Nginx Proxy Manager 2.17 corrige falhas de segurança e protege chaves privadas SSL

O Nginx Proxy Manager 2.17 traz melhorias importantes em segurança e gerenciamento de certificados SSL. Essa atualização reforça a autenticação, facilita a renovação automática dos certificados e corrige falhas que afetavam a estabilidade do sistema. Com foco em proteger conexões e evitar acessos não autorizados, a versão 2.17 é ideal para quem busca uma solução segura e confiável para administrar proxies reversos com SSL.

O Nginx Proxy Manager recebeu a versão 2.17, uma atualização que prioriza a segurança, a confiabilidade dos certificados SSL e a administração de serviços publicados por meio de um proxy reverso. A nova versão corrige falhas relacionadas à autenticação, impede a exposição de chaves privadas pela API e melhora o funcionamento da renovação automática de certificados.

Além das correções de segurança, o lançamento atualiza o Certbot e diversos plugins utilizados para validar domínios por meio de provedores DNS. Também adiciona suporte ao DNS da Scaleway e corrige problemas que poderiam fazer regras de acesso e configurações SSL desaparecerem durante a regeneração dos arquivos de configuração do Nginx.

Para quem mantém aplicações e serviços próprios em servidores Linux, especialmente em ambientes domésticos, pequenos servidores e infraestruturas baseadas em Docker, a atualização merece atenção. Algumas integrações DNS apresentam mudanças incompatíveis, o que exige planejamento antes de atualizar.

O que é o Nginx Proxy Manager?

O Nginx Proxy Manager é uma ferramenta de código aberto que oferece uma interface web para administrar o Nginx sem exigir que o usuário edite manualmente arquivos de configuração.

Seu principal objetivo é facilitar a criação e o gerenciamento de proxies reversos. Esse recurso permite receber solicitações externas e encaminhá-las para serviços que estão em execução em outros endereços ou portas dentro de uma rede.

Por exemplo, um administrador pode hospedar diferentes aplicações em um único servidor e disponibilizá-las por nomes de domínio distintos. Um endereço pode apontar para uma instância do Nextcloud, outro para o Jellyfin e um terceiro para um painel de administração.

A ferramenta também simplifica a emissão e a renovação de certificados SSL, incluindo aqueles fornecidos gratuitamente pela Let’s Encrypt. Dessa forma, é possível habilitar conexões HTTPS sem precisar executar manualmente todas as etapas de configuração.

O painel ainda permite administrar listas de controle de acesso, configurações dos hosts e outras opções do servidor.

Essa facilidade torna o projeto popular entre usuários de homelabs, administradores de servidores e pessoas que mantêm aplicações próprias acessíveis pela internet.

Nginx Proxy Manager 2.17 reforça a segurança da autenticação

Uma das partes mais importantes da versão 2.17 está relacionada à proteção da interface administrativa e das APIs.

A atualização adiciona limitação de tentativas aos endpoints de autenticação. Esse mecanismo, conhecido como rate limiting, controla a frequência com que uma operação pode ser repetida dentro de determinado intervalo.

Na prática, isso dificulta ataques de força bruta, nos quais um invasor tenta descobrir uma senha realizando muitas combinações de usuário e credenciais.

A atualização também corrige uma vulnerabilidade conhecida como authentication oracle. Esse tipo de problema pode permitir que respostas de um sistema revelem informações úteis sobre o processo de autenticação, mesmo quando o acesso não é autorizado.

Outro ajuste importante torna mais restritas as permissões dos usuários relacionadas aos Proxy Hosts. Com isso, o gerenciamento de cada host pode respeitar melhor os limites de autorização definidos pelo administrador.

A versão também passa a exigir autenticação antes da validação de certificados. A mudança evita que essa operação seja realizada sem que o solicitante esteja devidamente autenticado.

API deixa de expor chaves privadas de certificados

Outro problema corrigido merece destaque: a API de certificados não inclui mais as chaves privadas nas respostas.

Uma chave privada é um componente essencial da infraestrutura criptográfica de um certificado digital. Ela participa do processo de autenticação do servidor e deve permanecer protegida contra acesso não autorizado.

