{"id":17057,"date":"2026-08-02T08:14:25","date_gmt":"2026-08-02T11:14:25","guid":{"rendered":"https:\/\/www.homehost.com.br\/blog\/?p=17057"},"modified":"2026-08-02T11:51:13","modified_gmt":"2026-08-02T14:51:13","slug":"cagefs","status":"publish","type":"post","link":"https:\/\/www.homehost.com.br\/blog\/seguranca-da-informacao\/cagefs\/","title":{"rendered":"CageFS: o que \u00e9 e por que ele protege seu site na hospedagem compartilhada"},"content":{"rendered":"\n

CageFS \u00e9 a tecnologia do CloudLinux<\/a> que coloca cada conta de hospedagem dentro da pr\u00f3pria “gaiola” \u2014 um sistema de arquivos virtualizado em que o usu\u00e1rio enxerga apenas os pr\u00f3prios arquivos e as ferramentas de que precisa, e mais nada. Num servidor compartilhado com centenas de contas, \u00e9 o que impede que um cliente veja os arquivos de outro, descubra quem mais est\u00e1 no servidor, ou leia arquivos de configura\u00e7\u00e3o do sistema.<\/strong><\/p>\n\n\n\n

O ponto que quase ningu\u00e9m explica: sem essa camada, um site invadido num servidor compartilhado pode virar porta de entrada para os vizinhos. O CageFS \u00e9 o que transforma “o servidor foi comprometido” em “uma conta foi comprometida” \u2014 e essa diferen\u00e7a \u00e9 enorme para quem est\u00e1 na conta ao lado.<\/p>\n\n\n\n

\n
Resposta r\u00e1pida<\/div>\n

CageFS = cada conta na pr\u00f3pria gaiola.<\/strong> Um sistema de arquivos virtual por usu\u00e1rio, criado pelo CloudLinux.<\/p>\n\n
O que voc\u00ea v\u00ea<\/strong><\/td>Seus arquivos, seu \/tmp, os programas de que precisa<\/td><\/tr>\n
O que voc\u00ea n\u00e3o v\u00ea<\/strong><\/td>Arquivos de outras contas, nomes dos outros clientes, configura\u00e7\u00f5es do servidor<\/td><\/tr>\n
Voc\u00ea percebe?<\/strong><\/td>N\u00e3o. \u00c9 transparente \u2014 o site funciona normalmente<\/td><\/tr>\n<\/table>\n<\/div>\n\n\n\n

O problema que o CageFS resolve<\/h2>\n\n\n\n

Para entender por que ele existe, vale entender como era antes.<\/p>\n\n\n\n

Num servidor Linux comum, todos os usu\u00e1rios compartilham o mesmo sistema de arquivos. Cada um tem sua pasta pessoal, mas o restante do sistema \u00e9 vis\u00edvel para todos<\/strong>: d\u00e1 para listar \/home<\/code> e ver os nomes de todas as contas, ler arquivos de configura\u00e7\u00e3o do Apache, consultar \/etc\/passwd<\/code>, e navegar por boa parte da estrutura do servidor.<\/p>\n\n\n\n

Isso cria tr\u00eas problemas em hospedagem compartilhada:<\/p>\n\n\n\n

Reconhecimento.<\/strong> Um atacante que compromete uma conta qualquer \u2014 muitas vezes um site desatualizado, de algu\u00e9m que nem sabe que foi invadido \u2014 passa a enxergar todos os outros clientes do servidor. Ele sabe quantos s\u00e3o, quais os nomes, e onde ficam os arquivos.<\/p>\n\n\n\n

Vazamento de informa\u00e7\u00e3o.<\/strong> Arquivos de configura\u00e7\u00e3o podem conter caminhos, vers\u00f5es de software e outras pistas \u00fateis para quem procura uma falha.<\/p>\n\n\n\n

Escalada.<\/strong> Com visibilidade do sistema, fica mais f\u00e1cil encontrar uma brecha que permita sair da pr\u00f3pria conta.<\/p>\n\n\n\n

