Hospedagem de sites explicada para quem está contratando

Uma proposta de hospedagem só pode ser comparada quando fica claro quem cuida do domínio, do servidor, das atualizações, dos backups e da recuperação.

Tradução de uma proposta de hospedagem Considere esta oferta fictícia: Hospedagem empresarial com 20 GB SSD, tráfego ilimitado, SSL grátis, backup diário, e mails e suporte 24 horas. Ela parece completa. Ainda assim, não responde perguntas importantes: quem possui acesso ao domínio; o que acontece quando o site fica indisponível; por quanto tempo backups são mantidos; se a restauração está incluída; quem atualiza a aplicação; se o e mail usa a mesma infraestrutura; qual tipo de suporte funciona durante um incidente; como retirar o site do fornecedor no futuro. Contratar hospedagem não deveria ser uma comparação de números isolados. A proposta precisa explicar uma operação. O mapa mínimo Quando alguém acessa um site, diferentes componentes participam: A hospedagem pode cuidar de todas essas camadas ou apenas de uma parte. “Domínio incluído” Domínio é o nome utilizado para encontrar o serviço, como: Ele não é o site, o servidor ou o conteúdo. A ICANN descreve o registrante como a pessoa ou organização que registra o domínio e mantém uma relação contratual com o registrador. Na contratação, verifique: o domínio ficará registrado em nome da empresa; a empresa terá acesso ao registrador; o e mail de recuperação é corporativo; a renovação está documentada; MFA está habilitado; existe procedimento de transferência; há mais de uma pessoa autorizada; alterações ficam registradas. O fornecedor pode administrar o domínio, mas a empresa contratante precisa manter controle suficiente para recuperar ou transferir o ativo. Sinal de risco O domínio foi registrado: na conta pessoal de um prestador; com e mail que a empresa não controla; sem documentação; sem acesso compartilhado; sem política de renovação. Perder o domínio pode interromper site, e mail e integrações ao mesmo tempo. “20 GB SSD” Esse número informa capacidade de armazenamento, não qualidade da hospedagem. Pergunte o que ocupa o espaço: arquivos do site; banco; e mail; logs; backups; cache; versões anteriores; uploads. Um site institucional pode usar pouco espaço e exigir boa disponibilidade. Uma plataforma de vídeos pode precisar de object storage em vez de um disco maior no servidor web. Também pergunte: existe alerta antes de o disco encher; logs possuem retenção; backups contam na cota; há limite de arquivos; o armazenamento possui redundância; como ocorre expansão; qual desempenho é garantido. Mais gigabytes não corrigem uma aplicação lenta ou sem manutenção. “Servidor web” A MDN usa o termo servidor web tanto para o equipamento quanto para o software que responde por HTTP. Um site estático pode entregar arquivos prontos: HTML; CSS; JavaScript; imagens. Um site dinâmico pode envolver: runtime; aplicação; banco; cache; jobs; painel; integrações. Quanto mais componentes, maior a necessidade de: atualização; monitoramento; backup; logs; recuperação; conhecimento especializado. A proposta precisa ser compatível com a tecnologia do projeto. “Hospedagem compartilhada” Vários clientes utilizam a mesma plataforma administrada pelo fornecedor. Pode ser adequada para: site institucional; blog pequeno; aplicações suportadas pelo painel; orçamento reduzido; baixa necessidade de personalização. Limitações possíveis: versões controladas pelo provedor; poucos ajustes de sistema; limites de CPU, memória e processos; acesso técnico restrito; tarefas agendadas limitadas; diagnóstico menos profundo. Não é necessariamente uma solução ruim. É inadequada quando o projeto exige algo que a plataforma não oferece. “VPS” ou “servidor virtual” A empresa recebe uma máquina virtual com maior controle. Isso também transfere responsabilidades. Alguém precisa cuidar de: sistema operacional; firewall; atualizações; usuários; SSH; runtime; banco; proxy; certificados; logs; monitoramento; backup; incidentes. VPS barato sem administração pode custar mais depois que tarefas operacionais são adicionadas. Compare: “Hospedagem gerenciada” O termo não possui um escopo universal. Pode significar: apenas atualização do sistema; administração completa; suporte à aplicação; monitoramento; backup; restauração; otimização; resposta a incidentes. Solicite uma matriz: Atividade Fornecedor Cliente Desenvolvedor Renovar domínio Alterar DNS Atualizar Linux Atualizar CMS Corrigir código Monitorar site Restaurar backup Responder incidente Publicar versão Se ninguém aparece como responsável, a tarefa não está coberta. “SSL grátis” SSL é o nome ainda usado comercialmente para certificados TLS. O certificado permite ao navegador: autenticar o domínio dentro do modelo de confiança; estabelecer conexão criptografada; detectar determinadas alterações no tráfego. O Let’s Encrypt usa o protocolo ACME para automatizar emissão e renovação depois que o operador prova controle do domínio por DNS ou HTTP. Perguntas: a renovação é automática; existe monitoramento da validade; todos os subdomínios necessários estão incluídos; HTTP é redirecionado corretamente; protocolos obsoletos estão desabilitados; há plano para falha de renovação. HTTPS não comprova que a empresa é confiável nem que a aplicação está livre de vulnerabilidades. Ele protege a conexão. “Tráfego ilimitado” Leia os termos. “Ilimitado” pode estar sujeito a: política de uso aceitável; limite de CPU; limite de processos; limite de requisições; redução de velocidade; cobrança por excedente; bloqueio por abuso; restrição de CDN. Pergunte: qual métrica é medida; qual volume normal é esperado; o que acontece em pico; qual proteção contra abuso existe; como a equipe é avisada; quanto custa exceder. O gargalo pode não ser a transferência. Pode ser banco, CPU, memória ou integração externa. “Backup diário” Essa frase está incompleta. Perguntas necessárias: 1. O que é copiado? 