Waarom ’n VPN jou ontwikkelaarvoorskou nie veilig maak om te deel nie

Om ’n prototipe agter ’n VPN te plaas voel privaat, so die enigste oorblywende vraag lyk soos wie die profiel kry. Daardie aanname faal op ’n spesifieke manier: ’n tonnel beheer wie ’n gasheer kan bereik, nie wat die gasheer openbaar sodra hulle daar aankom nie. Die voorskou loop steeds ’n looptyd, hou data, en roep integrasies aan wat werklike e-pos kan stuur of na ’n werklike databasis kan skryf. Behandel die VPN as die voordeur en ontwerp dan die kamer daar agter.

’n Roete is nie ’n gehoor nie

Om ’n tester by die VPN in te skryf, antwoord presies een vraag: kan hierdie toestel die adres bereik? Dit sê niks oor watter bladsye, API's of konsoles daardie toestel mag gebruik nie. Dit is aparte regte, en ’n poort wat net van adresse weet, kan dit nie afdwing nie.

Skryf die voorskoukontrak as ’n kort lys: gasheernaam, luisteraar, toegelate bewerkings, en wie elke rol hou. Kontroleer dan of die lys ooreenstem met wat werklik blootgestel is.

’n Tester wat die prototipe kan oopmaak, het nie die ontplooiingskonsol, die databasis-adminbladsy of die ontwikkelaar se tuisgids nodig nie. As die poort ’n subnetroete toestaan, is elkeen van daardie dinge by verstek bereikbaar. Verkies ’n roete per bestemming, of plaas die ekstra dienste agter hul eie verifikasie. Enige keuse vernou wat ’n gesteelde profiel kan doen.

Die looptyd wat jy deel, is deel van die kontrak

’n Ontwikkelingsbediener met ’n ontfouter en outomatiese herlaai is ’n hulpmiddel vir een persoon op een masjien. Raamwerkdokumentasie is reguit hieroor: Flask se ontplooiingsgids sê sy ontwikkelingsbediener en ontfouter is nie vir produksie nie, en dit reken private of enkelgebruiker-dienste ook as produksie. Dieselfde redenasie geld vir enige raamwerk met ’n herlaaier en ’n interaktiewe foutbladsy. Geriefsgeriewe is ontwerp om die lus tussen die stoor van ’n lêer en die sien van ’n verandering te verkort, nie om ’n tester te trotseer wat jy nie beheer nie.

’n Interaktiewe terugsporing is ’n inligtinglek en, in sommige ontfouters, ’n oppervlak vir kode-uitvoering. Hou dit weg van die voorskou, of beperk die voorskou tot ’n bou wat dit nie kan aktiveer nie. As testers diagnostiek nodig het, gee hulle logs eerder as ’n konsol.

’n Wildcard-luisteraar is die ander helfte van hierdie fout. Bind aan elke koppelvlak stel die diens bloot op netwerke wat jy nie bedoel het nie, insluitend die koffiewinkel se Wi-Fi.

Gebruik weggooirekeninge en data sonder werklike newe-effekte

Gebruik rekeninge wat vir toetsing geskep is en data wat niemand in die verleentheid kan bring nie. Die gevaarlike deel is selde die databasisry; dit is die integrasie agter die knoppie. E-pos, betalings, SMS, webhakies en lêeruitvoer bereik almal buite die voorskou.

Lys elke uitgaande effek wat die prototipe kan veroorsaak, rig dan elkeen na ’n sandput of deaktiveer dit. ’n Private roete maak nie ’n lewendige betalingspunt skadeloos nie.

Produksie-geloofsbriewe is dieselfde probleem in ’n ander vorm. ’n Voorskou wat die produksie-API-sleutel erf om opstellingstyd te bespaar, is ’n produksiestelsel met ’n ontfout-koppelvlak. Skep geloofsbriewe met die kleinste nuttige regte. Roteer hulle wanneer die voorskou eindig, want ’n herroepte voorskou met lewende sleutels is steeds lewendig.

Kontroleer die bladsy, die bates en die sok

’n Bladsy wat lewer, is nie ’n voorskou wat werk nie. Die HTML mag laai terwyl ’n bate-gasheer, ’n API of ’n WebSocket steeds na ’n URL wys wat die tester nie kan bereik nie. Elkeen daarvan is ’n aparte inskrywing in die kontrak.

Vanaf ’n goedgekeurde toestel, versoek die bladsy en die grootste bate afsonderlik:

curl -sS -o /dev/null -w "%{http_code}" https://preview.staging.example/
curl -sS -o /dev/null -w "%{http_code}" https://preview.staging.example/assets/app.js

Kyk dan na die blaaierkonsol tydens ’n werklike interaksie en bevestig dat die lewendige-herlaai-sok verbind. As dit nie doen nie, is die regstelling ’n doelbewuste roete vir daardie eindpunt, nie ’n reël wat verbreed tot die bladsy volledig lyk nie.

Onttrek die voorskou op ’n datum, nie op geheue nie

Gee die voorskou ’n eienaar en ’n einddatum op die oomblik dat jy dit skep. Wanneer die datum aanbreek, verwyder die inskrywing, die tester-identiteite en die tydelike geloofsbriewe deur watter konfigurasie dit ook al besit. ’n Vergete voorskou is hoe ’n private prototipe ’n permanente openbare een word.

Verifieer die onttrekking van buite: die gasheernaam moet ophou oplos of ophou antwoord vir nie-goedgekeurde kliënte.

Hou die bron en die herstelnotas, maar nie die terugval nie. Die toets van ’n goeie voorskougrens is vervelig: ’n goedgekeurde toestel kan die vereiste aksies doen, en ’n nie-goedgekeurde identiteit kan nie. Dieselfde moet geld nadat die tonnel afgeskakel is. Daardie resultaat is meer werd as ’n VPN-ikoon langs ’n prototipe wat met elke ontwikkelingsfunksie aangeskakel loop.