L'edge Google, expliqué
Ce mois-ci, la porte d'entrée de la flotte a déménagé. Chaque requête vers chaque application que nous hébergeons passe désormais par un seul edge global — celui de Google — avant de toucher un serveur d'application. Deux billets précédents en mentionnaient des morceaux (notre socle WAF, le choix des régions) ; voici l'image complète de ce qu'une requête traverse en entrant.
Une porte d'entrée pour toute la flotte
Chaque domaine que nous servons résout vers des adresses dédiées sur le répartiteur global de Google : le visiteur se connecte au point de présence Google le plus proche et voyage ensuite sur le réseau de Google lui-même. Les certificats sont émis et renouvelés par Google, le transport strict (HSTS) est actif, et tout l'edge est de la configuration déclarée — relue, versionnée et reproductible, comme tout le reste de la plateforme.
L'attaque la moins chère à survivre est celle qui ne vous atteint jamais.
Inspectée avant d'arriver
Devant chaque application se dresse la même armure. Un bannissement par taux protège chaque login — cinq tentatives en une minute valent à l'adresse dix minutes de pénalité — et un garde des requêtes écarte celles qui portent des motifs d'injection évidents avant qu'elles n'atteignent l'application. Les jeux de règles OWASP préconfigurés de Google évaluent chaque requête en parallèle, et les webhooks de paiement sont délibérément exclus du filtrage par motifs : ils s'authentifient par la signature du fournisseur — car une règle incapable de distinguer un vrai paiement d'une attaque est une règle qui casse votre chiffre d'affaires.
Des noms signés, des portes gardées
Les adresses elles-mêmes font désormais partie du périmètre : nos quinze domaines vivent sur Google Cloud DNS et chaque zone est signée DNSSEC — un résolveur peut donc vérifier qu'il parle à la zone authentique et non à un imposteur. Nos propres surfaces d'exploitation — les panneaux de la flotte, jusqu'au SSH vers les machines — ne s'ouvrent qu'à une identité Google vérifiée, jamais à un mot de passe sur l'internet ouvert. Et ce qui reste anonyme est exactement ce que nous avons déclaré anonyme : les endpoints de santé et les webhooks de paiement, listés dans le registre de la flotte, rien d'autre.
