Muros negam por padrão — mas muros não reagem sozinhos. No dia 27 de outubro, a casa do Cervejeiros.Club ganhou quem responde na hora: dois guardiões que observam o movimento, reconhecem abuso e aplicam banimento sem esperar por ninguém. É a continuação natural da história contada em muros do servidor, onde uma auditoria mediu 7.632 tentativas de adivinhar senha em 24 horas — e o diário de bordo registra por que a resposta foi em camadas, nunca um escudo único.

Os dois guardiões

  1. O sentinela comportamental. Ele lê os registros da casa em tempo real e compara o que vê com padrões de abuso conhecidos: varredura de portas, ataque de força bruta, exploração de falhas em páginas web. Quando o padrão bate, o endereço do visitante entra na lista de banimento — sem consulta, sem pausa.
  2. O guardião da porta. Para o acesso administrativo, a regra é simples e inflexível: cinco erros em dez minutos custam uma hora de muro. Não importa se o erro foi de robô ou de distração — insistência tem preço curto e conhecido.

E há um terceiro aliado que ninguém instalou: a reputação compartilhada. Uma comunidade global de máquinas mantém listas de meliantes confirmados — quem ataca uma casa dessas já entra contaminado nas outras. O invasor chega à nossa porta com a ficha suja na mão.

O ciclo de um invasor

flowchart LR A["Robô varre<br/>a internet"] --> B["Sentinela reconhece<br/>o padrão de abuso"] B --> C["Endereço entra na<br/>lista de banimento"] C --> D["Muro da máquina<br/>aplica em ~10 segundos"] D --> E["Visita morre<br/>antes de bater na porta"]

Do primeiro movimento suspeito ao bloqueio valendo, passam-se segundos — não horas, não dias. E o banimento é cumulativo: cada nova tentativa de um endereço já marcado apenas estende a pena.

O teste de fogo

Instalação sem ensaio é fé, não engenharia. No mesmo dia, rodamos o ciclo completo: um endereço fictício de teste foi banido à mão, o muro o bloqueou em segundos, e a liberação devolveu o tráfego — ida e volta comprovados nos registros. O dono da casa, claro, vive na lista dos imunes: seu endereço nunca é banido por engano, mesmo quando a própria exploração de rotinas dá alguma topada.

E quando o endereço do dono muda?Internet residencial troca de endereço sozinha, de tempos em tempos. Nada trava por isso: a imunidade de um endereço não é o portão — quem autoriza a entrada é a chave criptográfica, aceita a partir de qualquer endereço. A lista de imunes existe para o dono nunca ser banido por engano; quando a operadora muda o endereço, a única tarefa é atualizar a lista. Perdeu a chave? Ninguém entra — de onde for.

A camada que fecha o ciclo do host

A segurança em camadas desenha quatro anéis: a borda global, onde ataques volumosos morrem; o firewall de rede, que antes do servidor derrubou sete em cada oito portas; o host endurecido; e a rede interna fechada, sem endereço público. Com os sentinelas no lugar, o terceiro anel deixou de ser passivo: além de negar por padrão — como contam os muros do servidor —, a casa agora responde sozinha a quem insiste.

Falta um olho de fora: um vigia externo, longe da casa, confirmando de independência total que tudo segue no ar. É o próximo episódio deste diário.

Por que isso importa para quem opera

Cada camada descrita aqui protege exatamente o que a plataforma promete: o scanner que cruza mercados, a biblioteca de estratégias e os portões de risco só valem se a casa que os guarda estiver inacessível a quem não foi convidado. O mesmo cuidado que bane um robô em segundos é o que mantém cada decisão de operação dentro de portas confiáveis.

Acompanhe a construção — camada por camada, semana a semana — aqui no diário e em cervejeiros.club.