nginx com 5xx acima de 5% em um host

Item	Detalhe
Serviço afetado	nginx
Severidade	crítico
Dispara quando	Mais de 5% das respostas de um host são 5xx por 5 minutos, com tráfego acima de 0,05 req/s (o piso evita disparar com uma requisição só).

O que representa

Os usuários desse host estão recebendo erro. Vale 502, 503 e 504 (o serviço por trás caiu, travou ou está lento). Atenção: o limit_req do nginx também responde 503; um IP abusivo pode disparar este alerta sem nenhuma falha do serviço.

Como verificar no Grafana

• Dashboard nginx, aba Erros: 5xx por host, Taxa de erro por host (%), Upstream por código e Top rotas com 5xx.
• Aba Segurança, painel Limites do nginx (limit_req) no log de erro: se há limiting requests do mesmo horário, o 503 é o limite.
• Explore → Loki, 503 por IP: sum by (ip) (count_over_time({container="nginx"} | pattern `<ip> - <_> [<_>] "<host>" "<method> <path>" <status> <bytes> "<_>" "<ua>" <rt>` | status="503" [10m]))

Como agir

1. 503 concentrado em um IP (a maioria dos casos): é abuso barrado pelo limite; veja nginx-limit-req e bloqueie o IP se continuar.
2. 5xx espalhado entre IPs: o problema é o serviço do host. Veja o container dele (docker ps, docker logs --tail 200 <container>) e o dashboard do serviço (Aliança API, Billing API, Vault).
3. Se o serviço caiu, o alerta próprio dele (down, /readyz) também disparou: siga a página dele.

Se for ataque ou incidente real

Se o 5xx vem de um IP que varre o host:

1. Adicione deny <ip>; (ou a faixa, deny <ip>/24;) no server do host atingido, em nginx/conf/ do repositório reverse-proxy.
2. Urgente: aplique na VM e recarregue com docker exec nginx nginx -s reload; depois abra o PR com a mesma mudança (deploy é manual).

Casos conhecidos

Em 18/10/2026 o host vault.coderoom.com.br passou de 5%: um único IP (104.199.86.11) varreu o host em 36 segundos e levou 103 respostas 503 do limit_req. O Vault estava saudável.