2. Em qual horário? 3. Quantas versões são mantidas? 4. A cópia fica em infraestrutura independente? 5. Ela é criptografada? 6. Quem pode apagá la? 7. A restauração está incluída? 8. Quanto tempo leva? 9. Quando foi o último teste? 10. Qual perda máxima de dados é aceitável? Exemplo: RPO indica quanto dado pode ser perdido. RTO indica quanto tempo a recuperação pode levar. O guia sobre backup 3 2 1 e restauração aprofunda esses critérios. Um backup que nunca foi restaurado é uma hipótese. “Suporte 24 horas” Pode significar: atendimento humano; abertura de ticket; chatbot; monitoramento automático; equipe de plantão; resposta apenas para infraestrutura. Pergunte: quais canais; qual horário; qual prazo de primeira resposta; qual prazo de ação; quais severidades; quem pode abrir chamado; o que está fora do escopo; existe escalonamento; haverá comunicação durante incidente. Exemplo: Severidade Situação Resposta inicial Crítica Site indisponível 30 minutos Alta Função principal falhando 2 horas Normal Ajuste sem impacto imediato 1 dia útil Tempos ilustrativos precisam ser formalizados no contrato. Suporte de hospedagem não é manutenção do site O servidor pode estar funcionando enquanto: formulário falha; conteúdo está incorreto; plugin está vulnerável; integração expirou; layout quebrou; pagamento não conclui. Separe: Infraestrutura sistema; rede; disco; proxy; banco; backup; monitoramento. Aplicação código; dependências; CMS; plugins; regras; integrações; conteúdo. Uma proposta pode incluir ambos, mas precisa declarar. E mail junto com o site Usar a mesma conta para site e e mail simplifica a compra, mas aumenta o alcance de algumas falhas. Avalie: disponibilidade; reputação; antispam; SPF; DKIM; DMARC; retenção; exportação; suporte; recuperação. Durante uma migração do site, não altere registros de e mail sem necessidade. O artigo sobre DNS e domínio mostra como preservar MX e registros de autenticação. Como a publicação acontece Pergunte: há repositório; quem aprova; existe homologação; há backup prévio; qual versão foi publicada; existe rollback; mudanças ficam registradas; o deploy é manual ou automatizado. Publicação por envio de arquivos pode ser suficiente para um site pequeno. Projetos com mudanças frequentes se beneficiam de: versionamento; build reproduzível; artefato; validação; retorno. Monitoramento mínimo O serviço deve observar: disponibilidade externa; certificado; códigos de erro; tempo de resposta; CPU; memória; disco; banco; backups; jobs; envio de formulários. Um monitor que verifica somente a página inicial pode não perceber que o formulário está quebrado. Segurança: quem responde por quê? Pergunte: MFA administrativo está habilitado; contas são individuais; acessos são removidos; atualizações possuem prazo; portas são restritas; logs são coletados; incidentes possuem canal; backups são isolados; testes são realizados. O artigo sobre segurança em camadas ajuda a distribuir controles entre fornecedor, aplicação e cliente. A saída também faz parte da contratação Antes de entrar, saiba como sair. A empresa deve conseguir obter: domínio; zona DNS; código; banco; uploads; certificados quando aplicável; configurações; histórico de versões; documentação; backups acordados. Pergunte: formato da exportação; prazo; custo; assistência de migração; descarte após encerramento; dependências proprietárias. Uma hospedagem não deve transformar o site em ativo impossível de mover. Checklist para comparar propostas Controle [ ] Domínio em conta controlada pela empresa. [ ] Acessos individuais. [ ] MFA. [ ] Responsáveis definidos. Tecnologia [ ] Compatibilidade com a aplicação. [ ] Recursos dimensionados. [ ] Processo de atualização. [ ] Ambiente de homologação quando necessário. Operação [ ] Monitoramento. [ ] Backup. [ ] Restauração testada. [ ] Rollback. [ ] Registro de deploy. Suporte [ ] Horários. [ ] Severidades. [ ] Prazos. [ ] Canais. [ ] Escalonamento. Saída [ ] Exportação. [ ] Transferência do domínio. [ ] Entrega dos dados. [ ] Prazo de retenção. [ ] Exclusão segura. A pergunta que revela a qualidade da proposta Em vez de perguntar apenas: Quanto espaço e tráfego estão incluídos? Pergunte: Se o site parar às 10h, quem percebe, quem age, o que é restaurado e quanto tempo a empresa leva para voltar a operar? Uma boa contratação consegue responder antes do incidente. A escolha detalhada entre modelos, suporte e recuperação é aprofundada no guia sobre como escolher a hospedagem certa.