Configuração segura de TLS no Nginx

# /etc/nginx/snippets/ssl-params.conf — reutilizar em todos os vhosts

# Protocolos: apenas TLS 1.2 e 1.3 (SSL 3.0, TLS 1.0, 1.1 desabilitados)
ssl_protocols TLSv1.2 TLSv1.3;

# Cifras modernas (TLS 1.2):
ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256;

# Preferir cifras do servidor sobre as do cliente:
ssl_prefer_server_ciphers off;

# Parâmetros DH para Forward Secrecy (gerar uma vez):
# sudo openssl dhparam -out /etc/nginx/dhparam.pem 4096
ssl_dhparam /etc/nginx/dhparam.pem;

# Cache de sessão SSL (melhora performance):
ssl_session_cache shared:SSL:10m;
ssl_session_timeout 1d;
ssl_session_tickets off;    # desabilitar session tickets (Forward Secrecy)

# OCSP Stapling — reduz latência de verificação de certificado:
ssl_stapling on;
ssl_stapling_verify on;
resolver 1.1.1.1 8.8.8.8 valid=300s;
resolver_timeout 5s;

# /etc/nginx/snippets/security-headers.conf

# HSTS: forçar HTTPS por 1 ano (incluindo subdomínios):
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;

# Impedir que a página seja carregada em iframes (clickjacking):
add_header X-Frame-Options "SAMEORIGIN" always;

# Desabilitar detecção automática de content type (MIME sniffing):
add_header X-Content-Type-Options "nosniff" always;

# Controlar referrer information:
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# Permissions Policy — desabilitar APIs não usadas:
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

# Content Security Policy — adaptar para cada aplicação:
# (começar com Report-Only para testar sem quebrar)
add_header Content-Security-Policy-Report-Only "default-src 'self'; script-src 'self' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:;" always;

# Remover header que expõe versão do Nginx:
server_tokens off;

# No vhost:
server {
    include snippets/ssl-params.conf;
    include snippets/security-headers.conf;
    ...
}

# Instalar Certbot:
sudo apt install -y certbot python3-certbot-nginx

# Emitir certificado com validação DNS (mais confiável):
sudo certbot --nginx -d seudominio.com.br -d www.seudominio.com.br

# Verificar certificado emitido:
sudo certbot certificates

# Testar renovação automática:
sudo certbot renew --dry-run

# O Certbot configura timer systemd automaticamente:
sudo systemctl list-timers | grep certbot

# Para wildcard (*.seudominio.com.br) — requer validação DNS:
sudo certbot certonly --manual --preferred-challenges dns \
  -d "*.seudominio.com.br" -d "seudominio.com.br"

# Com plugin DNS (automatizado para CloudFlare, Route53, etc.):
sudo apt install python3-certbot-dns-cloudflare
sudo certbot certonly --dns-cloudflare \
  --dns-cloudflare-credentials /etc/letsencrypt/cloudflare.ini \
  -d "*.seudominio.com.br"

# Testar configuração Nginx sem reiniciar:
sudo nginx -t

# Testar certificado e protocolos localmente:
openssl s_client -connect seudominio.com.br:443 -tls1_3
openssl s_client -connect seudominio.com.br:443 -tls1_2
# TLS 1.0 deve falhar:
openssl s_client -connect seudominio.com.br:443 -tls1 2>&1 | grep "handshake failure"

# Testador de cabeçalhos HTTP:
curl -I https://seudominio.com.br

# Verificar HSTS:
curl -I https://seudominio.com.br | grep -i "strict-transport"

# Verificar validade do certificado:
echo | openssl s_client -connect seudominio.com.br:443 2>/dev/null \
  | openssl x509 -noout -dates

# Script de monitoramento de expiração:
DAYS=$(echo | openssl s_client -connect seudominio.com.br:443 2>/dev/null \
  | openssl x509 -noout -enddate \
  | cut -d= -f2 \
  | xargs -I{} date -d "{}" +%s \
  | xargs -I{} expr \( {} - $(date +%s) \) / 86400)
echo "Certificado expira em $DAYS dias"

# /etc/nginx/sites-available/minha-api.conf
server {
    listen 80;
    server_name api.seudominio.com.br;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name api.seudominio.com.br;

    # Certificados:
    ssl_certificate     /etc/letsencrypt/live/api.seudominio.com.br/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/api.seudominio.com.br/privkey.pem;

    # Incluir configurações TLS e headers:
    include snippets/ssl-params.conf;
    include snippets/security-headers.conf;

    # CORS para API (se necessário):
    add_header Access-Control-Allow-Origin "https://app.seudominio.com.br" always;
    add_header Access-Control-Allow-Methods "GET, POST, PUT, DELETE, OPTIONS" always;
    add_header Access-Control-Allow-Headers "Authorization, Content-Type" always;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}