Se esse material for exposto, um invasor poderá obter informações que comprometem a segurança dos serviços associados ao certificado. Dependendo da situação, pode ser necessário substituir as chaves, emitir novos certificados e revisar os sistemas afetados.

Ao impedir que a API forneça esse conteúdo nas respostas, o Nginx Proxy Manager reduz uma exposição desnecessária de informações sensíveis.

O lançamento também atualiza dependências do backend. Segundo o registro oficial da versão, essas alterações corrigem 15 dos 16 avisos de segurança identificados, incluindo uma vulnerabilidade de negação de serviço no pacote body-parser.

É importante observar que o número informado não representa a eliminação de todos os possíveis problemas de segurança. Ele indica que a atualização resolve a maioria dos avisos considerados nesse conjunto de dependências.

Correções melhoram o gerenciamento de certificados SSL

A administração de certificados HTTPS também recebeu melhorias importantes.

Um dos problemas corrigidos envolvia a recarga do Nginx após a renovação de um certificado. Em determinadas situações, o processo de atualização do certificado não era acompanhado corretamente pela recarga do servidor.

Isso poderia fazer com que o serviço continuasse utilizando o certificado anterior até que uma recarga manual fosse realizada.

Com a versão 2.17, o Nginx volta a ser recarregado corretamente após a renovação, permitindo que a configuração atualizada seja aplicada.

Outro ajuste melhora a apresentação de erros do Certbot. Antes, quando ocorria uma falha durante uma operação relacionada aos certificados, a interface podia exibir apenas uma mensagem genérica de erro interno.

Agora, o painel apresenta o motivo real informado pelo Certbot.

Essa mudança facilita bastante o diagnóstico. Problemas com credenciais DNS, permissões, propagação de registros ou limites de emissão podem exigir procedimentos diferentes. Quando a mensagem apresenta a causa concreta, o administrador consegue investigar o problema com mais rapidez.

A interface também passa a mostrar informações dos certificados diretamente nas tabelas de Proxy Hosts. Isso facilita a identificação dos certificados associados a cada serviço e torna a administração cotidiana mais prática.

Certbot recebe atualizações e ganha suporte ao DNS da Scaleway

A versão 2.17 atualiza o Certbot e diversos plugins utilizados na validação de domínios por DNS.

O Certbot é uma ferramenta que automatiza a emissão e a renovação de certificados TLS, incluindo aqueles fornecidos pela Let’s Encrypt. Uma de suas funcionalidades é a validação DNS-01, que utiliza registros DNS para comprovar que o solicitante controla determinado domínio.

Esse método é especialmente útil para emitir certificados curinga, também conhecidos como wildcard, capazes de proteger vários subdomínios com um único certificado.

A atualização adiciona suporte ao provedor Scaleway DNS e modifica integrações existentes.

Entre as principais alterações estão:

• Scaleway DNS: novo plugin para emissão de certificados usando a validação DNS.
• Hetzner: atualização do plugin para a versão 4.0.0.
• Infomaniak: atualização do plugin para a versão 0.3.3.
• Baidu DNS: atualização do nome e da versão do pacote.
• Akamai Edge DNS: atualização do plugin e das credenciais para a versão 0.3.0.
• dns-multi: atualização para a versão 5.6.0.
• Beget: alteração do plugin utilizado pela integração.

Essas mudanças ampliam a compatibilidade com diferentes provedores e mantêm os componentes de automação atualizados.

Atenção às mudanças incompatíveis nos plugins DNS

Apesar das melhorias, existe um aviso importante para quem utiliza determinadas integrações.

Os plugins EdgeDNS, Beget e Infomaniak apresentam mudanças incompatíveis com configurações anteriores. Além disso, a atualização do Certbot pode exigir ajustes nas dependências dos plugins DNS já utilizados.

Os desenvolvedores recomendam que usuários dessas integrações considerem criar novamente os certificados SSL baseados em DNS e remover os certificados antigos.

Portanto, administradores que dependem desses provedores devem verificar suas configurações antes de atualizar o ambiente. É recomendável conferir as credenciais de acesso às APIs DNS e planejar a recriação dos certificados quando necessário.

Ignorar esse aviso pode provocar problemas na emissão ou na renovação automática dos certificados.

