01 · O problema
Hoje, o caminho até um site público brasileiro passa por empresas de fora.
Portais, sistemas e e-mails de prefeituras, estados e autarquias costumam depender de CDNs, nuvens e serviços de DNS estrangeiros. Funciona, mas cria seis riscos estruturais que ninguém no órgão controla.
Jurisdição estrangeira
Dados de cidadãos trafegam e ficam armazenados sob leis de outros países. A LGPD exige controle sobre o tratamento; um contrato com provedor estrangeiro não garante isso.
Custo em dólar
Faturas indexadas ao câmbio, com preços e planos que mudam sem negociação. O orçamento público não acompanha.
Aprisionamento tecnológico
Configurações, automações e integrações ficam presas ao fornecedor. Trocar custa mais do que ficar, mesmo quando o serviço piora.
Ponto único de falha
Quando um grande provedor global cai, caem juntos milhares de serviços que não têm relação entre si, inclusive os públicos.
Equipe local não aprende
Operar por painel de terceiro não forma ninguém. A capacidade técnica do órgão não cresce, e a dependência se perpetua.
Caixa-preta
Não há como auditar o que o provedor faz com o tráfego, nem provar para o controle externo como uma mudança foi feita e por quem.
02 · O que é o Rudder
Um único painel sobre uma pilha inteira de software livre.
O Rudder não substitui os componentes de rede consagrados: ele os opera. Lê o estado vivo de cada um, compara com o que está registrado e deixa a equipe alterar por formulário, com validação antes de aplicar e registro depois.
- Produção é a fonte da verdade. O painel importa o estado real dos servidores e mostra divergências, em vez de confiar em um arquivo que pode estar desatualizado.
- Toda mudança passa por validação. Uma regra de firewall ou um backend novo é checado antes de ser aplicado; se o equipamento recusa, o Rudder desfaz.
- Alta disponibilidade de fábrica. Duas bordas com failover automático, dois servidores DNS, e a aplicação de configuração é atômica nos dois lados.
- Multi-organização. Cada órgão ou secretaria enxerga e altera só o que é seu; a equipe operadora enxerga tudo, com registro.
- IPv6 nativo. Tráfego IPv6 chega direto ao servidor final, sem tradução de endereços; IPv4 legado passa pelo proxy. Alinhado à exigência de IPv6 nas contratações públicas.
Arquitetura de exposição: o certificado TLS fica no servidor final do órgão. Nenhum intermediário lê o tráfego.
03 · Capacidades
O que a equipe opera pelo painel, hoje.
Tudo abaixo está em uso em produção. Cada item corresponde a uma área do painel, com formulários, validação e trilha de auditoria.
Proxy reverso e ingresso
Publicação de sites e sistemas por domínio, com roteamento por SNI e TLS terminando no servidor final. Implantação por GitOps ou correção imediata, sempre com verificação de configuração antes do reload.
DNS autoritativo
Zonas e registros em dois servidores DNS, com detecção de divergência entre eles, importação de zonas existentes no formato BIND e verificação de delegação ao vivo.
Certificados TLS automáticos
Emissão e renovação via ACME com validação por DNS, inclusive certificados curinga, sem expor porta nenhuma para isso. Inventário de certificados com validade e status.
Firewall, NAT e alta disponibilidade
Regras de filtro, grupos de endereços, DNAT e SNAT aplicados de forma atômica nas duas bordas. Failover de gateway (VRRP) operado pelo painel, com estado ao vivo.
E-mail institucional
Domínios, contas e grupos em servidor de e-mail próprio, com verificação ao vivo de SPF, DKIM, DMARC e MX, e ciclo de vida do certificado do servidor de correio.
Defesa de borda
Análise de tráfego por IP, país e sistema autônomo, com pontuação de risco, limite de taxa e bloqueio por revisão humana. Página de contestação para bloqueios e canal LGPD de remoção de dados.
Observabilidade
Painel ao vivo de CPU, memória, conexões e banda de cada equipamento; maiores consumidores de tráfego em tempo real; verificação paralela de saúde de todos os subsistemas.
Redes e endereçamento
Alocação de VLANs e sub-redes por organização, classificação de endereços IPv6 por provedor de trânsito e túneis IPv6 alternativos geridos pelo painel.
