Hospedagem Segura — página inicial
Área do clienteContatoVer planos

Administração e segurança

Segurança do Coolify: checklist para a sua VPS

Os itens que fecham o painel e o servidor: 2FA, cadastro, domínio com HTTPS, portas, API, chaves, banco, o arquivo .env e as atualizações do Ubuntu.

  • Nível: Intermediário
  • Tempo: cerca de 30 minutos
  • Atualizado em 12/11/2026
  • Por equipe técnica da Hospedagem Segura

Resposta rápida

Para proteger o Coolify, ligue o 2FA no administrador em Configure 2FA, deixe o cadastro em Registration disabled, ponha o painel num domínio com HTTPS e, só depois disso, feche as portas 8000, 6001 e 6002. Mantenha a API desligada se não usar; se usar, crie tokens com a menor permissão, prazo de validade e Allowed IPs. Proteja as chaves SSH, deixe os bancos sem acesso público, guarde uma cópia do .env com a APP_KEY e atualize o sistema operacional: o Coolify não faz isso por você.

O painel do Coolify é em inglês. Neste manual, os botões aparecem como estão na tela, em negrito, com a tradução ao lado. Dúvida com algum termo? Veja o glossário do Coolify em português.

Você vai aprender

  • Ligar a verificação em duas etapas (2FA) e fechar o cadastro de contas
  • Fechar as portas do painel por IP sem perder o acesso
  • Usar a API com tokens de permissão mínima, prazo e IPs permitidos
  • Guardar o .env com a APP_KEY e manter o sistema operacional atualizado

Antes de começar

  • O Coolify instalado e o primeiro acesso feito (veja como)
  • Acesso root à VPS por SSH
Neste guia
  1. Por que o painel vale o servidor
  2. Ligue o 2FA e feche o cadastro
  3. Tokens da API
  4. Feche as portas do painel por IP
  5. Chaves, banco e o arquivo .env
  6. Atualize o sistema operacional
  7. Problemas comuns

Por que o painel vale o servidor

Quem entra no painel do Coolify publica contêineres, lê variáveis com senhas e abre terminal nas aplicações. Na prática, tem o servidor nas mãos. Cada item abaixo protege a VPS inteira.

Checklist de segurança do Coolify
  1. 2FA no administradore em quem mais tiver acesso ao painel.
  2. Cadastro fechadonovas pessoas entram só por convite.
  3. Painel no domínio com HTTPSno lugar do IP e da porta 8000.
  4. Portas 8000, 6001 e 6002 fechadassó depois que o domínio funcionar.
  5. API desligada se você não usaou tokens com permissão mínima, prazo e IPs permitidos.
  6. Chaves SSH protegidasquem tem a chave entra na VPS.
  7. Banco sem acesso públicoas aplicações falam com ele pela rede interna.
  8. Cópia do .env com a APP_KEYfora da VPS.
  9. Sistema operacional atualizadoo Coolify não atualiza o Ubuntu nem o Debian.

Ligue o 2FA e feche o cadastro

  1. Clique em Configure 2FA

    No painel: Profile(Perfil)

    No seu perfil, em Two-factor authentication (verificação em duas etapas), clique em Configure 2FA (configurar 2FA). Leia o QR code com um aplicativo autenticador e confirme o código.

    Dica Guarde os códigos de recuperação fora do computador. Owner ou Admin pode exigir 2FA de toda a equipe; a exigência não vale para os tokens da API.

  2. Confira o cadastro e a API

    No painel: SettingsAdvanced(Configurações › Avançado)

    Em Registration (cadastro), deixe Registration disabled (cadastro fechado): ninguém cria conta sozinho. Na seção API and MCP, API access (acesso à API) fica em Disabled (desligado) até você precisar.

    1. Registration disabled: só entra quem for convidado.
    2. API and MCP: o acesso à API e o servidor MCP, desligados, e o campo Allowed IPs (IPs permitidos).

Logo depois da instalação, o Coolify aceita a primeira conta durante 10 minutos, e quem chegar primeiro vira administrador. Se você ainda não criou a sua, faça isso agora.

Tokens da API

  1. Crie o token com New Token

    No painel: Keys & TokensAPI Tokens(Chaves e tokens › Tokens da API)

    Se uma integração precisa da API, ligue o acesso e crie o token com New Token (novo token). Com a API desligada, a página avisa API access is turned off e recusa as chamadas.

    • Permissão mínima: deploy para disparar deploy, read para consultar. Evite root.
    • Prazo de validade: 7, 30, 60 ou 90 dias, ou 1 ano. Evite Never (nunca vence).
    • Allowed IPs, em Settings > Advanced: o IP de quem chama a API. Vazio ou 0.0.0.0 libera qualquer origem.
    • O valor do token aparece uma vez só. Guarde num cofre de senhas.

