CageFS é a tecnologia do CloudLinux que coloca cada conta de hospedagem dentro da própria “gaiola” — um sistema de arquivos virtualizado em que o usuário enxerga apenas os próprios arquivos e as ferramentas de que precisa, e mais nada. Num servidor compartilhado com centenas de contas, é o que impede que um cliente veja os arquivos de outro, descubra quem mais está no servidor, ou leia arquivos de configuração do sistema.
O ponto que quase ninguém explica: sem essa camada, um site invadido num servidor compartilhado pode virar porta de entrada para os vizinhos. O CageFS é o que transforma “o servidor foi comprometido” em “uma conta foi comprometida” — e essa diferença é enorme para quem está na conta ao lado.
CageFS = cada conta na própria gaiola. Um sistema de arquivos virtual por usuário, criado pelo CloudLinux.
| O que você vê | Seus arquivos, seu /tmp, os programas de que precisa |
| O que você não vê | Arquivos de outras contas, nomes dos outros clientes, configurações do servidor |
| Você percebe? | Não. É transparente — o site funciona normalmente |
O problema que o CageFS resolve
Para entender por que ele existe, vale entender como era antes.
Num servidor Linux comum, todos os usuários compartilham o mesmo sistema de arquivos. Cada um tem sua pasta pessoal, mas o restante do sistema é visível para todos: dá para listar /home e ver os nomes de todas as contas, ler arquivos de configuração do Apache, consultar /etc/passwd, e navegar por boa parte da estrutura do servidor.
Isso cria três problemas em hospedagem compartilhada:
Reconhecimento. Um atacante que compromete uma conta qualquer — muitas vezes um site desatualizado, de alguém que nem sabe que foi invadido — passa a enxergar todos os outros clientes do servidor. Ele sabe quantos são, quais os nomes, e onde ficam os arquivos.
Vazamento de informação. Arquivos de configuração podem conter caminhos, versões de software e outras pistas úteis para quem procura uma falha.
Escalada. Com visibilidade do sistema, fica mais fácil encontrar uma brecha que permita sair da própria conta.
Historicamente, hospedagens tentavam resolver isso com restrições no php.ini — desabilitando funções perigosas, usando open_basedir. Funciona parcialmente, e é justamente essa limitação que motivou o CageFS: essas restrições são contornáveis com alguma frequência, e não valem para scripts CGI, que rodam fora do PHP.
Como o CageFS funciona
Ele cria, para cada usuário, um sistema de arquivos virtual completo — uma “gaiola”. De dentro dela, tudo parece um servidor normal: existe /etc, /bin, /usr, /tmp. A diferença é que esse conteúdo é montado especialmente para aquele usuário.
| Dentro da gaiola | O que o usuário enxerga |
|---|---|
/home/usuario | Sua pasta pessoal, com os arquivos do site. Normal e completa |
/tmp | Um /tmp próprio e privado, não o do servidor |
/etc | Uma versão limpa, sem senhas do sistema nem dados de outras contas |
/bin, /usr/bin | Só os programas liberados pelo administrador (ls, cat, php, perl…) |
/home (a raiz) | Vazio. Ele não vê que existem outras contas |
/proc | Visão limitada — não vê processos de outros usuários |
Tecnicamente, o CageFS usa recursos do próprio kernel do Linux — bind mounts e isolamento de namespace — para montar essa visão. Os arquivos de sistema são compartilhados em modo somente leitura (para não desperdiçar espaço), enquanto a pasta pessoal e o /tmp são privados e graváveis.
É parecido com o chroot, mas vai bem além: o chroot apenas troca o diretório raiz, enquanto o CageFS controla também processos, /proc e quais binários existem dentro da gaiola.
