Aja como meu engenheiro DevOps. Você vai publicar minha aplicação no meu Cloud Server
da Donweb. Eu não entendo de servidores, então explique cada passo importante em uma
frase simples antes de executá-lo.
DADOS DO SERVIDOR (do meu painel da Donweb):
- IP: {IP_DEL_SERVIDOR}
- Hostname: {HOSTNAME} ← aparece como "Host" no painel, ex: vps-57585926-x.dattaweb.com
- Porta SSH: {PUERTO_SSH} ← atenção: na Donweb não é a 22, verifique "Porta" no painel
- Usuário: root
- Sistema operacional do servidor: {SISTEMA_OPERATIVO} (Ex: Ubuntu 24.04 instalação mínima, recém-criado)
← atenção: verifique primeiro se corresponde ao SO do servidor
MINHA APLICAÇÃO:
- Localização: {RUTA_LOCAL_ABSOLUTA_O_URL_DEL_REPO}
- O repositório é: {público / privado / não é um repositório, é uma pasta local}
- Tipo: {ex: Node.js / PHP / site estático — se não souber, examine o código e me diga}
- Porta interna em que roda (se aplicável): {ex: 3000}
- Variáveis de ambiente / chaves necessárias: {ex: DATABASE_URL, API_KEY... / não sei}
- Meu domínio próprio (opcional, só se eu quiser conectá-lo hoje): {ex: meuapp.com / por enquanto não}
COMO LER ESTE PROMPT (importante):
- Todos os dados que você precisa estão nas duas seções acima. Sempre que mais
abaixo disser "o IP", "a porta SSH", "o hostname", "a localização do meu app" ou
"meu domínio", estou sempre me referindo aos valores dessas seções.
- Antes de executar qualquer coisa, revise-as: se algum valor ficou vazio, ainda é
um texto entre chaves { }, ou parece um exemplo incompleto, pare e me pergunte.
MEU AMBIENTE LOCAL:
- Não assuma meu sistema operacional: detecte-o primeiro com um comando apropriado
(Windows, macOS ou Linux) e adapte todos os comandos locais ao que
você encontrar. Em particular:
- Windows: não há rsync, e ssh-copy-id pode não existir. Para copiar arquivos
use scp (lembre-se que scp usa -P maiúsculo para a porta). Para instalar
minha chave pública no servidor, se ssh-copy-id não estiver disponível, use o
método equivalente (ler minha chave .pub e adicioná-la ao authorized_keys no
servidor via ssh). Tenha cuidado com o formato de caminhos (C:...) e o
quoting do PowerShell.
- macOS / Linux: você pode usar scp ou rsync — se escolher rsync, verifique primeiro
que também exista no servidor (ou instale-o lá).
- Em todos os casos: git clone direto no servidor apenas se o repositório for
público; se for privado ou uma pasta local, copie os arquivos da minha
máquina.
CONTEXTO DO SERVIDOR:
- Meu Cloud Server já tem um firewall virtual gerenciado pelo painel da
Donweb, com as portas 80, 443 e a porta SSH indicada acima abertas.
NÃO instale nem ative outro firewall (ufw/iptables) dentro do servidor:
não é necessário e poderia me deixar de fora.
- Se minha aplicação precisar receber tráfego da internet em alguma outra porta,
não tente abri-la a partir do servidor: esse firewall é gerenciado pelo
painel e eu faço isso. Diga-me exatamente qual porta e protocolo (TCP/UDP) são
necessários e me guie: no meu painel da Donweb → meu Cloud Server → seção
"Firewall" → "Adicionar regra" (porta, protocolo e origem; para acesso
geral a origem é 0.0.0.0/0 em IPv4 e ::/0 em IPv6). Antes de me pedir isso,
avalie se realmente é necessário: o normal é que todo o tráfego passe por
nginx nas portas 80/443 que já estão abertas.
REGRAS DE SEGURANÇA (obrigatórias):
- Nunca escreva, mostre ou salve minha senha em texto simples. A única
vez que é necessária é ao instalar a chave SSH (passo 1): nesse momento eu paro para
escrevê-la eu mesmo. Não use sshpass nem nenhum método que exija colocá-la em um
comando ou arquivo.
- Antes de qualquer ação destrutiva (apagar arquivos, formatar, reinstalar
serviços existentes), me avise e aguarde minha confirmação.
- Não leia, resuma nem reporte /var/log/auth.log, a saída de lastb, o
correio do sistema nem as tentativas de login falhadas, a menos que eu peça
isso explicitamente. As tentativas de login falhadas em um IP público são
ruído normal da internet: não as apresente como uma descoberta de segurança nem
liste IPs ou endereços envolvidos.
- O mesmo vale para qualquer segredo: nunca mostre na tela o conteúdo de
arquivos .env nem valores de API keys, tokens ou senhas — nem os meus
nem os que você gerar. Se precisar criar novas credenciais (por exemplo,
o usuário de um banco de dados), gere senhas fortes aleatórias,
salve-as diretamente no .env do servidor (permissões 600) e me diga apenas
em qual arquivo ficaram.
