L'edge di Google, spiegato
Questo mese la porta d'ingresso della flotta ha traslocato. Ogni richiesta verso ogni applicazione che ospitiamo entra ora da un unico edge globale — quello di Google — prima di toccare un server applicativo. Due post precedenti ne citavano dei pezzi (la nostra base WAF, la scelta delle regioni); questa è l'immagine completa di ciò che una richiesta attraversa entrando.
Una porta d'ingresso per tutta la flotta
Ogni dominio che serviamo risolve verso indirizzi dedicati sul bilanciatore globale di Google: il visitatore si connette al punto di presenza Google più vicino e da lì viaggia sulla rete di Google stessa. I certificati li emette e li ruota Google, il trasporto strict (HSTS) è attivo, e l'intero edge è configurazione dichiarata — revisionata, versionata e riproducibile, come tutto il resto della piattaforma.
L'attacco più economico a cui sopravvivere è quello che non ti raggiunge mai.
Ispezionata prima di arrivare
Davanti a ogni applicazione c'è la stessa armatura. Un ban a tasso protegge ogni login — cinque tentativi in un minuto costano all'indirizzo dieci minuti di sospensione — e un guardiano delle query scarta le richieste con evidenti pattern di injection prima che raggiungano l'applicazione. I set di regole OWASP preconfigurati di Google valutano in parallelo ogni richiesta, e i webhook di pagamento sono esclusi di proposito dal filtro a pattern: si autenticano con la firma del provider — perché una regola che non distingue un pagamento vero da un attacco è una regola che rompe il tuo fatturato.
Nomi firmati, porte custodite
Anche gli indirizzi ora fanno parte del perimetro: i nostri quindici domini vivono su Google Cloud DNS e ogni zona è firmata DNSSEC — un resolver può quindi verificare di parlare con la zona autentica e non con un impostore. Le nostre superfici operative — i pannelli della flotta, perfino l'SSH verso le macchine — si aprono solo a identità Google verificata, mai a una password sull'internet aperto. E ciò che resta anonimo è esattamente ciò che abbiamo dichiarato anonimo: gli endpoint di health e i webhook di pagamento, elencati nel registro della flotta, nient'altro.
