CL-2026-03-11-BK-120 · Quarentena observada do Nginx Ubuntu com janela de 7 dias

• Status: (V) conferido e aprovado
• Escopo: plataforma
• Projetos afetados: cerebro, legalizarj, rionoteatro, seuimovel
• BK relacionado: BK-120
• Aprovacao humana obrigatoria: sim
• Data: 2026-03-11
• Autor: Codex (GeJoRei-VPS)
• revisor_ia: auto-revisao

Resumo

Foi iniciada a quarentena observada do stack Ubuntu Nginx. Em vez de purgar imediatamente os pacotes, o host recebeu snapshot versionado completo do Nginx Ubuntu, marcador explicito de aposentadoria em /etc/nginx/ e janela de observacao ate 2026-03-18. O objetivo e deixar o stack suficientemente documentado e recuperavel antes de decidir pelo purge definitivo dos resquicios.

Contexto

• O BK-119 ja tinha reduzido fortemente o risco operacional:
• nginx passou a apontar para o aaPanel por wrapper;
• nginx.service do Ubuntu foi mascarado.
• Mesmo assim, o stack Ubuntu ainda permanece instalado, com pacotes, binario, config, modulos e plugin python3-certbot-nginx.
• A auditoria tambem mostrou que /etc/nginx ja contem symlinks antigos para /www/server/nginx/conf, ou seja, a arvore Ubuntu nao esta isolada do historico operacional do aaPanel.
• A estrategia escolhida foi tratar isso como aposentadoria em quarentena por 7 dias, em vez de remocao imediata.

Entregas Tecnicas

1) Snapshot versionado do stack Ubuntu Nginx

• Backup criado em /root/cerebro/backups/system/2026-03-11-bk120-nginx-ubuntu-quarantine/.
• Itens preservados:
• /etc/nginx completo
• /usr/sbin/nginx
• /usr/lib/nginx
• unit /usr/lib/systemd/system/nginx.service
• script /etc/init.d/nginx
• arquivos relevantes do certbot em /etc/letsencrypt/
• Tambem foram salvos:
• mapeamento de pacotes
• checksum do binario /usr/sbin/nginx
• referencias encontradas no host para nginx/certbot-nginx

2) Marcador visivel no proprio host

• Criado /etc/nginx/UBUNTU_NGINX_QUARANTINE.txt.
• Atualizado o cabecalho de /etc/nginx/nginx.conf com:
• inicio da quarentena em 2026-03-11
• data candidata para purge em 2026-03-18

3) Checklist de decisao futura

• Criado DECOMMISSION_CHECKLIST_AFTER_2026-03-18.txt no backup versionado.
• O checklist orienta a revalidacao de:
• nginx -t
• processo real do aaPanel
• referencias a /usr/sbin/nginx
• uso de python3-certbot-nginx

Validacao objetiva

• nginx -t permaneceu validando o stack real do aaPanel.
• O marcador /etc/nginx/UBUNTU_NGINX_QUARANTINE.txt foi criado com a janela 2026-03-11 -> 2026-03-18.
• O cabecalho de /etc/nginx/nginx.conf passou a informar explicitamente a data-alvo da reavaliacao.

O que ficou deliberadamente fora

• Nenhum pacote foi removido neste BK.
• O purge do Ubuntu Nginx continua como decisao futura, separada.
• O BK-120 fecha apenas a preparacao da quarentena observada, nao a remocao final.

Backup e rollback

• Backup versionado em /root/cerebro/backups/system/2026-03-11-bk120-nginx-ubuntu-quarantine/.
• Rollback em /root/cerebro/backups/system/2026-03-11-bk120-nginx-ubuntu-quarantine/rollback.sh.

Risco residual

• O stack Ubuntu ainda existe no host.
• O risco agora esta controlado porque ele foi:
• aposentado operacionalmente;
• documentado no host;
• snapshotado de forma versionada;
• vinculado a uma data objetiva para decisao.