Insights sobre infraestrutura cloud, segurança e resiliência operacional.
O WAF da OCI bloqueou 13 requisições em 24h — 11 eram falsos positivos. Eram chamadas de revalidação do Next.js com ?slug=valores-longos-com-hifens, que o OWASP Core Rule Set leu como SQL injection. A correção: excluir o parâmetro slug em todas as 141 capabilities.
Ler artigoUm WordPress caía duas vezes por dia sob scraping distribuído, e o limite de 12 req/min não segurava nada. A razão: o nginx contava as requisições pelo IP da CDN, não do atacante. A correção foi uma linha de set_real_ip_from — e um regex de paginação mais apertado.
Ler artigoUm scanner comercial gerou 550× o tráfego normal e levou a CPU a 100% — e o CrowdSec não baniu ninguém. O motivo: o container, numa rede Docker bridge, não conseguia resolver DNS, entrava em crash-loop, e ninguém recebia alerta. O IPS estava "instalado", mas morto.
Ler artigoUm upload legítimo de 84 KB no wp-admin batia em 403. A culpa era a managed rule SizeRestrictions_BODY do AWS WAF, que inspeciona só os primeiros 8 KB do corpo. E o fix exigiu trocar regex por ByteMatch — porque o WAF do CloudFront não suporta RegexMatchStatement.
Ler artigoNa migração AWS→OCI da camada WordPress, o EC2 c6g.2xlarge rodava a 6,6% de CPU média. Provar com CloudWatch que 4 OCPUs bastavam foi a parte fácil; quase travamos foi no MySQL gerenciado, por uma policy que precisa estar no tenancy root, não no compartment.
Ler artigoAntes de subir um único container, a rede precisa estar certa. Migrando um app transacional para a OCI em São Paulo, três decisões de VCN definiram o resto: o CIDR que não pode dar overlap, a região com uma só AD, e o Service Gateway que atende por um prefixo inesperado.
Ler artigoDepois de um ciclo de rightsizing + Reserved Instances, validar a economia no meio do mês parece simples — e o pró-rata ingênuo te engana. A RI No-Upfront não é diluída no mês: ela aparece como um lançamento único. Eis a fórmula que projetou -57% real.
Ler artigoUma plataforma de cursos com 540 GB de vídeo precisava entregar conteúdo pago sem que os links vazassem — e sem estourar o orçamento. A conta entre CloudFront (flat-rate + Signed URLs) e Bunny vira clara acima de ~2 TB/mês, e a transcodificação tem um custo único que assusta.
Ler artigoO relatório semanal apontou Route53 +687% e EC2 +34%, e quase viramos a noite caçando o problema. Não havia problema: eram cobranças mensais (RIs, Hosted Zones) caindo no dia 1 dentro da janela. As zonas até CAÍram -8,9%. Como provar o falso positivo em dois comandos.
Ler artigoNuma fatura de US$5.682, US$896 estavam escondidos sob o rótulo opaco "EC2-Other". Abrindo por USAGE_TYPE: US$343/mês de snapshots de instâncias já deletadas, US$305 de egress, gp2 caro e tráfego inter-AZ. Como dissecar e cortar.
Ler artigoUma frota EC2 sangrava ~12,5 TB/mês de egress direto para a internet (~US$1.124). A conta do CloudFront flat-rate ($15/50TB) vira aritmética simples — desde que você primeiro meça o egress por instância, o que o Cost Explorer não te conta direito.
Ler artigoO alarme de scale-up do Auto Scaling estava configurado para disparar com CPU ≥ 5%. Qualquer ruído de tráfego — e todo deploy — criava uma frota nova. Em dois dias, a conta EC2 pulou de US$23 para US$272. A correção foi uma linha.
Ler artigoUm exit code 1 diário do logrotate estava abortando a rotação de TODOS os arquivos da máquina — não só o quebrado. Três armadilhas independentes empilhadas, escondidas atrás de um ModuleNotFoundError engolido por um `|| true` no postrotate. Como cada modo de falha se comporta e como testar a rotação antes que ela exploda num incidente.
