Defaults.Exposed › Διορθώσεις › CDN / WAF και φιλοξενία

Πώς να διορθώσετε CDN / WAF και φιλοξενία

Δύο αναγνώσεις της υδραυλικής πίσω από τον ιστότοπό σας: αν κάθεστε πίσω από προστατευτική ασπίδα (CDN με Web Application Firewall, όπως Cloudflare) που φιλτράρει επιθέσεις και απορροφά κορυφές κίνησης, και χάρτης ποιος εκτελεί στ' αλήθεια το DNS, ιστότοπο και email σας. Και τα δύο είναι πληροφοριακά στη βαθμολογία μας — δεν μεταβάλλουν τη βαθμολογία σας — αλλά περιγράφουν πόσο εκτεθειμένος είναι ο origin server σας σε επίθεση και διακοπή.

Ουσία για την επιχείρησή σας: Ένας ιστότοπος χωρίς ασπίδα μπροστά παίρνει κάθε επίθεση και κάθε ακμή κίνησης απευθείας στον origin server — οπότε πλημμύρα bot, κύμα launch-day ή μία αυτοματοποιημένη επίθεση μπορεί να σας ρίξει εκτός σύνδεσης για ώρες. Η τοποθέτηση CDN/WAF μπροστά φιλτράρει τη συντριπτική πλειοψηφία αυτοματοποιημένων επιθέσεων, απορροφά κυματισμούς και επιταχύνει τον ιστότοπο παγκοσμίως. Και οι δύο έλεγχοι δεν αλλάζουν τη βαθμολογία σας — αλλά και οι δύο περιγράφουν πραγματική έκθεση σε διακοπή, χαμένες πωλήσεις και αργή, οδυνηρή ανάκτηση.

Τι μπορεί να σας κοστίσει αυτό

• Εκρηκτική κίνηση bot ή μικρή επίθεση DDoS χτυπά τον μη-ασπισμένο server σας το πρωί μιας μεγάλης προώθησης — ο ιστότοπος σέρνεται ή πέφτει, οι πελάτες παίρνουν σφάλματα στο checkout, και χάνετε τις πωλήσεις της ημέρας.
• Το DNS, ιστότοπος και email σας τρέχουν μέσω ενός παρόχου· αυτός ο πάροχος έχει διακοπή και ο ιστότοπος, το σύστημα κρατήσεων ΚΑΙ το email σας σβήνουν ταυτόχρονα.
• Μια αυτοματοποιημένη επίθεση ανιχνεύει τον ιστότοπό σας όλη τη νύχτα — SQL injection και login-guessing scripts που χτυπούν τον origin απευθείας επειδή δεν υπάρχει layer firewall για να τα φιλτράρει.
• Ένα συμβάν σκάει και κανείς δεν μπορεί να απαντήσει στη βασική ερώτηση 'ποιον τηλεφωνούμε;' — ώρες αιμορραγούν χαρτογραφώντας την υδραυλική ενώ ο ιστότοπος μένει κάτω.
• Η ομάδα ΙΤ υποψήφιου σας σαρώνει πριν υπογράψει και βλέπει γυμνό origin server χωρίς CDN/WAF.

Γιατί έχει σημασία. Και οι δύο έλεγχοι εδώ είναι πληροφοριακοί στη μεθοδολογία μας — εγγράφονται με μηδέν βαθμούς και δεν αλλάζουν ποτέ τη βαθμολογία σας — επειδή περιγράφουν την υποδομή σας παρά ελέγχουν ένα pass/fail έλεγχο ασφαλείας. Τα επιφανίζουμε επειδή χαρτογραφούν πραγματική επαγγελματική έκθεση. Ένας ιστότοπος χωρίς CDN/WAF παίρνει κάθε επίθεση και κύμα κίνησης στον origin απευθείας· η προσθήκη ενός (δωρεάν tier του Cloudflare είναι η κοινή οδός) είναι ένα από τα υψηλότερης-αξίας, χαμηλότερου-κόστους αναβαθμίσεις ανθεκτικότητας που μπορεί να κάνει μια μικρή επιχείρηση.

