O edge da Google, explicado
Este mês a porta de entrada da frota mudou-se. Cada pedido a cada aplicação que alojamos entra agora por um único edge global — o da Google — antes de tocar um servidor de aplicação. Dois artigos anteriores mencionavam peças disto (a nossa base WAF, a escolha de regiões); esta é a imagem completa do que um pedido atravessa a caminho de dentro.
Uma porta de entrada para toda a frota
Cada domínio que servimos resolve para endereços dedicados no balanceador global da Google: o visitante liga-se ao ponto de presença da Google mais próximo e viaja daí pela própria rede da Google. Os certificados são emitidos e rodados pela Google, o transporte estrito (HSTS) está ativo, e todo o edge é configuração declarada — revista, versionada e reproduzível, como tudo o resto na plataforma.
O ataque mais barato de sobreviver é o que nunca chega até si.
Inspecionado antes de chegar
À frente de cada aplicação está a mesma armadura. Um banimento por taxa protege cada login — cinco tentativas num minuto custam ao endereço dez minutos de castigo — e um guarda de consultas descarta pedidos com padrões óbvios de injeção antes de chegarem à aplicação. Os conjuntos de regras OWASP pré-configurados da Google avaliam cada pedido em paralelo, e os webhooks de pagamento estão deliberadamente excluídos da filtragem por padrões: autenticam-se pela assinatura do fornecedor — porque uma regra que não distingue um pagamento real de um ataque é uma regra que parte a sua faturação.
Nomes assinados, portas guardadas
Os próprios endereços fazem agora parte do perímetro: os nossos quinze domínios vivem no Google Cloud DNS e cada zona está assinada com DNSSEC — um resolver pode por isso verificar que fala com a zona genuína e não com um impostor. As nossas superfícies de operação — os painéis da frota, até o SSH para as máquinas — abrem apenas a identidade Google verificada, nunca a uma palavra-passe na internet aberta. E o que fica anónimo é exatamente o que declarámos anónimo: endpoints de saúde e webhooks de pagamento, listados no registo da frota, nada mais.
