VPS para Docker: tamanho, instalação e boas práticas

Quanta RAM o seu VPS Docker precisa

O Docker em si consome pouco; quem consome são os contêineres. Some a memória de cada serviço e deixe uma folga para o sistema e para picos.

• 1 a 2 GB: um app pequeno, um bot, uma VPN ou um site estático atrás de um proxy.
• 4 GB: a pilha mais comum, como WordPress com banco de dados, n8n com Postgres ou um app web com Redis e proxy reverso.
• 8 GB ou mais: lojas virtuais, bancos de dados maiores, vários projetos no mesmo servidor ou ferramentas pesadas de monitoramento.

Instalando Docker Engine e Compose

Use uma distribuição Linux com suporte longo, como Ubuntu LTS ou Debian. Instale o Docker Engine a partir do repositório oficial do Docker, e não o pacote antigo da distribuição, para receber versões e correções atuais. O Compose hoje vem como plugin: o comando é docker compose, com espaço.

Depois da instalação, crie um usuário comum para o dia a dia, configure o login por chave SSH e ligue o firewall liberando só SSH, HTTP e HTTPS. Descreva cada projeto num arquivo compose.yaml versionado no Git: assim você recria o servidor inteiro em minutos se precisar.

Proxy reverso: Caddy ou Traefik

Em vez de abrir uma porta para cada contêiner, coloque um proxy reverso na frente de tudo. Ele recebe o tráfego nas portas 80 e 443, emite certificados HTTPS automaticamente com Let's Encrypt e encaminha cada domínio para o contêiner certo.

O Caddy é o mais simples: poucas linhas de configuração por site e HTTPS automático. O Traefik se integra ao Docker por labels e descobre novos contêineres sozinho, o que é prático quando você sobe e derruba serviços com frequência. Os dois funcionam bem num VPS pequeno.

Volumes e backups

Contêineres são descartáveis; os dados não. Tudo o que precisa sobreviver a uma atualização, como banco de dados, uploads e configurações, deve ficar em volumes nomeados ou em pastas montadas do servidor.

Faça backup desses dados fora do VPS. Para bancos de dados, use o dump da própria ferramenta (pg_dump, mysqldump) em vez de copiar os arquivos com o banco rodando. Snapshots do provedor ajudam, mas não substituem uma cópia em outro lugar. E teste a restauração de vez em quando.

Segurança: não exponha o socket do Docker

Alguns cuidados evitam a maioria dos problemas:

• Nunca exponha o socket do Docker (/var/run/docker.sock) nem a API do Docker pela rede. Quem acessa o socket controla o servidor inteiro como root.
• Monte o socket dentro de um contêiner só quando for indispensável, como no Traefik, e de preferência em modo somente leitura ou via um proxy de socket.
• Cuidado com portas publicadas: o Docker cria regras de firewall próprias e pode abrir portas que você achava bloqueadas. Publique bancos de dados só em 127.0.0.1 ou numa rede interna.
• Atualize as imagens com regularidade e prefira imagens oficiais.

Atualizações e monitoramento

Um VPS Docker bem montado dá pouco trabalho, mas não é "configurar e esquecer". Atualize o sistema operacional com regularidade e ative as atualizações automáticas de segurança. Para os contêineres, baixe as imagens novas e recrie os serviços com docker compose pull e docker compose up -d, de preferência depois de um backup.

Fixe versões nas imagens (por exemplo, postgres:16 em vez de latest) para não receber uma versão principal nova sem querer. Ferramentas de atualização automática de contêineres existem, mas use com cuidado em bancos de dados.

Por fim, acompanhe o uso de disco: imagens antigas, logs e volumes esquecidos enchem o servidor aos poucos. O comando docker system df mostra o que está ocupando espaço, e limitar o tamanho dos logs de cada contêiner evita surpresas. Um monitor simples de uptime, que avisa quando o site sai do ar, completa o básico.