Historicamente, hospedagens tentavam resolver isso com restri\u00e7\u00f5es no php.ini<\/code> \u2014 desabilitando fun\u00e7\u00f5es perigosas, usando open_basedir<\/code>. Funciona parcialmente<\/strong>, e \u00e9 justamente essa limita\u00e7\u00e3o que motivou o CageFS: essas restri\u00e7\u00f5es s\u00e3o contorn\u00e1veis com alguma frequ\u00eancia, e n\u00e3o valem para scripts CGI, que rodam fora do PHP.<\/p>\n\n\n\n

Como o CageFS funciona<\/h2>\n\n\n\n

Ele cria, para cada usu\u00e1rio, um sistema de arquivos virtual completo<\/strong> \u2014 uma “gaiola”. De dentro dela, tudo parece um servidor normal: existe \/etc<\/code>, \/bin<\/code>, \/usr<\/code>, \/tmp<\/code>. A diferen\u00e7a \u00e9 que esse conte\u00fado \u00e9 montado especialmente para aquele usu\u00e1rio.<\/p>\n\n\n\n

\n\n\n\n\n\n\n\n\n\n\n
Dentro da gaiola<\/th>\nO que o usu\u00e1rio enxerga<\/th>\n<\/tr>\n<\/thead>\n
\/home\/usuario<\/code><\/td>\nSua pasta pessoal, com os arquivos do site. Normal e completa<\/td>\n<\/tr>\n
\/tmp<\/code><\/td>\nUm \/tmp pr\u00f3prio e privado<\/strong>, n\u00e3o o do servidor<\/td>\n<\/tr>\n
\/etc<\/code><\/td>\nUma vers\u00e3o limpa, sem senhas do sistema nem dados de outras contas<\/td>\n<\/tr>\n
\/bin<\/code>, \/usr\/bin<\/code><\/td>\nS\u00f3 os programas liberados pelo administrador (ls, cat, php, perl\u2026)<\/td>\n<\/tr>\n
\/home<\/code> (a raiz)<\/td>\nVazio.<\/strong> Ele n\u00e3o v\u00ea que existem outras contas<\/td>\n<\/tr>\n
\/proc<\/code><\/td>\nVis\u00e3o limitada \u2014 n\u00e3o v\u00ea processos de outros usu\u00e1rios<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n\n\n\n

Tecnicamente, o CageFS usa recursos do pr\u00f3prio kernel do Linux \u2014 bind mounts<\/em> e isolamento de namespace<\/em> \u2014 para montar essa vis\u00e3o. Os arquivos de sistema s\u00e3o compartilhados em modo somente leitura (para n\u00e3o desperdi\u00e7ar espa\u00e7o), enquanto a pasta pessoal e o \/tmp<\/code> s\u00e3o privados e grav\u00e1veis.<\/p>\n\n\n\n

\u00c9 parecido com o chroot<\/code><\/strong>, mas vai bem al\u00e9m: o chroot<\/code> apenas troca o diret\u00f3rio raiz, enquanto o CageFS controla tamb\u00e9m processos, \/proc<\/code> e quais bin\u00e1rios existem dentro da gaiola.<\/p>\n\n\n\n

O que muda na pr\u00e1tica<\/h2>\n\n\n\n

Aqui est\u00e1 o que a maioria dos artigos sobre o tema n\u00e3o responde: e da\u00ed?<\/strong><\/p>\n\n\n\n

\n\n\n\n\n\n\n\n\n
Situa\u00e7\u00e3o<\/th>\nSem CageFS<\/th>\nCom CageFS<\/th>\n<\/tr>\n<\/thead>\n
Um site vizinho \u00e9 invadido<\/td>\nO atacante enxerga as demais contas e pode tentar alcan\u00e7\u00e1-las<\/td>\nEle fica preso naquela conta. N\u00e3o sabe nem que voc\u00ea existe<\/td>\n<\/tr>\n
Algu\u00e9m quer descobrir quem est\u00e1 no servidor<\/td>\nBasta listar \/home<\/code><\/td>\nN\u00e3o h\u00e1 nada para listar<\/td>\n<\/tr>\n
Arquivos tempor\u00e1rios do seu site<\/td>\nFicam num \/tmp<\/code> compartilhado, acess\u00edvel a outros<\/td>\nFicam no seu \/tmp<\/code> privado<\/td>\n<\/tr>\n
Vers\u00e3o do PHP que voc\u00ea escolheu<\/td>\nDepende da configura\u00e7\u00e3o global do servidor<\/td>\n\u00c9 a sua, isolada, sem afetar ningu\u00e9m<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n\n\n\n

