Portainer na VPS: como gerenciar o Docker pelo navegador

Aprenda a instalar o Portainer CE na VPS com os comandos oficiais, entender as portas, fazer o primeiro acesso, atualizar e proteger o painel do Docker.

Por Redação Eleven Host · @robson.direitodigital · 31 de outubro de 2026 · 9 min de leitura

O Portainer é um painel web que você instala na sua VPS para ver e gerenciar containers, imagens, volumes e stacks do Docker pelo navegador, sem decorar comandos. A própria documentação resume a ideia: ele esconde a complexidade de gerenciar contêineres atrás de uma interface fácil de usar.

Este guia mostra o que o Portainer é, o que você precisa antes de começar (veja também o guia de servidor VPS para iniciantes), como instalar a edição CE com os comandos oficiais, o que fazem as portas 9443, 8000 e 9000, como fazer o primeiro acesso, o que dá para fazer no painel, como atualizar e quais cuidados tomar com segurança. Os endereços dos exemplos são fictícios.

O que é o Portainer e para quem serve

Segundo a documentação, a Community Edition (CE) é a opção gratuita e de código aberto, voltada a usuários domésticos e entusiastas. A Business Edition (BE) é o produto para empresas e organizações, é licenciada e cita, entre os recursos, controle de acesso por função (Role-Based Access Control), gerenciamento de registry e suporte dedicado. A CE não traz todos os recursos da BE, e a comparação completa fica numa página do site do projeto.

Este guia usa a CE, que serve para quem já roda aplicações em Docker e quer enxergar tudo em uma tela: quais containers estão ligados, quais imagens existem, onde ficam os volumes e como estão as stacks (conjuntos de serviços descritos em um arquivo do tipo Compose).

Na página de lançamentos do projeto, a versão marcada como mais recente é a 2.45.3 LTS, de 21 de outubro. A documentação trabalha com duas trilhas, LTS e STS, e os comandos deste guia usam a tag lts.

Antes de começar

A página de instalação da CE no Linux pede o seguinte:

• A versão mais recente do Docker instalada e funcionando.
• Acesso sudo na máquina que vai hospedar o Portainer.
• Docker rodando como root. Com Docker rootless, a documentação diz que o Portainer tem limitações e exige configuração adicional.

A mesma página desaconselha instalar o Docker via snap em distribuições Ubuntu. Ela também supõe que o SELinux esteja desligado; se ele for necessário, a orientação é acrescentar a opção --privileged ao comando.

Se você ainda não usa Docker Compose, o guia Docker Compose: como usar na VPS, passo a passo mostra como usar o Docker Compose na VPS, o que ajuda a entender as stacks do Portainer mais adiante.

Instalar o Portainer CE com Docker

A documentação traz três comandos para o Docker standalone. O primeiro cria o volume onde o Portainer guarda os dados:

docker volume create portainer_data

O segundo sobe o contêiner do Portainer Server:

docker run -d -p 8000:8000 -p 9443:9443 --name portainer --restart=always -v /var/run/docker.sock:/var/run/docker.sock -v portainer_data:/data portainer/portainer-ce:lts

O terceiro confere se o contêiner está de pé:

docker ps

O que cada parte do segundo comando faz:

• -p 9443:9443: expõe a interface web.
• -p 8000:8000: expõe o túnel usado por agentes Edge (veja a seção das portas).
• --restart=always: define a política de reinício do contêiner como always.
• -v /var/run/docker.sock:/var/run/docker.sock: dá ao Portainer o acesso ao Docker da máquina.
• -v portainer_data:/data: guarda os dados do Portainer no volume criado antes.
• portainer/portainer-ce:lts: a imagem da edição CE, na trilha LTS.

Alternativa com Docker Compose

A documentação também oferece um arquivo Compose, que você baixa em https://downloads.portainer.io/ce-sts/portainer-compose.yaml e sobe com:

docker compose -f portainer-compose.yaml up -d

O arquivo usa o volume portainer_data e as portas 9443 e 8000. Confira dentro dele a tag da imagem antes de subir, porque o arquivo é mantido pelo projeto e pode trazer uma tag diferente da usada no comando acima.

As portas 9443, 8000 e 9000

Cada porta tem um papel diferente:

• 9443: por padrão, o Portainer Server expõe a interface web nesta porta, em HTTPS. Desde a CE 2.9 e a BE 2.10, o HTTPS vem ativado por padrão na 9443.
• 8000: um túnel TCP usado pelos recursos Edge com agentes. É opcional e só é necessária se você pretende usar esses recursos. Na página de atualização, a documentação diz que, se você não precisa dela, pode removê-la do comando. No arquivo Compose oficial, a linha dela traz o comentário "Remove if you do not intend to use Edge Agents".
• 9000: era a porta HTTP antiga e só existe por razões de compatibilidade. Ela não vem aberta: para tê-la, é preciso acrescentar -p 9000:9000 ao comando.

Sobre o certificado, a documentação informa que o Portainer gera e usa por padrão um certificado SSL autoassinado para proteger a 9443. Dá para usar um certificado próprio, na instalação ou depois, pela interface.

Primeiro acesso e conta de administrador

Com o contêiner no ar, abra no navegador o endereço da porta 9443, por exemplo https://203.0.113.10:9443 (troque pelo endereço do seu servidor) ou https://localhost:9443 se estiver na própria máquina. Como o certificado é autoassinado, o navegador pode mostrar um alerta; isso é uma dica deste guia, e não texto da documentação.