Με απλά λόγια

Κάθε ιστότοπος τρέχει σε έναν server κάπου. Η ερώτηση που απαντά αυτή η σελίδα είναι: τι υπάρχει μεταξύ ανοικτού internet και εκείνου του server — και ποιος εκτελεί στ’ αλήθεια τα κομμάτια της online παρουσίας σας;

Υπάρχουν δύο μέρη:

1. CDN / WAF — η ασπίδα μπροστά. Ένα CDN (Content Delivery Network) είναι παγκόσμιο δίκτυο που κάθεται μπροστά από τον ιστότοπό σας, σερβίρει το περιεχόμενό σας γρήγορα σε επισκέπτες παντού και απορροφά κυματισμούς κίνησης. Ένα WAF (Web Application Firewall) είναι filter που επιθεωρεί εισερχόμενα αιτήματα και μπλοκάρει τα κακόβουλα πριν φτάσουν στον server σας.

2. Φιλοξενία / χάρτης παρόχων — ποιος εκτελεί την υδραυλική σας. Διαβάζουμε τα δημόσια records που λένε ποιος χειρίζεται το DNS σας (τον κατάλογο που μετατρέπει το domain σας σε διεύθυνση) και ποιος χειρίζεται το email σας.

Το πιο σημαντικό πράγμα που πρέπει να γνωρίζετε εκ των προτέρων: στη βαθμολογία μας, και τα δύο είναι πληροφοριακά. Δεν επηρεάζουν τη βαθμολογία σας.

Τι μπορεί να σας κοστίσει

• Ρίξιμο εκτός σύνδεσης τη σημαντικότερη στιγμή. Ο ιστότοπός σας κάθεται στον origin server χωρίς τίποτα μπροστά. Το πρωί ενός launch ή μιας προώθησης, η κίνηση κορυφώνεται — ή μέτρια πλημμύρα bot χτυπά — και ο server δεν αντέχει. Οι σελίδες λήγουν, το checkout σφάλλει, και χάνετε τα έσοδα της ημέρας.

• Τα πάντα σκοτεινά ταυτόχρονα. DNS, ιστότοπος και email τρέχουν μέσω ενός παρόχου. Εκείνος ο πάροχος έχει διακοπή και ο ιστότοπος, το σύστημα κρατήσεων και το email σας εξαφανίζονται ταυτόχρονα. Δεν μπορείτε να επεξεργαστείτε παραγγελίες, και δεν μπορείτε καν να στείλετε email στους πελάτες.

• Ο κώδικάς σας παίρνει κάθε επίθεση απευθείας. Χωρίς WAF, κάθε αυτοματοποιημένη ανίχνευση — injection, login-guessing, γνωστές εκμεταλλεύσεις — χτυπά τον κώδικα εφαρμογής σας χωρίς φιλτράρισμα.

• Αργή, πανικόβλητη αντίδραση στο συμβάν. Κάτι σπάει και η πρώτη ώρα χάνεται σε «περιμένε, ποιος εκτελεί το DNS μας; Είναι το email στον ίδιο host;»

Τι είναι στην πραγματικότητα

CDN / WAF — το προστατευτικό layer

Πώς μοιάζει το «καλό»: ένα CDN/WAF ανιχνεύσιμο μπροστά από τον origin σας, και μια header Server που δεν διαφημίζει συγκεκριμένο αριθμό έκδοσης.

Φιλοξενία / χάρτης παρόχων

Το domain σας δείχνει αθόρυβα σε αρκετές διαφορετικές υπηρεσίες:

• DNS — ο κατάλογος που μετατρέπει yourbusiness.com στην πραγματική διεύθυνση server.
• Email — εκεί χειρίζεται το mail σας.

Πώς μοιάζει το «καλό»: τουλάχιστον DNS κατεχόμενο από έναν αξιόπιστο, αφιερωμένο πάροχο παρά συνδεδεμένο στον ίδιο λογαριασμό ως όλα τα άλλα.

Πώς να το διορθώσετε (δωρεάν, ~1 απόγευμα)

Δώστε αυτό στο ΙΤ άτομό σας ή web developer — η διόρθωση είναι δωρεάν. Η μόνη απόφαση του ιδιοκτήτη: ναι, βάλτε μια ασπίδα μπροστά από τον ιστότοπο.