Ler artigoToda distribuição CloudFront anexa automaticamente uma WebACL com rate limit de 300 req/5min sem scope-down. Numa tarde de trabalho normal, isso gerou 1.284 bloqueios contra requisições legítimas de wp-admin — editores travados no meio de uploads. O fix não é subir o limite: é um scope-down que isenta quem está logado.
Ler artigoProdutos entravam no mini-cart, mas /carrinho/ vinha sempre vazio e nenhum pedido fechava. A causa eram dois bugs sobrepostos: uma CloudFront Function descartando o cookie de sessão do WooCommerce por causa de um prefixo errado, e um origin sem Cache-Control. Uma linha de fix em cada camada.
Ler artigo$639/mês economizados ($7.668/ano) em 6 semanas em uma aplicação transacional na AWS. A economia veio de três fases sequenciais, cada uma desbloqueando a seguinte. Este post é sobre por que a sequência importa — e o que teria acontecido se tivéssemos comprado a Reserved Instance primeiro.
Ler artigoWordPress publica um post, dispara webhook, o pod A recebe a chamada e invalida o cache. O pod B continua servindo conteúdo com 2 horas de atraso. O cache ISR do Next.js é por processo — não compartilhado. Aqui está a arquitetura que resolve isso sem Redis e sem reescrever o Next.js.
Ler artigoA política Cloud Armor estava corretamente configurada e aplicada ao backend do Load Balancer. Em 30 dias: 139 bloqueios reais, zero falsos positivos. Mas o DNS apontava direto para o IP da VM — e o tráfego de usuários nunca tocava o LB, nem o WAF.
Ler artigoEm fevereiro, um único cliente de uma plataforma WordPress multi-tenant foi responsável por 31% de todo o egress da infraestrutura — $342 de $1.088 totais. O domínio estava configurado no GoCache CDN, mas 3.803 GB saíram diretamente do EC2. O Security Group revelou o motivo: o SG World (0.0.0.0/0) estava anexado junto com o SG CDN, mantendo a origin acessível diretamente.
Ler artigo928.219 bloqueios ModSecurity acumulados em um error.log de 839 MB — desde 9 de fevereiro sem rotação. Todos falsos positivos. O WAF estava bloqueando os próprios edge nodes da Akamai porque nenhum set_real_ip_from havia sido configurado. Anomaly scores de 40 a 60 em requisições legítimas do CDN.
Ler artigoO WAF estava no ar, o container rodando, o painel verde. O site retornava 500 para todos os visitantes desde a manhã. A causa: o arquivo de vhost do nginx backend tinha 0 bytes — sem listen 443, o proxy reverso tentava conectar em uma porta sem ninguém escutando.
Ler artigoA tabela mais consultada do sistema não tinha nenhum índice. Cada relatório, cada cron job, cada exportação fazia full scan. Pico de CPU no RDS chegou a 94.1%. Depois dos índices: 26%. Depois do rightsizing: db.r6g.2xlarge → xlarge, com pico de 39.4% — comportado. Economia total: $566/mês. A sequência importa.
Ler artigoPHP 7.4.34 para 8.4.12 em produção, numa stack com ASG + ALB + containers Docker. O Instance Refresh levou exatamente 8 minutos. Zero downtime. Foram necessários 2 ciclos de bake — cada um revelando um erro que o anterior não antecipou. Aqui está o processo completo e o que aprendemos nos dois erros.
Ler artigoO worker estava rodando, o Redis estava saudável, e os jobs continuavam acumulando. 1.480 jobs na fila de rastreio dos postal tracking, nenhum erro nos logs. A causa: um único worker single-threaded processando 6 filas sequencialmente, com I/O bloqueante numa fila lenta que segurava todas as outras.
Ler artigo`sed -i 's/2048mb/1024mb/' docker-compose.yml` mudou o arquivo. `docker inspect` mostrava o container ainda usando `--maxmemory 2048mb`. A causa: `sed -i` cria um novo inode. O bind mount do Docker aponta para o inode original. nginx -s reload relê o arquivo antigo. Fix: `docker compose up -d cache`.
