DEV Community: Hello Web!

מה זה Authenticated Origin Pulls ואיך זה מגן על האתר שלי

Hello Web! — Wed, 31 Jul 2024 07:18:42 +0000

‫Cloudflare היא חברת אינטרנט ענקית, ש-20% מהאינטרנט "עובר דרכה". הם הפכו פופולריים במיוחד מכיוון שהם מספקים שירותים חינמיים שבדרך כלל עלו אלפי דולרים. הכוונה כמובן להגנה מהתקפות מבוזרות על האתרים שלכם, וגם איחסון (cache) קבצים סטאטיים על השרתים שלהם, שמורידים את העומס על האתר שלכם. מי לא ירצה, ובחינם?

‫הם מסבירים את היכולות להציע את השירותים האלה בחינם, מאחר שהם כבר פתרו את הבעיות האלה ללקוחות הגדולים והכבדים שלהם, ולהוסיף עוד אתר על הדרך, לא עולה להם הרבה. כנל לגבי הקאש, משהו בסגנון של, להקים דאטאסנטר עולה כמה מליונים, ואחרי זה לא עולה כלום. מאחר שכבר יש להם את התשתית, להוסיף לקוחות אחרים לא פוגע בהם הרבה. היו מספר מקרים שלקוחות חויבו לעבור לתוכניות אנטרפרייס בעלות מתאימה לשם, אבל בנתיים הרוב המוחלט של הלקוחות מרוצים.

‫ב2019 החברה הונפקה אז ייתכן שהלחץ להרוויח יגדל עם הזמן, אבל בכל מקרה, לא על זה רציתי לדבר איתכם היום...

‫Cloudflare מגינה על האתר שלכם על ידי כך שכל התקשורת עוברת דרכם, והלקוחות קצה לא מדברים ישירות עם הIP של האתר שלכם. לכן יש חשיבות למנוע ממי שלא צריך, לדעת מה הכתובת IP האמיתית של האתר שלכם. הבעיה היא שהיום להריץ חיפוש על כל כתובות הIP שיש זה כבר לא מדע בדיוני, ורוב הסיכויים שכבר עכשיו כל כמה שניות מישהו מנסה להתחבר לשרת שלכם, בשיטת מצליח. בפרויקט שלנו, אתר הכרויות, אבטחה האתר המידע של הלקוחות היא בחשיבות עליונה, לכן אנו תמיד עוקבים אחר הפתרונות שהספקים ממליצים ליישם.

‫הגישה הנאיבית - לחסום את כל מי שלא מ Cloudflare

‫זאת אופציה דיי פופולרית, וניתן לקבל את כל הכתובות של CF כאן: https://www.cloudflare.com/ips

‫אפשר לעשות את החסימה ברמת הלינוקס דרך iptables או ufw, או ברמת הפרוקסי (nginx), אבל עדיף להשתמש בחומת אש שהיום כל שירות ענן מציע ולחסוך מהשרת שלכם עבודה מיותרת.

‫הפתרון הזה אומנם יאפשר רק לרשת של CF לגשת לאתר שלכם, אבל יש איתו בעיה.

‫מאחר שבעצם כל אחד יכול להרשם ולהשתמש בשירותים של CF. שום דבר לא ימנע ממישהו לכוון את הדומיין שהוא קנה לIP מסוים דרך CF, אפילו אם זה IP לא שלו, ולראות האם יש תגובה. וגם יש את שאר השירותים הנוספים, כמו workers, tunnels וכו', כולם יראו לאתר שלכם כאילו הם באים מהרשת הפנימית של CF.

‫לכן כדאי בנוסף להגדיר שהאתר שלכם לא יגיב אם הHost לא תואם לאתר שלכם, או למשל לבדוק האם יש את הההאדר של cf-worker וכו'.

‫אבל יש פתרון יותר טוב.

‫Authenticated Origin Pulls - מה זה

‫הפיצר הזה מאפשר לנו בעזרת mTLS לוודא שאנחנו מדברים עם ה"חשבון" שלנו ברשת הפנימית של CF.

‫כולנו כבר מכירים TLS, הפרוטוקול הצפנה שמאבטח את האתרים של כולנו, נותן את אייקון המנעול. ומאפשר לנו לוודא שאנחנו מדברים עם האתר הנכון.

‫mTLS מוסיף שלב נוסף, בדיקה נוספת, בשביל לוודא גם את הצד השני.