Aquele \u00faltimo ponto \u00e9 um benef\u00edcio menos \u00f3bvio: o CageFS \u00e9 o que permite cada conta escolher sua pr\u00f3pria vers\u00e3o de PHP<\/strong>. O seletor de vers\u00e3o do PHP no cPanel funciona porque cada usu\u00e1rio tem um ambiente isolado \u2014 sem isso, a vers\u00e3o seria a mesma para todos no servidor.<\/p>\n\n\n\n

\"Seletor<\/figure>\n\n\n\n

CageFS e LVE: s\u00e3o coisas diferentes<\/h2>\n\n\n\n

Confus\u00e3o comum, porque os dois v\u00eam do CloudLinux e ambos fazem “isolamento”. Mas isolam coisas distintas:<\/p>\n\n\n\n

\n\n\n\n\n\n\n\n
<\/th>\nCageFS<\/th>\nLVE<\/th>\n<\/tr>\n<\/thead>\n
Isola<\/strong><\/td>\nArquivos e processos<\/td>\nRecursos: CPU, mem\u00f3ria, I\/O<\/td>\n<\/tr>\n
Resolve<\/strong><\/td>\nUm vizinho ver<\/em> ou alcan\u00e7ar seus dados<\/td>\nUm vizinho consumir<\/em> os recursos do servidor<\/td>\n<\/tr>\n
Problema evitado<\/strong><\/td>\nVazamento e escalada entre contas<\/td>\nSite lento por causa do “vizinho barulhento”<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n\n\n\n

Os dois s\u00e3o componentes do CloudLinux<\/a><\/strong>, o sistema operacional feito especificamente para hospedagem compartilhada. Juntos, eles resolvem os dois problemas cl\u00e1ssicos de dividir um servidor: seguran\u00e7a e desempenho.<\/p>\n\n\n\n

Quando um site fica lento porque outro no mesmo servidor recebeu um pico de acessos \u2014 ou porque boa parte do tr\u00e1fego da web \u00e9 de bots<\/a> \u2014, \u00e9 o LVE que cont\u00e9m o estrago.<\/p>\n\n\n\n

Isolamento por site: a evolu\u00e7\u00e3o recente<\/h2>\n\n\n\n

Uma novidade que vale conhecer, porque muda o cen\u00e1rio para quem tem v\u00e1rios sites na mesma conta.<\/p>\n\n\n\n

O modelo tradicional isola contas<\/strong> umas das outras. Mas se voc\u00ea hospeda cinco sites dentro da mesma conta de hospedagem \u2014 algo comum em planos que permitem dom\u00ednios ilimitados \u2014, esses cinco compartilham o mesmo ambiente. Um deles comprometido pode alcan\u00e7ar os outros quatro.<\/p>\n\n\n\n

O CloudLinux introduziu recentemente o isolamento por site<\/strong>, que estende a l\u00f3gica da gaiola para cada site individualmente, e n\u00e3o apenas para cada conta. \u00c9 especialmente relevante para ag\u00eancias e revendedores, que costumam concentrar v\u00e1rios clientes numa mesma conta.<\/p>\n\n\n\n

Como saber se a sua hospedagem usa CageFS<\/h2>\n\n\n\n

Nem toda hospedagem compartilhada tem \u2014 o CloudLinux \u00e9 licenciado, tem custo por servidor, e \u00e9 uma das primeiras coisas que provedores muito baratos cortam.<\/p>\n\n\n\n

Como verificar:<\/strong><\/p>\n\n\n\n