server block do Nginx
Um server block é a unidade que o Nginx usa para decidir qual site responder a uma requisição, combinando a porta escutada, o nome do host e o que fazer com cada caminho dentro dele, seja servir arquivos, repassar para uma aplicação ou processar PHP.
Qualquer rota que não bata com um arquivo real recebe o mesmo index.html com status 200, deixando o roteador do lado do cliente decidir o que mostrar.
O cabeçalho X-Forwarded-Proto é o que permite a aplicação por trás do proxy saber se a conexão original era https, mesmo com o Nginx entregando HTTP internamente.
A expressão regular casa a extensão do arquivo sem diferenciar maiúsculas de minúsculas, aplicando um ano de cache só a esses tipos de arquivo, nunca ao HTML.
O padrão é salvar em /etc/nginx/sites-available/seu-dominio e criar um link simbólico em /etc/nginx/sites-enabled. Depois rode nginx -t para validar a sintaxe e systemctl reload nginx (ou service nginx reload) para aplicar sem derrubar conexões.
Na maioria dos casos é porque os arquivos apontados por `ssl_certificate` e `ssl_certificate_key` ainda não existem no servidor. O Nginx valida esses caminhos ao carregar a configuração, então é preciso emitir o certificado primeiro (por exemplo com Certbot) e só depois usar o bloco 443.
O estático termina com `=404`, devolvendo um erro real quando o arquivo não existe; a SPA termina redirecionando para `/index.html`, então rotas inexistentes carregam a mesma página com status 200 em vez de um 404, porque quem decide se a rota é válida é o JavaScript do lado do cliente.
Sim, cada bloco `listen` cobre uma família de endereço só; por isso o bloco gerado sempre tem um par de diretivas, `listen 443 ssl` para IPv4 e `listen [::]:443 ssl` para IPv6, repetido também na porta 80 quando o redirecionamento HTTP está ativo.
As linhas `proxy_set_header Upgrade $http_upgrade` e `Connection "upgrade"` são o que permite uma conexão WebSocket sobreviver ao proxy, trocando de HTTP normal para o protocolo de upgrade sem o Nginx derrubar a conexão no meio do caminho.
# Server block gerado por jkit.tools
# Redireciona HTTP -> HTTPS
server {
listen 80;
listen [::]:80;
server_name example.com www.example.com;
return 301 https://$host$request_uri;
}
server {
listen 443 ssl http2;
listen [::]:443 ssl http2;
server_name example.com www.example.com;
root /var/www/example.com/public;
index index.html index.htm;
# TLS
ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
ssl_protocols TLSv1.2 TLSv1.3;
ssl_prefer_server_ciphers on;
client_max_body_size 16m;
# Cabeçalhos de segurança
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
# Compressão
gzip on;
gzip_vary on;
gzip_types text/plain text/css application/javascript application/json image/svg+xml;
location / {
try_files $uri $uri/ =404;
}
# Cache de assets estáticos
location ~* \.(?:css|js|jpg|jpeg|png|gif|ico|svg|woff2?)$ {
expires 1y;
add_header Cache-Control "public, immutable";
}
}
A configuração é gerada inteiramente no seu navegador a partir das opções. Nenhum dado é enviado a servidores.