From 5e6d180e128ad631c229b92fc0d913a6208ab7f6 Mon Sep 17 00:00:00 2001 From: =?UTF-8?q?Jo=C3=A3o=20Pedro=20Toledo?= Date: Wed, 4 Feb 2026 19:45:17 -0300 Subject: [PATCH] refactor: Atualiza ferreirareal.com.br para nova arquitetura Pathfinder --- conf.d/ferreirareal.com.br.conf | 145 +++++++++----------------------- 1 file changed, 40 insertions(+), 105 deletions(-) diff --git a/conf.d/ferreirareal.com.br.conf b/conf.d/ferreirareal.com.br.conf index 65a9d09..45b640b 100644 --- a/conf.d/ferreirareal.com.br.conf +++ b/conf.d/ferreirareal.com.br.conf @@ -1,153 +1,88 @@ # ============================================================================== -# ARQUIVO: /etc/nginx/sites-available/ferreirareal.com.br.conf -# DESCRIÇÃO: -# Configuração de Proxy Reverso OTIMIZADA para o site ferreirareal.com.br. -# Força HTTPS, redireciona www para não-www e inclui melhores práticas de -# segurança, cache e SEO. +# PROXY PATHFINDER - HIGH END CONFIGURATION +# Site: ferreirareal.com.br # ============================================================================== -# Define o servidor de backend para o site. upstream ferreirareal_backend { server 172.112.1.2:8081; } -# ============================================================================== -# BLOCO 1: Redirecionamento de HTTP (porta 80) para HTTPS (não-www) -# ============================================================================== +# --- HTTP -> HTTPS Redirect --- server { - if ($host = www.ferreirareal.com.br) { - return 301 https://$host$request_uri; - } # managed by Certbot - - - if ($host = ferreirareal.com.br) { - return 301 https://$host$request_uri; - } # managed by Certbot - - listen 80; server_name ferreirareal.com.br www.ferreirareal.com.br; - - # Permite a renovação de certificado Let's Encrypt. + include snippets/acme_challenge.conf; - # Redireciona todo o resto para a versão segura e canônica. location / { return 301 https://ferreirareal.com.br$request_uri; } - - - - } -# ============================================================================== -# BLOCO 2: Redirecionamento de HTTPS com WWW para a versão sem WWW -# ============================================================================== +# --- WWW -> Non-WWW Redirect (HTTPS) --- server { - listen 443 ssl http2; + listen 443 quic; + listen 443 ssl; server_name www.ferreirareal.com.br; - # --- IMPORTANTE: Substitua pelos caminhos dos seus certificados --- - #ssl_certificate /etc/letsencrypt/live/ferreirareal.com.br/fullchain.pem; - #ssl_certificate_key /etc/letsencrypt/live/ferreirareal.com.br/privkey.pem; - #ssl_trusted_certificate /etc/letsencrypt/live/ferreirareal.com.br/fullchain.pem; + include snippets/ssl_params.conf; + ssl_certificate /etc/letsencrypt/live/ferreirareal.com.br/fullchain.pem; + ssl_certificate_key /etc/letsencrypt/live/ferreirareal.com.br/privkey.pem; - # Apenas redireciona, não precisa de mais nada aqui. return 301 https://ferreirareal.com.br$request_uri; - - ssl_certificate /etc/letsencrypt/live/www.ferreirareal.com.br/fullchain.pem; # managed by Certbot - ssl_certificate_key /etc/letsencrypt/live/www.ferreirareal.com.br/privkey.pem; # managed by Certbot } -# ============================================================================== -# BLOCO 3: Servidor Principal - Proxy Reverso (HTTPS, não-www) -# ============================================================================== +# --- MAIN SERVER --- server { - listen 443 ssl http2; + # HTTP/3 (QUIC) + HTTP/2 + SSL + listen 443 quic reuseport; + listen 443 ssl; server_name ferreirareal.com.br; - # --- Logs --- + # --- logs --- access_log /var/log/nginx/ferreirareal.com.br.access.log detailed_proxy; - access_log /var/log/nginx/ferreirareal.com.br.bad-bot.log suspicious_bot if=$block_request; error_log /var/log/nginx/ferreirareal.com.br.error.log warn; - # --- Segurança (Integração com nginx.conf) --- - if ($block_request) { - return 404; # Bloqueia bots e scanners conhecidos - } - limit_req zone=global_limit burst=20 nodelay; # Limite de requisições geral - limit_req