Plataforma de Produção Imutável
O host de produção por trás da stack principal de uma transportadora, definido inteiramente em Terraform e iniciado por cloud-init sem nenhuma etapa manual de configuração. O compute é tratado como substituível, o estado vive em um volume próprio, o ingresso só é aceito a partir de um edge de CDN, e a recuperação de desastre é um único comando ensaiado.
Em Produção
O host é descartável por projeto. O Postgres e o estado da aplicação vivem em um volume provisionado à parte que se monta sozinho no boot, então a instância pode ser destruída e reconstruída sem colocar os dados em risco.
O primeiro boot é inteiramente declarativo. O cloud-init grava o script de backup e o compose do gateway na máquina, cria a rede de proxy compartilhada, sobe o proxy reverso, provisiona swap como amortecedor contra falta de memória e habilita atualizações de segurança automáticas — um host reconstruído já sobe servindo.
Os backups de imagem do provedor são desligados de propósito em favor de snapshots Restic enviados para armazenamento externo: criptografados, podados para sete diários, quatro semanais e seis mensais, e disparados a um webhook no instante em que um dump ou um envio falha.
A recuperação de desastre é um caminho ensaiado, não um plano. Um comando pausa os serviços a montante, puxa o snapshot mais recente e restaura os dois bancos de produção juntos.
O ingresso é apenas pela borda. O firewall da nuvem aceita as portas 80 e 443 somente a partir das faixas de edge publicadas pela CDN, de modo que não existe rota pública direta até a origem.
As operações do dia a dia passam por uma única interface de tarefas sobre o Terraform e o host remoto — plan, apply, shell, logs, backup, listagem de snapshots, rollback — para que o trabalho rotineiro nunca dependa de lembrar comandos específicos do provedor.