Melhorias no proxy reverso e nas configurações do Nginx

A versão 2.17 também corrige problemas relacionados à regeneração das configurações dos hosts.

Um dos erros fazia com que regras de listas de acesso e configurações SSL desaparecessem quando os arquivos de configuração dos hosts eram recriados.

Esse comportamento poderia comprometer as restrições de acesso ou alterar a forma como determinados serviços eram publicados.

Com a correção, as regras e configurações devem ser preservadas durante o processo de regeneração.

Outro ajuste envolve os cabeçalhos HTTP encaminhados ao servidor de destino. Agora, as portas utilizadas pelos clientes são preservadas nos cabeçalhos Host encaminhados.

Essa informação pode ser importante para aplicações que precisam identificar corretamente o endereço e a porta utilizados na solicitação original.

A configuração HSTS relacionada a subdomínios também recebeu uma correção. O ajuste garante que a opção seja aplicada individualmente para cada host, respeitando a configuração definida pelo administrador.

HSTS, sigla de HTTP Strict Transport Security, é um mecanismo que instrui navegadores a utilizar conexões HTTPS para acessar determinado domínio. Sua configuração incorreta pode afetar a forma como os navegadores se conectam aos serviços publicados.

Interface recebe melhorias e correções adicionais

Nem todas as mudanças da versão 2.17 estão relacionadas à segurança ou ao funcionamento do proxy reverso.

A interface agora oferece uma proteção adicional contra a perda acidental de alterações ainda não salvas em formulários.

Esse recurso é útil durante a administração de vários hosts, quando uma navegação ou o fechamento de uma janela pode fazer com que configurações preenchidas sejam descartadas.

O tema escuro também recebeu ajustes visuais para acompanhar as mudanças do framework Tabler, utilizado na interface do projeto.

No ambiente do contêiner, a atualização inclui o s6-overlay 3.2.3.2. Esse componente participa do gerenciamento de processos e serviços durante a inicialização do ambiente.

Outra correção remove arquivos PID antigos do Nginx antes de iniciar o serviço. Esses arquivos podem permanecer após encerramentos inesperados e provocar problemas durante uma nova inicialização.

O lançamento ainda inclui atualizações de traduções, com melhorias em diferentes idiomas.

Como atualizar para o Nginx Proxy Manager 2.17

A versão 2.17 está disponível por meio das imagens Docker oficiais do projeto.

Os usuários que administram o Nginx Proxy Manager com Docker Compose podem atualizar o contêiner utilizando os comandos abaixo, desde que o arquivo de configuração esteja preparado para utilizar a imagem desejada:

docker compose pull
docker compose up -d

Antes de executar o procedimento, entretanto, é importante realizar um backup dos dados persistentes, incluindo configurações, banco de dados e arquivos relacionados aos certificados.

Também vale conferir se a instalação utiliza os plugins DNS afetados pelas mudanças incompatíveis. Quem depende de EdgeDNS, Beget ou Infomaniak deve verificar as orientações do projeto e planejar a recriação dos certificados quando necessário.

Depois da atualização, é recomendável acessar o painel, conferir os Proxy Hosts, verificar as configurações SSL e testar o funcionamento dos serviços publicados.

Conclusão

O Nginx Proxy Manager 2.17 é uma atualização importante para quem utiliza a ferramenta na administração de servidores e aplicações próprias.

As correções de autenticação, a proteção das chaves privadas e a atualização das dependências reforçam a segurança do painel. Ao mesmo tempo, os ajustes na renovação dos certificados e na regeneração das configurações tornam o gerenciamento do proxy reverso mais confiável.

O novo suporte ao Scaleway DNS e as atualizações dos plugins Certbot também ampliam as possibilidades de integração com provedores DNS.

Entretanto, usuários de EdgeDNS, Beget e Infomaniak precisam ter cuidado com as mudanças incompatíveis. Fazer backup e verificar as integrações antes de atualizar é a melhor maneira de evitar interrupções nos serviços.

Para quem mantém aplicações expostas à internet por meio do Nginx Proxy Manager, a versão 2.17 merece atenção especial, principalmente pelas correções relacionadas à autenticação e à exposição de chaves privadas.

Para obter mais informações, consulte o changelog.