- O banco de dados e qualquer serviço interno devem escutar apenas em
localhost (127.0.0.1), nunca em 0.0.0.0. Só se expõe à internet o que
serve o servidor web / proxy reverso (nginx, Caddy ou o que for usado).
- Não modifique a configuração de acesso SSH do servidor (porta,
PasswordAuthentication, PermitRootLogin) a menos que um passo deste prompt
peça isso explicitamente — e nunca sem ter testado antes, em uma sessão
nova, que existe outra via de acesso funcionando.
- Instale somente o que minha aplicação precisa: sem painéis, ferramentas de
monitoramento nem software extra que eu não tenha pedido.
REGRAS DE EXECUÇÃO (para que nada fique travado):
- Na PRIMEIRA conexão SSH use -o StrictHostKeyChecking=accept-new para que
não fique esperando uma confirmação interativa.
- No servidor, execute apt sempre com DEBIAN_FRONTEND=noninteractive e
NEEDRESTART_MODE=a para evitar menus interativos.
- Não faça um upgrade completo do sistema neste primeiro deploy: apenas
apt update e instale o que for necessário.
- Se minha aplicação precisar de um banco de dados ou outro serviço (Postgres,
MySQL, Redis...), me avise e explique o que você vai instalar antes de fazer isso.
PASSOS:
- Verifique se a localização da minha aplicação (seção MINHA APLICAÇÃO) existe e
é acessível. Se não, pare e me pergunte antes de mexer no servidor.
- Configure o acesso por chave SSH (assim só escrevo minha senha UMA vez):
gere uma chave na minha máquina se eu não tiver uma (ssh-keygen, sem passphrase,
caminho padrão) e instale-a no servidor usando o IP e a porta SSH
indicados acima — com ssh-copy-id ou o método equivalente segundo meu sistema
operacional (ver MEU AMBIENTE LOCAL). Nesse momento o sistema vai pedir a senha e
eu a escrevo. Verifique depois que é possível entrar sem senha. Tudo o
que segue deve ser não interativo.
- Conecte-se via SSH e verifique que o servidor responde. Mostre-me sistema,
memória e disco disponíveis.
- Prepare o servidor: atualize o índice de pacotes e instale o que minha
aplicação precisar (runtime, nginx). Se o app for Node.js, detecte a
versão que ele requer (package.json → engines, .nvmrc, ou dependências) e
instale-a a partir do NodeSource — a versão dos repositórios do Ubuntu é antiga.
Se o servidor tiver 1-2 GB de RAM, crie um arquivo swap de 1 GB.
- Envie minha aplicação para o servidor, para uma pasta dentro de /opt com um nome
curto baseado no nome do meu app. Instale suas dependências, se houver.
- Se você detectar um .env.example, um .env faltante ou referências a variáveis de
ambiente não definidas, pare e me pergunte os valores antes de iniciar
a aplicação. Salve o .env no servidor com permissões 600.
- Configure minha aplicação como serviço do sistema (systemd) para que
inicie sozinha se o servidor reiniciar, e verifique que fique rodando.
- Configure o nginx como proxy reverso: a porta 80 deve servir minha aplicação,
respondendo tanto pelo IP quanto pelo hostname do servidor.
Verifique a configuração antes de recarregar o nginx.
- Verifique o resultado: de fora do servidor, faça uma requisição HTTP ao
hostname e teste também a funcionalidade principal do meu app (formulário,
API, o que tiver).
- Me entregue um resumo: a URL onde meu app está (http:// + o hostname),
o que você instalou, onde ficaram os arquivos, e os 3 comandos que
me convém conhecer (ver status, ver logs, reiniciar o app).
FASE OPCIONAL A — MEU DOMÍNIO + HTTPS (somente se eu tiver preenchido "Meu domínio próprio"
acima; se não, me pergunte ao terminar o passo 9 se eu quero fazê-la):
- Quero que meu app responda no meu domínio. Me guie para criar o registro
DNS: um registro A apontando para o IP do servidor, no painel de DNS da
Donweb, Cloudflare ou outro provedor (diga-me exatamente quais campos preencher
segundo qual for usado). Depois verifique com dig/nslookup que o domínio já resolve
para o IP — se ainda não propagou, me diga quanto costuma demorar e esperemos.
- Quando resolver: configure o nginx para responder por esse domínio e adicione
HTTPS com um certificado gratuito do Let's Encrypt (certbot), com
renovação automática. Verifique que https:// + meu domínio responde.
FASE OPCIONAL B — SEGURANÇA EXTRA (me pergunte se quero fazê-la agora):
- Criar um usuário não-root para administrar o app, verificar que minha chave
SSH do passo 1 também funciona para esse usuário em uma sessão nova, e
só então desabilitar o login por senha.
Se algo falhar, explique o erro em linguagem simples, diga se é grave, e
proponha a solução antes de aplicá-la.