Ler artigoAlerta de CPU alto. Load average 15.18 em servidor de 8 vCPUs. Primeiro diagnóstico: ataque de CPU. Causa real: crawler do range <crawler-range>/24 derrubou 131 workers PHP-FPM em 10 minutos, deixando 4 GB de core dumps no disco — e o systemd-coredump consumindo 47% de CPU comprimindo cada um deles.
Ler artigoCloudflare 504 às 20:23 BRT. Nginx registrou 499 — o cliente desconectou após 60 segundos. CPU do ASG: 4%. ListenQueue dos três pools PHP-FPM: 0. RDS CPU: 1-11%. A infra estava completamente verde. O incidente estava invisível para todos os monitores padrão.
Ler artigoO site redirecionava usuários para uma URL suspeita, mas o WordPress estava 100% limpo — sem arquivos modificados, sem plugins suspeitos, sem admin criado. O DNS resolvia para IPs que não pertenciam ao servidor real. O ataque foi uma troca de registro DNS na conta GoDaddy do cliente.
Ler artigoO painel do WordPress abria em 2ms via localhost e demorava 1 minuto via navegador. A causa não era servidor, banco de dados nem plugin. Era um arquivo acl.conf com satisfy any e auth_basic que recebia o IP do CDN em vez do IP real do visitante — e respondia com 401 para todo mundo.
Ler artigoÀs 00:11 BRT, um push na branch main derrubou uma fintech por 2 minutos e gerou 92 erros HTTP 5xx. O ASG havia reduzido para 1 instância às 21:00. O CI/CD não sabia disso. Essa combinação cria uma janela de downtime garantido toda vez que alguém commita à noite.
Ler artigoSeis annotations documentadas na internet que o Cloud Controller Manager v1.34 ignora silenciosamente. E o Token Collision 409 que trava o provisionamento do Load Balancer sempre que você edita o Service — com a única saída sendo deletar e recriar.
Ler artigoConfigurar um DaemonSet de coleta de logs em um cluster Kubernetes ARM64 na OCI parece simples — até aparecer o primeiro erro. E o segundo. E mais seis. Cada fix revelava o próximo problema. Este post documenta os 8 erros em ordem, com causa e solução para cada um.
Ler artigoRunner x86 com --platform linux/arm64 ativa QEMU silenciosamente e impõe penalidade de 5-10x no tempo de build. A troca para ubuntu-24.04-arm no GitHub Actions elimina a emulação e reduz ~40 min para 8-12 min sem alterar o Dockerfile.
Ler artigoCPU em 4%, mas 14% das requisições levavam mais de 2 segundos — e algumas chegavam a 60 segundos. A causa estava escondida em 6 arquivos PHP: CURLOPT_TIMEOUT => 0, que no cURL não significa 'sem limite de tempo' mas sim 'esperar para sempre'.
Ler artigoDurante 20 dias, 905 mil requisições legítimas foram bloqueadas com erro 429 sem motivo aparente. A causa: $binary_remote_addr confiando no IP do nó do ALB ao invés do IP real do cliente. A correção: 3 linhas no nginx.conf.
Ler artigoUm portal WordPress com glossário de 36.508 páginas estava gerando 168k chamadas/dia para a API interna — a cada 60 segundos o Next.js ISR revalidava tudo e derrubava o PHP-FPM. A solução foi nginx srcache (OpenResty) + OCI Cache (Valkey 7.2) via stunnel, com 93% de cache hit no primeiro dia.
Ler artigoAtivar 141 regras OWASP em produção sem bloquear usuários legítimos exige mais do que clicar em 'Enable'. Aqui está o mapa completo: os falsos positivos que encontramos, como resolvemos cada um, e as armadilhas que o OCI WAF não documenta bem.
Ler artigoUm portal de e-commerce de grande volume gastava $1.230/mês na AWS. Após migrar para Oracle Cloud Infrastructure, o custo caiu para $265/mês — 78% de economia, $11.580/ano. Aqui está o mapa completo de decisões, serviços e o que aprendemos no processo.
Ler artigoDocumentei cada obstáculo técnico encontrado durante uma migração real de AWS para OKE/OCI — de NSGs mal configurados a conflitos de TLS em cache Redis. Se você está avaliando o OKE para produção, leia isso antes.
Ler artigo