Acesso administrativo zero-trust
Acesso à rede de gestão por túnel criptografado com identidade por dispositivo, políticas de acesso e rotas anunciadas geridas pelo painel.
04 · Por dentro
Simples de ler, difícil de errar.
Painéis ilustrativos, com dados fictícios, reproduzindo as telas de DNS e de firewall. O produto real usa o mesmo desenho.
Org: Prefeitura Exemploti@exemplo.gov.brZonas DNS
6 zonas em ns1 e ns2 · ns1 e ns2 em acordo
Adicionar um domínio cria a zona nos dois servidores e verifica a delegação ao vivo.
Org: POP (operadora)noc@exemplo.coopFirewall · regras de entrada
Aplicadas nas duas bordas · padrão: negar tudo que não está listado
| Prio | Nome | Proto | Destino | Vista em |
|---|---|---|---|---|
| 443 | HTTPS → portal | TCP | 2001:db8:10::1 :443 | edge01 edge02 |
| 444 | HTTPS → sistemas | TCP | 2001:db8:10::2 :443 | edge01 edge02 |
| 2500 | SMTP → correio | TCP | 2001:db8:20::5 :25 | edge01 edge02 |
| 5300 | DNS → ns1 | TCP_UDP | 2001:db8:30::53 :53 | edge01 edge02 |
| 5301 | DNS → ns2 | TCP_UDP | 2001:db8:30::54 :53 | edge01 pendente |
Divergência entre as bordas aparece na hora; a aplicação valida referências antes de enviar.
05 · Segurança e conformidade
Feito para passar em auditoria, não só para funcionar.
As escolhas abaixo estão implementadas e cobertas por testes automatizados. O padrão de projeto é o mais exigente disponível, não o mais rápido.
- Trilha de auditoria completa. Cada ação registra autor, recurso, modo de aplicação, sucesso ou erro e o estado antes e depois, com filtros e link permanente por evento.
- Papéis e isolamento por organização. Quatro papéis (administrador e usuário do órgão; operador e suporte da rede). Toda consulta passa por um filtro de escopo obrigatório.
- Autenticação forte. Senhas com Argon2id e verificação contra vazamentos conhecidos; segundo fator TOTP com códigos de recuperação; login único (SSO) via OpenID Connect com chave de segurança física obrigatória para administradores.
- Reautenticação para ações sensíveis. Exclusões definitivas e mudanças de alto impacto exigem confirmar a identidade de novo, com janela curta.
- Proteções de aplicação. Limite de taxa por usuário e por IP com bloqueio progressivo, verificação de origem em toda escrita (anti-CSRF), HSTS, política de conteúdo e cabeçalhos de segurança em todas as respostas.
- Segredos cifrados. Credenciais de integração guardadas cifradas no banco; chaves SSH e de serviço fora do repositório, com permissões restritas.
- LGPD na borda. Política de privacidade pública explicando o que a defesa de borda processa; canal formal de solicitação de remoção (art. 18), revisado por pessoa, sem apagamento automático que possa ser abusado.
- Sem apagamento silencioso. Recursos são arquivados, não destruídos. A exclusão definitiva vive em uma única tela, restrita, com reautenticação e verificação de dependências.
- Qualidade verificável. Mais de 1.800 testes automatizados contra banco PostgreSQL real, integração contínua obrigatória antes de qualquer publicação, e verificação em produção após cada implantação.
- Decisões documentadas. Vinte e quatro registros de decisão de arquitetura (ADRs) explicam o porquê de cada escolha estrutural, do fluxo de trabalho ao modelo de confiança zero.
06 · Modelo cooperativo
Uma nuvem em rede, não um data center só.
O Rudder foi desenhado para uma rede de cooperados que trazem infraestrutura de tamanhos diferentes. Quatro níveis tornam isso explícito e permitem colocar cada serviço onde ele deve ficar.
Empresarial
Data center real: nobreak, gerador ou solar, múltiplos provedores e sistema autônomo próprio. Hospeda e-mail, DNS e o que não pode parar.
Corporativo
Rack em escritório ou pequeno DC, servidores de linha, link empresarial com IP fixo. Produção estável e sistemas regulados.
Profissional
Equipamento reaproveitado em banda larga de qualidade. Homologação, réplicas de leitura e cargas tolerantes a reinício.