Feche as portas do painel por IP

Com o painel no domínio, o tempo real e o terminal passam pelo proxy, nas portas 80 e 443. Aí a 8000 (painel por IP), a 6001 (tempo real) e a 6002 (terminal) podem fechar. Feche só depois de testar os três pelo domínio: veja domínio e HTTPS do painel.

Portas do Coolify na VPS
PortaUsoDepois do domínio
22SSHFica aberta
80 e 443Sites e emissão do certificado, pelo proxyFicam abertas
8000Painel pelo IPPode fechar
6001Atualizações em tempo real do painelPode fechar
6002Terminal webPode fechar

O ufw sozinho não fecha porta do Docker

O Docker cria as próprias regras para as portas publicadas pelos contêineres, e elas passam por cima do ufw. Bloquear no ufw não garante que a porta fechou. Use o ufw-docker e teste de outro computador. Não apague a regra do SSH com a sessão aberta.
curl -m 5 http://203.0.113.10:8000
De outro computador, com o IP da sua VPS: se a porta fechou, o comando termina sem resposta.

Chaves, banco e o arquivo .env

  • Chaves SSH: o Coolify entra nos servidores com as chaves de Keys & Tokens > Private Keys, sem passphrase e cifradas no banco do Coolify. Quem tem a chave entra na VPS. Se ela vazar, troque com Rotate key.
  • Banco de dados: nasce com acesso Private (privado). Só abra ao público se precisar, e restrinja a porta aos IPs de quem acessa. Veja banco de dados no Coolify.
  • Arquivo .env: /data/coolify/source/.env guarda a APP_KEY, que cifra os segredos do Coolify. O backup da instância não leva esse arquivo: copie para fora da VPS.
scp root@203.0.113.10:/data/coolify/source/.env ./coolify-env-backup
No seu computador: copia o .env da VPS. Guarde a cópia num lugar seguro, porque ela abre os segredos do painel.

Atualize o sistema operacional

O Coolify atualiza a si mesmo, mas não o Ubuntu nem o Debian da VPS. As correções de segurança do sistema são sua tarefa. O aviso Server patching das notificações conta quando há atualização pendente.

sudo apt update && sudo apt upgrade
Ubuntu e Debian: instala as atualizações do sistema.
sudo apt install unattended-upgrades
sudo dpkg-reconfigure -plow unattended-upgrades
Liga a instalação automática das atualizações de segurança.
Se a atualização trouxer um Docker novo, os contêineres reiniciam. Atualize num horário de pouco movimento e reinicie a VPS quando o sistema pedir.

Como saber se deu certo

O perfil mostra o 2FA ligado, Registration está em Registration disabled, o painel abre só pelo domínio com HTTPS e curl na porta 8000 não responde de fora.

Problemas comuns

Fechei a porta 8000 e perdi o painel
Causa provável
O painel ainda não funcionava pelo domínio quando a porta fechou.
O que fazer
Entre pelo SSH ou pelo console web, abra a 8000 de novo, confira o domínio do painel e só então feche.
A porta continua aberta, mesmo bloqueada no ufw
Causa provável
A porta foi publicada por um contêiner, e as regras do Docker passam por cima do ufw.
O que fazer
Use o ufw-docker ou deixe de publicar a porta e sirva a aplicação pelo proxy, com domínio.
A integração recebe erro ao chamar a API
Causa provável
API access está desligado, o IP de origem não está em Allowed IPs ou o token venceu.
O que fazer
Ligue a API em Settings > Advanced, inclua o IP da integração e crie um token novo, se for o caso.

Não resolveu? Veja os problemas comuns do Coolify ou abra um chamado na central do cliente.

Próximo passoComo atualizar e manter o CoolifyBackup antes, atualização pelo painel ou pelo upgrade.sh, limpeza do Docker, o proxy, a conexão com o servidor e uma segunda VPS quando a primeira ficar pequena.

Fontes e documentação oficial

Coolify é um software de código aberto mantido pelo próprio projeto. Este manual é da Hospedagem Segura, para quem roda o Coolify nas nossas VPS, e foi conferido na versão 4.7.5.

Continue aprendendo

Ver todos os guias do Manual do Coolify

Rode o Coolify numa VPS da Hospedagem Segura

VPS Linux com acesso root, disco NVMe e IPv4 dedicado a partir de R$ 69,90/mês. Prefere a VPS pronta? No VPS Assistido, o Coolify vem instalado, com o painel no seu domínio, e a equipe ajuda no dia a dia.

Ver VPS para CoolifyConhecer o VPS Assistido