O primeiro usuário criado é o administrador. O nome padrão é admin e pode ser trocado. A senha precisa ter pelo menos 12 caracteres e cumprir os requisitos listados na tela. Segundo a página de configuração, o token de setup fica nos logs do Portainer Server, na linha que começa com setup_token=, e você vê os logs com docker logs seguido do nome do contêiner:

docker logs portainer

Se o prazo passar, a correção oficial é parar e iniciar o contêiner, o que dá mais 5 minutos:

docker stop portainer

docker start portainer

Se o problema persistir, a documentação manda remover o contêiner com docker rm portainer e rodar de novo o docker run original. O prazo afeta o serviço, e não apaga dados. Se a mensagem aparecer numa instalação que já funcionava, confira se o volume portainer_data está montado.

O que dá para fazer no painel

Num Docker standalone, as áreas relevantes são Containers, Images, Networks, Volumes e Stacks. A documentação lista ainda Dashboard, Templates, Events e Host entre os menus do ambiente Docker.

Containers

Pelo painel você cria um container (botão Add container), vê os detalhes, inspeciona, edita ou duplica, configura webhooks, anexa volumes, remove e consulta os logs, as estatísticas e o console.

Stacks

A documentação descreve quatro jeitos de criar uma stack nova: no editor web, usando o formato docker-compose; enviando um arquivo stack.yml; a partir de um repositório Git, com GitOps opcional; e por um template personalizado. No Docker standalone, a stack aceita o env_file apontando para stack.env.

Um exemplo de outra ferramenta que roda em Docker é o monitor descrito em Uptime Kuma na VPS: como monitorar se o site caiu. Com o Portainer instalado, você vê esse container na lista junto com os demais.

VPS a partir de R$ 17,00/mês no Plano Bronze; confira na loja o que cada plano inclui. Quer conhecer a VPS da Eleven Host? Conhecer a VPS

Atualizar o Portainer

A página de atualização recomenda, antes de qualquer atualização, fazer um backup da configuração atual do Portainer. Depois, para a CE no Docker, os passos oficiais são:

docker stop portainer

docker rm portainer

docker pull portainer/portainer-ce:lts

docker run -d -p 8000:8000 -p 9443:9443 --name=portainer --restart=always -v /var/run/docker.sock:/var/run/docker.sock -v portainer_data:/data portainer/portainer-ce:lts

O contêiner novo usa o mesmo volume portainer_data, onde ficam os dados. Se você não usa a porta 8000, pode tirar -p 8000:8000 do comando.

Duas observações da mesma página: quem está na versão 1.x deve atualizar antes para a 2.0.0 e só depois para a mais nova, e a versão do agente tem de acompanhar a versão do Portainer Server.

Cuidados de segurança

O comando de instalação monta o /var/run/docker.sock dentro do contêiner. Esse arquivo é o canal de controle do Docker da máquina. A documentação do Docker explica que o daemon exige privilégios de root, que somente usuários confiáveis devem poder controlá-lo e que o compartilhamento de pastas permite a um contêiner alterar o sistema de arquivos do host sem restrição. Por isso, trate o acesso ao Portainer como acesso de alto nível à sua VPS. Esse alerta vem da documentação do Docker, e não da página de instalação do Portainer.

Num texto do site do Portainer, de março de 2022 (portanto antigo), o projeto diz que expor o Portainer à internet deve ser feito com cuidado e com controles de segurança, que ele tem, em muitos casos, controle próximo ao de root sobre a infraestrutura, e que vale considerar uma VPN antes. As recomendações do texto incluem:

• usar HTTPS na porta 9443;
• não expor a porta 9000 (HTTP);
• aplicar restrições de firewall se o Portainer estiver acessível pela internet;
• usar senhas longas e complexas.

Em resumo, evite abrir a 9443 para toda a internet. Limite no firewall os endereços que podem acessá-la. Se você publicar o painel por um domínio com proxy reverso, o guia Instalar Nginx no Ubuntu: passo a passo na VPS mostra a instalação do Nginx.

Próximos passos no painel

Com o Portainer no ar, a documentação mostra quatro jeitos de publicar uma stack: o editor web no formato do Docker Compose, o envio de um arquivo, um repositório Git ou um template personalizado.

Precisa de um servidor para os seus containers? VPS a partir de R$ 17,00/mês no Plano Bronze; confira na loja o que cada plano inclui. Ver a VPS

Perguntas frequentes

O que é o Portainer?

É um painel web para gerenciar containers, imagens, volumes e stacks do Docker por uma interface gráfica, sem digitar cada comando.

O Portainer CE é gratuito?

Segundo a documentação, a Community Edition é a opção gratuita e de código aberto. A Business Edition é licenciada.

Em qual porta fica o painel do Portainer?

Por padrão, na porta 9443, em HTTPS. A 8000 é opcional e serve aos agentes Edge, e a 9000 (HTTP) não vem aberta.

Por que o Portainer parou de responder logo após instalar?

Se a configuração inicial não for concluída em 5 minutos, o serviço para dentro do contêiner. Rode docker stop portainer e docker start portainer para ganhar mais 5 minutos.

Perco meus dados ao atualizar?

No procedimento oficial, o contêiner é removido e recriado com o mesmo volume portainer_data, e a documentação recomenda fazer um backup da configuração antes.