Solidário
Mini-PC ou Raspberry Pi em conexão residencial, com túnel IPv6 fornecido pela rede. Porta de entrada para quem quer participar sem grande investimento.
Licença livre com compromisso ético
O Rudder é distribuído sob a Licença CHARRUA v1.2, copyleft latino-americano: o código pode ser usado, estudado, modificado e redistribuído, e versões modificadas em rede devem ser publicadas. A licença veda explicitamente o uso para vigilância em massa, armas autônomas, repressão estatal e discriminação algorítmica. Um governo que adota o Rudder adota também esse compromisso.
07 · Para governos e órgãos públicos
O que muda para uma prefeitura, um estado ou uma autarquia.
O Rudder é a peça de operação do programa de soberania digital da pop.coop. Na prática, um órgão passa a ter:
Dados e tráfego no Brasil
Portais e sistemas hospedados em nós da rede em território nacional, com o certificado TLS no servidor do próprio órgão. Ninguém no meio do caminho lê o conteúdo.
E-mail institucional próprio
Domínio do órgão em servidor de correio auditável, com SPF, DKIM e DMARC verificados pelo painel. Fim da dependência de suítes estrangeiras para a comunicação oficial.
DNS soberano
As zonas do órgão ficam em servidores autoritativos operados pela rede cooperativa, com redundância e verificação de delegação, em vez de painéis de registradores de fora.
Prova para o controle externo
Cada mudança de configuração tem autor, data, motivo e resultado registrados. Tribunais de contas e controladorias recebem evidência, não relato.
Equipe local capacitada
O órgão opera pelo painel desde o primeiro dia e, se quiser, assume a operação completa. O objetivo é transferir capacidade, não criar um novo fornecedor indispensável.
Custo em reais, previsível
Infraestrutura de cooperados brasileiros e software livre sem licença por uso. Sem surpresa cambial nem mudança unilateral de plano.
Como começa
Diagnóstico
Levantamento dos domínios, sistemas e e-mails do órgão e de onde cada um está hospedado hoje. Resultado: um mapa de dependências externas e um plano de migração por etapas.
Piloto
Um domínio e um serviço de baixo risco (o portal de transparência, por exemplo) migram para a rede. A equipe do órgão opera no painel com acompanhamento da cooperativa.
Operação assistida e transferência
Migração gradual do restante. A cooperativa opera junto até a equipe local estar confortável, com trilha de auditoria completa desde o primeiro dia.
08 · Estado do projeto
Onde o Rudder está, sem exagero.
O software está em produção na infraestrutura da própria cooperativa, operando seus serviços e os de organizações associadas. Está em evolução ativa e a tabela abaixo diz o que já é rotina e o que ainda vem.
| Área | Situação | Detalhe |
|---|---|---|
| Proxy, DNS, firewall, e-mail | em produção | Operação diária pelo painel, com importação do estado vivo e trilha de auditoria. |
| Certificados TLS automáticos | em produção | Emissão por ACME com validação DNS; modo de terminação na borda opcional por domínio. |
| Defesa de borda e observabilidade | em produção | Análise de tráfego e pontuação de risco em modo de observação; bloqueio só após revisão humana. |
| IPv6 com múltiplos provedores de trânsito | em produção | Classificação de endereços por provedor e túneis alternativos geridos pelo painel. |
| API pública e automação por infraestrutura como código | em andamento | Tokens de API por usuário já existem; a API versionada e o provedor OpenTofu/Terraform estão planejados. |
| Federação entre múltiplos data centers | em andamento | Arquitetura decidida (ADR-0010); posicionamento de cargas por nível de cooperado em construção. |
| Publicação do código-fonte | planejado | O repositório é hoje privado enquanto passa por revisão jurídica da licença. Acesso para auditoria por órgãos interessados pode ser combinado com a cooperativa. |
09 · Contato
Conversar com a cooperativa.
A pop.coop é uma cooperativa de tecnologia. O diálogo institucional acontece pelo formulário do programa de desenvolvimento, e o material técnico vive no Forgejo da cooperativa.
Diálogo institucional
Formulário de contato da PopSolutions para governos e organizações.
brasil.pages.pop.coopA cooperativa
Quem somos, o que operamos e como participar da rede.
pop.coopPrograma de soberania digital
O PAC-ID, programa em que o Rudder se encaixa como infraestrutura de operação.
PROGRAMA-POP · Pilar 8