Revisão da configuração do nginx: segurança, TLS, proxy e cache

Prompt

Atua como administrador de sistemas especialista em nginx, segurança web e desempenho.

Revê esta configuração do nginx:
{{configuracao}}

Contexto:
- Função do servidor: {{funcao}}
- Domínio ou domínios: {{dominio}}
- Backend ou raiz dos ficheiros: {{backend}}

Entregáveis:
1. Uma tabela de problemas com gravidade (crítica, alta, média, baixa), linha ou bloco afetado, problema e correção.
2. Verifica no mínimo:
   - TLS: protocolos e cifras, redirecionamento de HTTP para HTTPS, HSTS (explicando o risco de `includeSubDomains` e `preload` antes de os ativar), OCSP stapling.
   - Cabeçalhos de segurança: `X-Content-Type-Options`, `Referrer-Policy`, `X-Frame-Options` ou `frame-ancestors`, e uma CSP inicial assinalada como a testar.
   - `server_tokens off`, acesso a ficheiros ocultos (`.git`, `.env`) e listagem de diretórios.
   - Reverse proxy: `proxy_set_header` (Host, X-Real-IP, X-Forwarded-For, X-Forwarded-Proto), timeouts, buffering, WebSockets se aplicável.
   - Os erros clássicos com `location`, `alias` versus `root`, `try_files` e barras finais.
   - Limites: `client_max_body_size`, `limit_req` para login ou API, ligações.
   - Desempenho: compressão, cache de estáticos com `expires` e `Cache-Control`, HTTP/2.
3. O ficheiro completo corrigido, com um comentário curto em cada alteração.
4. Comandos para validar e aplicar sem interromper o serviço (`nginx -t`, reload) e verificações com `curl -I` para cabeçalhos e redirecionamentos.

Restrições:
- Não alteres o comportamento funcional sem me avisar (rotas, redirecionamentos, tamanhos permitidos).
- Se faltar um ficheiro incluído ou não souberes a versão do nginx, pergunta-me ou marca o ponto como [PREENCHER].
- Indica o que devo verificar em pré-produção antes de passar a produção.

Como utilizar

Exemplo de utilização

Exemplo de resultado

server {
    listen 80;
    server_name loja-exemplo.pt www.loja-exemplo.pt;
    return 301 https://$host$request_uri;   # força HTTPS mantendo o host
}

server {
    listen 443 ssl;
    http2 on;                                # nginx >= 1.25.1; versão: [COMPLETAR]
    server_name loja-exemplo.pt www.loja-exemplo.pt;
    ssl_certificate     /etc/ssl/loja/fullchain.pem;    # [COMPLETAR]
    ssl_certificate_key /etc/ssl/loja/privkey.pem;
    ssl_protocols TLSv1.2 TLSv1.3;
    server_tokens off;

    # HSTS sem includeSubDomains nem preload até rever todos os subdomínios
    add_header Strict-Transport-Security "max-age=31536000" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;

    location ~ /\.(?!well-known) { deny all; }   # bloqueia .git, .env…

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Dados-chave

Categoria

Programação e desenvolvimento · DevOps

Tipo de resultado

Código

Nível

Intermédio

Pensado para

ChatGPT, Claude, Gemini e Microsoft Copilot

Verificado em

Pendente de verificação editorial

Variáveis

Configuração atual, Função do servidor, Domínios e Backend ou raiz

Idioma

Português

Preço

Gratuito, sem registo

Atualizado

07/11/2026

Perguntas frequentes