Insights sobre infraestrutura cloud, segurança e resiliência operacional.
$639/mês economizados ($7.668/ano) em 6 semanas em uma aplicação transacional na AWS. A economia veio de três fases sequenciais, cada uma desbloqueando a seguinte. Este post é sobre por que a sequência importa — e o que teria acontecido se tivéssemos comprado a Reserved Instance primeiro.
Ler artigoWordPress publica um post, dispara webhook, o pod A recebe a chamada e invalida o cache. O pod B continua servindo conteúdo com 2 horas de atraso. O cache ISR do Next.js é por processo — não compartilhado. Aqui está a arquitetura que resolve isso sem Redis e sem reescrever o Next.js.
Ler artigoA política Cloud Armor estava corretamente configurada e aplicada ao backend do Load Balancer. Em 30 dias: 139 bloqueios reais, zero falsos positivos. Mas o DNS apontava direto para o IP da VM — e o tráfego de usuários nunca tocava o LB, nem o WAF.
Ler artigoEm fevereiro, um único cliente de uma plataforma WordPress multi-tenant foi responsável por 31% de todo o egress da infraestrutura — $342 de $1.088 totais. O domínio estava configurado no GoCache CDN, mas 3.803 GB saíram diretamente do EC2. O Security Group revelou o motivo: o SG World (0.0.0.0/0) estava anexado junto com o SG CDN, mantendo a origin acessível diretamente.
Ler artigo928.219 bloqueios ModSecurity acumulados em um error.log de 839 MB — desde 9 de fevereiro sem rotação. Todos falsos positivos. O WAF estava bloqueando os próprios edge nodes da Akamai porque nenhum set_real_ip_from havia sido configurado. Anomaly scores de 40 a 60 em requisições legítimas do CDN.
Ler artigoO WAF estava no ar, o container rodando, o painel verde. O site retornava 500 para todos os visitantes desde a manhã. A causa: o arquivo de vhost do nginx backend tinha 0 bytes — sem listen 443, o proxy reverso tentava conectar em uma porta sem ninguém escutando.
Ler artigoA tabela mais consultada do sistema não tinha nenhum índice. Cada relatório, cada cron job, cada exportação fazia full scan. Pico de CPU no RDS chegou a 94.1%. Depois dos índices: 26%. Depois do rightsizing: db.r6g.2xlarge → xlarge, com pico de 39.4% — comportado. Economia total: $566/mês. A sequência importa.
Ler artigoPHP 7.4.34 para 8.4.12 em produção, numa stack com ASG + ALB + containers Docker. O Instance Refresh levou exatamente 8 minutos. Zero downtime. Foram necessários 2 ciclos de bake — cada um revelando um erro que o anterior não antecipou. Aqui está o processo completo e o que aprendemos nos dois erros.
Ler artigoO worker estava rodando, o Redis estava saudável, e os jobs continuavam acumulando. 1.480 jobs na fila de rastreio dos postal tracking, nenhum erro nos logs. A causa: um único worker single-threaded processando 6 filas sequencialmente, com I/O bloqueante numa fila lenta que segurava todas as outras.
Ler artigo`sed -i 's/2048mb/1024mb/' docker-compose.yml` mudou o arquivo. `docker inspect` mostrava o container ainda usando `--maxmemory 2048mb`. A causa: `sed -i` cria um novo inode. O bind mount do Docker aponta para o inode original. nginx -s reload relê o arquivo antigo. Fix: `docker compose up -d cache`.
Ler artigoAlerta de CPU alto. Load average 15.18 em servidor de 8 vCPUs. Primeiro diagnóstico: ataque de CPU. Causa real: crawler do range <crawler-range>/24 derrubou 131 workers PHP-FPM em 10 minutos, deixando 4 GB de core dumps no disco — e o systemd-coredump consumindo 47% de CPU comprimindo cada um deles.
