Die Google-Edge, erklärt
Diesen Monat ist die Haustür der Flotte umgezogen. Jede Anfrage an jede von uns gehostete Anwendung betritt jetzt eine einzige globale Edge — die von Google — bevor sie einen Anwendungsserver berührt. Zwei frühere Beiträge erwähnten Teile davon (unsere WAF-Grundlinie, die Wahl der Regionen); hier ist das vollständige Bild dessen, was eine Anfrage auf dem Weg nach innen durchquert.
Eine Haustür für die ganze Flotte
Jede Domain, die wir bedienen, löst auf dedizierte Adressen am globalen Load Balancer von Google auf: Besucher verbinden sich mit dem nächstgelegenen Google-Präsenzpunkt und reisen von dort über Googles eigenes Netz. Zertifikate stellt Google aus und rotiert sie, striktes Transport-TLS (HSTS) ist aktiv, und die gesamte Edge ist deklarierte Konfiguration — geprüft, versioniert und reproduzierbar, wie alles andere auf der Plattform.
Der billigste Angriff, den man übersteht, ist der, der nie ankommt.
Geprüft, bevor sie ankommt
Vor jeder Anwendung steht dieselbe Rüstung. Ein ratenbasierter Bann schützt jeden Login — fünf Versuche in einer Minute kosten die Adresse zehn Minuten Auszeit — und ein Query-Wächter verwirft Anfragen mit offensichtlichen Injektionsmustern, bevor sie die Anwendung erreichen. Googles vorkonfigurierte OWASP-Regelsätze bewerten parallel jede Anfrage, und Zahlungs-Webhooks sind bewusst vom Musterabgleich ausgenommen: Sie authentifizieren sich über die Signatur des Anbieters — denn eine Regel, die eine echte Zahlungsnachricht nicht von einem Angriff unterscheiden kann, ist eine Regel, die Ihren Umsatz kaputtmacht.
Signierte Namen, bewachte Türen
Auch die Adressen selbst gehören jetzt zum Perimeter: Unsere fünfzehn Domains leben auf Google Cloud DNS, jede Zone ist DNSSEC-signiert — ein Resolver kann also prüfen, dass er mit der echten Zone spricht und nicht mit einem Hochstapler. Unsere eigenen Betriebsflächen — die Panels der Flotte, selbst SSH auf die Maschinen — öffnen sich nur für verifizierte Google-Identität, nie für ein Passwort im offenen Internet. Und anonym bleibt genau das, was wir als anonym deklariert haben: Health-Endpunkte und Zahlungs-Webhooks, gelistet im Flottenregister, sonst nichts.
