos no WebKit, eliminando quebras de layout e garantindo carregamento instantâneo.

---

3. Assistente de Vendas e Suporte via WhatsApp

Definimos diretrizes para o agente conversacional de alta fidelidade: prioridade absoluta a respostas técnicas consistentes, recusa a estimativas financeiras sem escopo arquitetural e qualificação fluida sem formulários desnecessários.

---

Conclusão

Engenharia de software de ponta se sustenta no básico bem executado: servidores com portas blindadas, HTTP/3 rápido, interfaces testadas em dispositivos reais e rotinas automáticas de proteção de dados.

👉 Conheça meus projetos e soluções em andresmorales.com.co.