‫זאת אומרת שצריך זוג מפתחות נוסף - פרטי ופומבי, את הפומבי במקרה הזה אנחנו משאירים לנו, ואת הפרטי נותנים לCF. המפתח יכול להיות משויך ברמת Hostname ספציפי, או לכל הZONE של הדומיין שלנו.

‫ככה אם מישהו חיצוני ינסה לתקשר ישירות עם הIP שלנו, בלי קשר אם הוא מהרשת הפנימית או לא, הוא לא יצליח להוכיח את הזהות שלו.

‫החסרון היחיד כרגע הוא שאין אפשרות להפעיל את האפשרות הזאת דרך הממשק באתר, וצריך לבצע מספר בקשות דרך הAPI.

‫בנוסף הCertificate צריך להיות חתום עם CA - אפשרי CA שיצרנו לבד.

‫עם זאת, השיטה הזאת סוגרת את כל הפינות, וגם מקלה על התחזוקה מאחר שלא צריך לעקוב אחר שינויים ברשימת הIP של CF. להגנה מלאה ניתן לשלב גם את החסימות הקודמות.

Почта на своем домене – выбор провайдеров для малого бизнеса

Hello Web! — Wed, 29 May 2024 14:19:38 +0000

Одним из важных аспектов присутствия в Интернете является ваш адрес электронной почты. Собственный домен электронной почты не только добавляет элегантности вашему общению, но и помогает завоевать доверие ваших клиентов и заказчиков.

Получать электронную почту может быть легко, вам следует выбирать своего провайдера в зависимости от того, как часто вам нужно отвечать или отправлять исходящие электронные письма, а также от количества людей, которые будут иметь доступ к вашей корпоративной электронной почте.

1. Cloudflare

Cloudflare — компания, занимающаяся производительностью и безопасностью веб-сайтов, которая предоставляет набор продуктов и услуг, помогающих предприятиям и частным лицам повысить скорость, безопасность и надежность своих веб-сайтов и приложений. Cloudflare, основанная в 2009 году, стала одной из самых популярных сетей доставки контента (CDN) в мире.

Стоимость: бесплатно.

Вы можете легко настроить маршрутизацию электронной почты, чтобы перехватывать любую входящую электронную почту и перенаправлять ее на вашу личную электронную почту.

С исходящими электронными письмами все сложнее. Вы можете отправлять электронные письма бесплатно через партнерство MailChannels, но это требует некоторых навыков программирования и больше предназначено для транзакционных писем.

2. AWS SES

Amazon Web Services (AWS) — это комплексная платформа облачных вычислений, предоставляемая Amazon. AWS предлагает широкий спектр услуг, включая вычислительную мощность, хранилище, базы данных, аналитику, машинное обучение и многое другое.

Стоимость:
Исходящие электронные письма 0,10$ за 1000 писем.
Входящие электронные письма 0,10$ за 1000 писем.

В течение первого года до 3000 писем в месяц бесплатны. В любом случае, настройка SES требует значительных технических навыков, и вероятность того, что ваше письмо попадет в спам, очень высока. Рекомендуется только в том случае, если вы уже планируете использовать AWS.

3. iCloud Mail

iCloud от Apple — это облачное хранилище и служба облачных вычислений, предоставляемая Apple Inc., которая позволяет пользователям хранить и получать доступ к своим данным, включая файлы, фотографии, музыку и многое другое, с любого устройства, подключенного к Интернету.

Стоимость: 1$/месяц.

Чтобы использовать собственный домен с iCloud, вам необходимо иметь iCloud+, цены меняются в зависимости от региона. Можно добавить до 5 пользователей. Оплата На данный момент недоступна в России.

4. Zoho

Компания-разработчик программного обеспечения, предлагающая набор бизнес-приложений для различных отраслей. Компания была основана в 1996 году и с тех пор стала одним из ведущих поставщиков облачных бизнес-решений, популярных в Азии и Африке.

Стоимость: бесплатно, 1 домен, до 5 пользователей.

5. Google Workspace

Набор облачных программных решений для повышения производительности, разработанный Google. Он предлагает ряд инструментов, призванных помочь отдельным лицам и организациям сотрудничать, общаться и работать более эффективно.

Стоимость: $6/месяц.

