09 out 2026 · infraestrutura · 2 min

Servindo um site estático sem portas abertas

Publicar um site normalmente envolve abrir as portas 80 e 443 no servidor, apontar o DNS para o endereço dele e emitir um certificado. Neste servidor nenhuma porta está aberta para a internet, e o site funciona.

Como o tráfego chega

O acesso passa por um túnel de saída. Um processo dentro da máquina abre uma conexão com o provedor e a mantém ativa. Quando alguém acessa o domínio, a requisição desce por essa conexão já estabelecida e chega ao servidor por dentro.

Como não existe serviço escutando no endereço público, uma varredura de portas não encontra nada, e o firewall da máquina nega por padrão.

Roteamento pelo nome

Depois do túnel, o proxy reverso escolhe o destino pelo cabeçalho Host da requisição, e não pelo endereço IP. O mesmo proxy atende todos os serviços, e cada nome novo é uma regra na mesma configuração.

Host(`josetilabs.com`)      -> pasta com os arquivos deste site
Host(`painel.interno...`)   -> painel de implantação
Host(`app.interno...`)      -> aplicação

Páginas estáticas

Páginas que não mudam a cada acesso não exigem framework, banco de dados nem etapa de compilação. São arquivos em uma pasta do servidor e um contêiner pequeno que serve essa pasta. Publicar passa a ser gravar um arquivo.

Este blog segue esse modelo: HTML, CSS e fontes servidos da pasta, sem build e sem dependências de terceiros no navegador. Os textos são escritos em uma área separada, que grava os arquivos na mesma pasta e responde apenas dentro da rede privada.

O que isso custa

Um processo a mais em execução e a dependência do provedor que termina a conexão na borda. Nenhum dos dois exige plano pago.

Em troca, não há porta de entrada exposta, a renovação do certificado acontece fora da máquina, e um serviço novo entra no ar com uma regra de roteamento, sem mexer no firewall.