O que muda na prática
Aqui está o que a maioria dos artigos sobre o tema não responde: e daí?
| Situação | Sem CageFS | Com CageFS |
|---|---|---|
| Um site vizinho é invadido | O atacante enxerga as demais contas e pode tentar alcançá-las | Ele fica preso naquela conta. Não sabe nem que você existe |
| Alguém quer descobrir quem está no servidor | Basta listar /home | Não há nada para listar |
| Arquivos temporários do seu site | Ficam num /tmp compartilhado, acessível a outros | Ficam no seu /tmp privado |
| Versão do PHP que você escolheu | Depende da configuração global do servidor | É a sua, isolada, sem afetar ninguém |
Aquele último ponto é um benefício menos óbvio: o CageFS é o que permite cada conta escolher sua própria versão de PHP. O seletor de versão do PHP no cPanel funciona porque cada usuário tem um ambiente isolado — sem isso, a versão seria a mesma para todos no servidor.
CageFS e LVE: são coisas diferentes
Confusão comum, porque os dois vêm do CloudLinux e ambos fazem “isolamento”. Mas isolam coisas distintas:
| CageFS | LVE | |
|---|---|---|
| Isola | Arquivos e processos | Recursos: CPU, memória, I/O |
| Resolve | Um vizinho ver ou alcançar seus dados | Um vizinho consumir os recursos do servidor |
| Problema evitado | Vazamento e escalada entre contas | Site lento por causa do “vizinho barulhento” |
Os dois são componentes do CloudLinux, o sistema operacional feito especificamente para hospedagem compartilhada. Juntos, eles resolvem os dois problemas clássicos de dividir um servidor: segurança e desempenho.
Quando um site fica lento porque outro no mesmo servidor recebeu um pico de acessos — ou porque boa parte do tráfego da web é de bots —, é o LVE que contém o estrago.
Isolamento por site: a evolução recente
Uma novidade que vale conhecer, porque muda o cenário para quem tem vários sites na mesma conta.
O modelo tradicional isola contas umas das outras. Mas se você hospeda cinco sites dentro da mesma conta de hospedagem — algo comum em planos que permitem domínios ilimitados —, esses cinco compartilham o mesmo ambiente. Um deles comprometido pode alcançar os outros quatro.
O CloudLinux introduziu recentemente o isolamento por site, que estende a lógica da gaiola para cada site individualmente, e não apenas para cada conta. É especialmente relevante para agências e revendedores, que costumam concentrar vários clientes numa mesma conta.
Como saber se a sua hospedagem usa CageFS
Nem toda hospedagem compartilhada tem — o CloudLinux é licenciado, tem custo por servidor, e é uma das primeiras coisas que provedores muito baratos cortam.
Como verificar:
- Pergunte ao suporte. É a forma mais direta, e a resposta diz bastante sobre o provedor
- Procure na descrição dos planos. Quem tem, costuma anunciar — é diferencial
- Teste pelo terminal, se tiver acesso SSH: rode
ls /home. Se aparecer uma lista de contas de outros clientes, não há CageFS. Se aparecer só a sua, há - Verifique o seletor de PHP no painel. Se você consegue escolher a versão do PHP só para a sua conta, é forte indício de CloudLinux
Numa hospedagem compartilhada, você não escolhe seus vizinhos e não tem como saber se o site ao lado está atualizado. O que separa você deles é a camada de isolamento — e ela custa dinheiro ao provedor. Quando um plano é dramaticamente mais barato que o mercado, o corte costuma vir daqui: sem CloudLinux, sem CageFS, sem isolamento de recursos. Você não vê a diferença até o dia em que um vizinho é invadido.
O que o CageFS não faz
Delimitar importa, porque isolamento não é proteção completa:
- Não impede que o seu site seja invadido. Se você tem um plugin vulnerável, o atacante entra na sua conta. O CageFS impede que ele saia dela — o que protege os outros, não você
- Não substitui atualizações. Manter WordPress, plugins e temas em dia continua sendo a defesa principal
- Não é firewall. Ele não filtra tráfego; para isso existe o WAF — implementado na maioria dos servidores pelo ModSecurity — e o firewall de rede.