6. Microsoft 365 Business

Облачный пакет программного обеспечения для повышения производительности, разработанный Microsoft. Он объединяет функциональность решений Office 365, Windows 10 Enterprise и Enterprise Security & Mobility в один интегрированный пакет. Эта комплексная платформа призвана предоставить предприятиям надежный набор инструментов для улучшения совместной работы, безопасности и производительности.

Стоимость: $6/месяц.

7. VK WorkSpace (Mail.ru для бизнеса)

Коммуникационная платформа для бизнеса. Включает корпоративную почту с календарём, мессенджер с аудио- и видеозвонками, облачное хранилище со встроенным редактором документов.

Стоимость: 199 ₽/месяц.

8. Яндекс 360

Виртуальное рабочее пространство, которое включает в себя ваши персональные сервисы: Почту, Диск, Телемост, Документы, Календарь и Заметки.

Стоимость: 249 ₽/месяц.

О проекте

Пока другие сервисы прекратили свою работу, мы решили запустить новый сайт знакомств. Как и в любом бизнесе, перед нами встал вопрос, какой провайдер почтового хостинга выбрать. Только взвесив различные варианты, мы смогли принять решение, соответствующее нашим потребностям. Надеемся, наш пост помог вам сделать то же самое!

JavaScript Promises: Explaining then & catch to a 5 year old.

Hello Web! — Sun, 26 May 2024 01:31:28 +0000

1. Promise.catch() is not try{}...catch(){}.

The .catch() method of promise is just .then(void 0, onRejected). It may seem like it "catches" some errors, but that is just because of the special handling of .then() logic.

2. Promise.then()

A confusing quirk of .then(onFulfilled, onRejected), is if EITHER of the callbacks throw an error, it's promise will be rejected with the error. For example:

var promise = new Promise(function(resolve, reject){
    setTimeout(reject, 1000);
});

promise
.then(function(){
    // onFulfilled
}, function(){
    // onRejected
    throw new Error('oops rejected');
})
.then(void 0, function(e){ // aka .catch
    console.log('caught', e);
});

// caught Error: oops rejected

var promise = new Promise(function(resolve, reject){
    setTimeout(resolve, 1000);
});

promise
.then(function(){
    // onFulfilled
    throw new Error('oops fulfilled');
}, function(){
    // onRejected
})
.then(void 0, function(e){ // aka .catch
    console.log('caught', e);
});

// caught Error: oops fulfilled

In both cases, the error will be caught by the first then(), and passed as a rejection to the 2nd (our catch-then).

3. Chaining: Unless your then() callback returns a Promise, it will be immediately resolved.

When you chain promises

promise.then(cb1).then(cb2)...

if cb1 returns a promise, cb2 will wait for it. if cb1 returns any other object (or nothing), it will be immediately resolved.

if cb1 errors out, it will be caught by then() logic, and passed to the onRejected of the 2nd then(). If we don't specify one, the default onRejected will be used: which just throws an error. Which will be caught again by then(), and passed further down. Example:

var promise = new Promise(function(resolve, reject){
    setTimeout(resolve, 1000);
});

promise
.then(function(){
    throw new Error('boom');
})
.then(function(){
    // we never get here, default onRejected will be called, throw an error, catch it, and pass it further down
})
.then(function(){
    // we never get here, default onRejected will be called, throw an error, catch it, and pass it further down
})
.then(function(){
    // we never get here, default onRejected will be called, throw an error, catch it, and pass it further down
})
.then(function(){
    // we never get here, default onRejected will be called, throw an error, catch it, and pass it further down
})
.then(void 0, function(e){
    console.log('caught', e);
});

// caught Error: boom

Be aware this catching mechanic is special to then(), for example this won't work:

var promise = new Promise(function(resolve, reject){
    setTimeout(function(){
        throw new Error('wont-work');
    }, 1000);
});

promise
.then(void 0, function(e){
    console.log('caught', e);
});

// Uncaught Error: wont-work

To illustrate, if we use a custom onRejected, and do not throw an error, we can recover the chain (which may, or may not be, what you want)

var promise = new Promise(function(resolve, reject){
    setTimeout(resolve, 1000);
});

promise
.then(function(){
    throw new Error('boom');
})
    .then(function(){

    }, function(e){
        console.log('interesting, we caught an error', e); // since we don't throw a new one, the chain will recover
    })
.then(function(){
    console.log('recover')
})
.then(void 0, function(e){
    console.log('caught', e);
});

// interesting, we caught an error Error: boom
// recover