Série DevOps Runbook: segurança para o stack self-hosted

Esta série fornece seis runbooks práticos para operar um stack de aplicações self-hosted com segurança. É destinada a equipes DevOps que operam Supabase, Next.js e tecnologias relacionadas em produção e querem proteger sua infraestrutura de forma sistemática.

Por que uma abordagem sistemática importa

O self-hosting dá controle sobre dados e infraestrutura. Esse controle vem com responsabilidade: cada componente tem seus próprios requisitos de segurança, e as dependências entre camadas permanecem invisíveis quando revisadas isoladamente.

Uma abordagem de segurança sistemática e legível por máquina em todas as camadas faz a diferença. De acordo com o SANS Institute (2024), organizações com uma Security Baseline legível por máquina detectam drift de configuração em média 14 vezes mais rápido do que equipes sem baseline.

Esta série percorre o stack camada por camada e conclui com uma baseline baseada em YAML que consolida todas as regras dos runbooks individuais.

Visão geral da série

Parte	Artigo	Área de foco	Entregável principal
1	Supabase Self-Hosting Runbook	Fundação da plataforma	Arquitetura de servidores, Docker Compose, RLS
2	Next.js sobre Supabase com segurança	Camada de aplicação	Auth, Middleware, separação de ambientes
3	Supabase Edge Functions com segurança	Integrações	Webhooks, assinaturas, CORS
4	Trigger.dev Background Jobs em produção segura	Processamento async	Tasks, idempotência, concorrência
5	Claude Code como controle de segurança no workflow DevOps	Auditorias automatizadas	Custom commands, modo headless
6	Security Baseline para todo o stack	Baseline do stack completo	YAML, verificações automatizadas

Os artigos em detalhe

Parte 1 - Supabase Self-Hosting Runbook. Descreve uma arquitetura de dois servidores (produção e auditoria), Docker Compose com imagens versionadas, configuração de sete serviços e Row Level Security como requisito em todas as tabelas públicas.

Parte 2 - Next.js sobre Supabase. Cobre a camada de aplicação sobre o Supabase: fluxo de auth com PKCE, middleware para proteção de rotas, separação estrita de ambientes entre servidor e cliente e padrões seguros de API route.

Parte 3 - Edge Functions. Foca no processamento de webhooks com verificação de assinaturas, configuração CORS, validação de entrada no runtime Deno e gerenciamento seguro de secrets para integrações com terceiros.

Parte 4 - Trigger.dev Background Jobs. Descreve o setup self-hosted do Trigger.dev v3, definição idempotente de tasks, controle de concorrência, estratégias de retry e isolamento de secrets entre tasks.

Parte 5 - Claude Code como controle de segurança. Mostra como usar o Claude Code como ferramenta automatizada de auditoria no workflow DevOps: custom commands, execuções de auditoria headless e integração com CI.

Parte 6 - Security Baseline. Consolida todas as regras dos artigos 1 a 5 em um arquivo legível por máquina security-baseline.yml. Inclui scripts de verificação determinísticos e integração com a auditoria do Claude Code.

Para quem é esta série

• Engenheiros DevOps que operam infraestrutura self-hosted
• CTOs e líderes técnicos avaliando self-hosting vs. serviços gerenciados
• Engenheiros de segurança auditando stacks de aplicações
• Desenvolvedores que constroem sobre Supabase e Next.js

Como usar esta série

• Leia os artigos em ordem de 1 a 6, pois se constroem um sobre o outro
• Baixe as checklists do Claude Code no final de cada artigo
• Implemente as recomendações camada por camada no seu ambiente
• Use a Security Baseline do artigo 6 como porta de monitoramento diária