1. Βάλτε CDN/WAF μπροστά από τον ιστότοπό σας

Η πιο κοινή, δωρεάν οδός είναι το Cloudflare:

1. Δημιουργήστε δωρεάν λογαριασμό Cloudflare και προσθέστε το domain σας.
2. Το Cloudflare διαβάζει τις υπάρχουσες εγγραφές DNS· ελέγξτε ότι εισήχθησαν σωστά.
3. Αλλάξτε τους nameservers του domain (στον registrar σας) στους δύο που σας δίνει το Cloudflare. Αυτή είναι η αλλαγή που δρομολογεί κίνηση μέσω Cloudflare.
4. Ορίστε λειτουργία SSL/TLS σε Full (strict) ώστε η κρυπτογράφηση να παραμένει end-to-end μεταξύ επισκέπτη → Cloudflare → origin σας.
5. Το CDN και baseline WAF είναι τώρα ενεργά.

Άλλες οδοί:

• AWS CloudFront — δημιουργήστε distribution που δείχνει στον origin σας· συνδυάστε με AWS WAF.
• Sucuri WAF — DNS-based, δεν απαιτεί αλλαγές στον server σας.

2. Σταματήστε να διαφημίζετε την έκδοση server

Nginx:

server_tokens off;

Apache:

ServerTokens Prod
ServerSignature Off

Αφαιρέστε υπερ-κοινόποιητική header X-Powered-By σε επίπεδο server ή CDN.

3. Ελέγξτε τον χάρτη παρόχων (προαιρετικό, ~10 λεπτά)

Γράψτε τον κατεβάστε — πάροχος DNS, web host, πάροχος email, registrar και στοιχεία σύνδεσης/υποστήριξης για καθένα. Αυτή η μία σελίδα είναι το πιο χρήσιμο πράγμα που μπορείτε να έχετε μπροστά σας κατά τη διάρκεια ενός συμβάντος.

Συνηθισμένα λάθη

• Λειτουργία γυμνού origin «επειδή ο ιστότοπος είναι μικρός». Μικροί ιστότοποι χτυπιούνται από τις ίδιες αυτοματοποιημένες επιθέσεις και πλημμύρες bot ως μεγάλοι. Το δωρεάν tier CDN/WAF υπάρχει ακριβώς για μικρούς ιστότοπους.
• Χρήση Cloudflare «Flexible» SSL. Εμφανίζει λουκέτο αλλά αφήνει τη σύνδεση μεταξύ Cloudflare και origin μη κρυπτογραφημένη. Πάντα χρησιμοποιείτε Full (strict).
• Κρατώντας στη cache τα λάθος πράγματα. Επιθετική αποθήκευση στη cache συνδεδεμένων σελίδων, καλαθιών ή checkouts μπορεί να δείξει σε έναν πελάτη το περιεχόμενο άλλου.
• Στοίβαγμα όλων σε έναν πάροχο χωρίς να το συνειδητοποιείτε. Η άνεση είναι εντάξει αν είναι συνειδητή επιλογή — αλλά πολλές επιχειρήσεις ανακαλύπτουν ότι DNS, web και email μοιράζονται έναν λογαριασμό μόνο κατά τη διάρκεια της διακοπής.
• Αφήνοντας την έκδοση server εμφανή. Είναι δωρεάν, μία-γραμμή σκλήρυνση.

Σημείωση για τη βαθμολογία

Για να είμαστε εντελώς σαφείς: κανένα από αυτά τα δύο δεν επηρεάζει τη βαθμολογία σας. Τα επιφανίζουμε επειδή χαρτογραφούν πραγματική έκθεση σε διακοπή, επίθεση και αργή ανάκτηση συμβάντος — και επειδή η προσθήκη δωρεάν CDN/WAF είναι μια από τις αναβαθμίσεις ανθεκτικότητας με τη μεγαλύτερη αξία που μπορεί να κάνει μια μικρή επιχείρηση. Αν δεν κάνετε τίποτα εδώ, η βαθμολογία σας είναι αναλλοίωτη.

Συχνές Ερωτήσεις