zone=bad_bot_limit; # Limite mais estrito para bots - - # --- Configurações de SSL/TLS Otimizadas --- - # IMPORTANTE: Garanta que os caminhos abaixo estão corretos. - #ssl_certificate /etc/letsencrypt/live/ferreirareal.com.br/fullchain.pem; - #ssl_certificate_key /etc/letsencrypt/live/ferreirareal.com.br/privkey.pem; - #ssl_trusted_certificate /etc/letsencrypt/live/ferreirareal.com.br/fullchain.pem; + # --- Snippets Globais de Performance e Segurança --- + include snippets/ssl_params.conf; + include snippets/proxy_params.conf; + include snippets/modsecurity.conf; + include snippets/well_known.conf; - ssl_session_timeout 1d; - ssl_session_cache shared:SSL:60m; - ssl_session_tickets off; - ssl_protocols TLSv1.2 TLSv1.3; - ssl_prefer_server_ciphers off; - ssl_ciphers 'ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384'; - ssl_stapling on; - ssl_stapling_verify on; + # --- Certificados --- + ssl_certificate /etc/letsencrypt/live/ferreirareal.com.br/fullchain.pem; + ssl_certificate_key /etc/letsencrypt/live/ferreirareal.com.br/privkey.pem; - # --- Cabeçalhos de Segurança e SEO --- - add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always; - add_header X-Frame-Options "SAMEORIGIN" always; - add_header X-Content-Type-Options "nosniff" always; - add_header Referrer-Policy "no-referrer-when-downgrade" always; - add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self' data:; object-src 'none'; frame-ancestors 'self';" always; + # --- Cache --- + proxy_cache dynamic_cache; # Usando a Zona Universal + + # --- Variáveis para Snippets de Identificação --- + set $upstream_proto http; + set $upstream_app ferreirareal_backend; - # --- Configurações de Compressão Brotli & Gzip --- - brotli on; - brotli_comp_level 6; - brotli_types text/plain text/css application/json application/javascript application/x-javascript text/xml application/xml application/xml+rss text/javascript image/svg+xml; - gzip on; - gzip_vary on; - gzip_min_length 1024; - gzip_proxied expired no-cache no-store private auth; - gzip_types text/plain text/css application/json application/javascript application/x-javascript text/xml application/xml application/xml+rss text/javascript image/svg+xml; - gzip_disable "MSIE [1-6]\."; + # --- LOCATIONS --- - # --- Parâmetros de Proxy Globais --- - proxy_set_header Host $http_host; - proxy_set_header X-Real-IP $remote_addr; - proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; - proxy_set_header X-Forwarded-Proto $scheme; - - # --- Estratégia de Cache (IMPORTANTE) --- - # Lembre-se de adicionar a linha 'proxy_cache_path' correspondente em nginx.conf! - proxy_cache ferreirareal_cache; - include snippets/cache_proxy_params.conf; - - # --- REGRAS DE ROTEAMENTO (LOCATIONS) --- - - # 1. Localização para o formulário (SEM CACHE) + # 1. Contatos (SEM CACHE) location = /Contatos.html { - proxy_no_cache 1; # Não sirva do cache - proxy_cache_bypass 1; # Ignore o cache e vá direto para o backend + proxy_cache_bypass 1; + proxy_no_cache 1; proxy_pass http://ferreirareal_backend; } - # 2. Localização para assets estáticos (CACHE AGRESSIVO) + # 2. Assets Estáticos (CACHE AGRESSIVO) location ~* \.(jpg|jpeg|gif|png|webp|svg|css|js|ico|woff2?|ttf|json)$ { - expires 1y; # Cache de navegador por 1 ano + expires 1y; add_header Cache-Control "public, immutable"; - proxy_cache_valid 200 30d; # Cache de Nginx por 30 dias + add_header Alt-Svc 'h3=":443"; ma=86400'; # Garante anúncio H3 em assets + proxy_cache_valid 200 30d; proxy_pass http://ferreirareal_backend; - access_log off; # Opcional: desliga o log para assets + access_log off; } - # 3. Localização para páginas HTML (CACHE CURTO) + # 3. Raiz (CACHE DINÂMICO) location / { - expires 15m; # Cache de navegador por 15 minutos + expires 15m; proxy_cache_valid 200 15m; proxy_pass http://ferreirareal_backend; } - - ssl_certificate /etc/letsencrypt/live/www.ferreirareal.com.br/fullchain.pem; # managed by Certbot - ssl_certificate_key /etc/letsencrypt/live/www.ferreirareal.com.br/privkey.pem; # managed by Certbot }