Ler artigoCloudflare 504 às 20:23 BRT. Nginx registrou 499 — o cliente desconectou após 60 segundos. CPU do ASG: 4%. ListenQueue dos três pools PHP-FPM: 0. RDS CPU: 1-11%. A infra estava completamente verde. O incidente estava invisível para todos os monitores padrão.
Ler artigoO site redirecionava usuários para uma URL suspeita, mas o WordPress estava 100% limpo — sem arquivos modificados, sem plugins suspeitos, sem admin criado. O DNS resolvia para IPs que não pertenciam ao servidor real. O ataque foi uma troca de registro DNS na conta GoDaddy do cliente.
Ler artigoO painel do WordPress abria em 2ms via localhost e demorava 1 minuto via navegador. A causa não era servidor, banco de dados nem plugin. Era um arquivo acl.conf com satisfy any e auth_basic que recebia o IP do CDN em vez do IP real do visitante — e respondia com 401 para todo mundo.
Ler artigoÀs 00:11 BRT, um push na branch main derrubou uma fintech por 2 minutos e gerou 92 erros HTTP 5xx. O ASG havia reduzido para 1 instância às 21:00. O CI/CD não sabia disso. Essa combinação cria uma janela de downtime garantido toda vez que alguém commita à noite.
Ler artigoSeis annotations documentadas na internet que o Cloud Controller Manager v1.34 ignora silenciosamente. E o Token Collision 409 que trava o provisionamento do Load Balancer sempre que você edita o Service — com a única saída sendo deletar e recriar.
Ler artigoConfigurar um DaemonSet de coleta de logs em um cluster Kubernetes ARM64 na OCI parece simples — até aparecer o primeiro erro. E o segundo. E mais seis. Cada fix revelava o próximo problema. Este post documenta os 8 erros em ordem, com causa e solução para cada um.
Ler artigoRunner x86 com --platform linux/arm64 ativa QEMU silenciosamente e impõe penalidade de 5-10x no tempo de build. A troca para ubuntu-24.04-arm no GitHub Actions elimina a emulação e reduz ~40 min para 8-12 min sem alterar o Dockerfile.
Ler artigoCPU em 4%, mas 14% das requisições levavam mais de 2 segundos — e algumas chegavam a 60 segundos. A causa estava escondida em 6 arquivos PHP: CURLOPT_TIMEOUT => 0, que no cURL não significa 'sem limite de tempo' mas sim 'esperar para sempre'.
Ler artigoDurante 20 dias, 905 mil requisições legítimas foram bloqueadas com erro 429 sem motivo aparente. A causa: $binary_remote_addr confiando no IP do nó do ALB ao invés do IP real do cliente. A correção: 3 linhas no nginx.conf.
Ler artigoUm portal WordPress com glossário de 36.508 páginas estava gerando 168k chamadas/dia para a API interna — a cada 60 segundos o Next.js ISR revalidava tudo e derrubava o PHP-FPM. A solução foi nginx srcache (OpenResty) + OCI Cache (Valkey 7.2) via stunnel, com 93% de cache hit no primeiro dia.
Ler artigoAtivar 141 regras OWASP em produção sem bloquear usuários legítimos exige mais do que clicar em 'Enable'. Aqui está o mapa completo: os falsos positivos que encontramos, como resolvemos cada um, e as armadilhas que o OCI WAF não documenta bem.
Ler artigoUm portal de e-commerce de grande volume gastava $1.230/mês na AWS. Após migrar para Oracle Cloud Infrastructure, o custo caiu para $265/mês — 78% de economia, $11.580/ano. Aqui está o mapa completo de decisões, serviços e o que aprendemos no processo.
Ler artigoDocumentei cada obstáculo técnico encontrado durante uma migração real de AWS para OKE/OCI — de NSGs mal configurados a conflitos de TLS em cache Redis. Se você está avaliando o OKE para produção, leia isso antes.
Ler artigo