- Não substitui backup. Se a sua conta for comprometida, restaurar continua sendo o caminho
Pense nele como as paredes corta-fogo de um prédio: não impedem o incêndio, mas impedem que ele se espalhe.
A infraestrutura da Homehost é construída sobre CloudLinux com CageFS: cada conta opera em ambiente isolado, com recursos garantidos pelo LVE e proteção do cPGuard. Servidor no Brasil, backup automático e suporte em português. A partir de R$ 7,90/mês.
Ver planos de hospedagemPerguntas frequentes
O que é CageFS?
É uma tecnologia do CloudLinux que cria um sistema de arquivos virtualizado para cada usuário de um servidor compartilhado — uma “gaiola”. Dentro dela, o usuário vê apenas os próprios arquivos e as ferramentas necessárias para o site funcionar, sem enxergar as contas dos outros clientes nem os arquivos de configuração do servidor.
Qual a diferença entre CageFS e LVE?
Os dois são componentes do CloudLinux, mas isolam coisas diferentes. O CageFS isola arquivos e processos: impede que uma conta veja ou alcance os dados de outra. O LVE isola recursos: limita quanto de CPU, memória e I/O cada conta pode consumir, impedindo que um site sobrecarregado prejudique os demais.
O CageFS deixa meu site mais lento?
Não de forma perceptível. Ele funciona no nível do kernel, usando recursos nativos do Linux, e os arquivos de sistema são compartilhados em modo somente leitura — o que evita duplicação. Na prática, o isolamento tende a melhorar a estabilidade geral do servidor, o que beneficia o desempenho.
Preciso configurar alguma coisa?
Não. O CageFS é configurado pelo administrador do servidor e funciona de forma transparente para o cliente. Você não precisa fazer nada, e o site funciona normalmente — a diferença é o que você não vê: as contas dos vizinhos.
Como sei se minha hospedagem usa CageFS?
Pergunte ao suporte, que é a forma mais direta, ou verifique se os planos mencionam CloudLinux. Com acesso SSH, o comando ls /home mostra: se aparecerem contas de outros clientes, não há isolamento; se aparecer só a sua, há. A presença de um seletor de versão do PHP no painel também é bom indício.
O CageFS impede que meu site seja invadido?
Não. Se o seu site tem uma vulnerabilidade, o atacante consegue entrar na sua conta. O que o CageFS faz é impedir que ele saia dela e alcance outras contas do servidor. Ele protege os vizinhos de você, e você dos vizinhos — mas não substitui manter WordPress, plugins e temas atualizados.
Toda hospedagem compartilhada tem CageFS?
Não. O CloudLinux é uma licença paga, com custo por servidor, e provedores que competem apenas por preço costumam cortá-la. É uma das diferenças invisíveis entre planos aparentemente iguais — e uma das mais relevantes em termos de segurança.
O que é isolamento por site?
É uma evolução recente do CageFS. O modelo tradicional isola contas umas das outras, mas vários sites dentro da mesma conta compartilham o ambiente. O isolamento por site estende a gaiola para cada site individualmente, o que interessa especialmente a agências e revendedores que concentram vários clientes numa conta.
Veja também
Sobre a camada que filtra o tráfego antes de chegar ao site, veja o que é WAF e o que é firewall. Sobre a escolha de hospedagem, veja melhor hospedagem de sites.
Conclusão
O CageFS resolve um problema que só existe porque hospedagem compartilhada é, por definição, compartilhada: num servidor com centenas de contas, alguém sempre estará com o site desatualizado. A gaiola faz com que isso seja um problema daquela conta, e não do servidor — o atacante que entra por uma porta não encontra as outras, nem sabe que existem. É uma proteção que você nunca percebe funcionando, e que só se nota pela ausência: quando um provedor corta essa camada para baratear o plano, a diferença aparece no dia em que o vizinho é invadido.
