Ihren Server verbergen (Origin-Schutz)

Warum das wichtig ist

Kennt jemand die IP-Adresse Ihres Servers, kann er ihn direkt angreifen – alle Sperren und Rate-Limits des CDN greifen dann nicht. Die Adresse findet man oft in alten DNS-Einträgen (mail, ftp), in E-Mail-Headern oder in Archiven. Darum: Ihr Server nimmt nur noch Anfragen vom CDN an.

1. Firewall: nur die Adressen des CDN

Im Portal stehen alle Adressen, von denen das CDN Ihren Server abruft – zum Kopieren, mit fertigen Beispielen für nginx, Apache und ufw. Ändert sich die Liste, bekommen Sie eine Benachrichtigung.

# für jede Adresse aus dem Portal:
ufw allow from 198.51.100.10 to any port 443 proto tcp
# danach den allgemeinen Zugang schließen:
ufw delete allow 443/tcp

2. Kennung des CDN prüfen

Mit „Kennung einschalten“ schickt das CDN bei jeder Anfrage den Header X-KH-Origin-Auth mit einem Geheimnis. Ihr Server lehnt alles ohne ihn ab – auch Anfragen, die über andere Kunden des CDN kommen. Das geht auch auf Webspace ohne Firewall, per .htaccess:

RewriteEngine On
RewriteCond %{HTTP:X-KH-Origin-Auth} !^IHR-GEHEIMNIS$
RewriteRule ^ - [F]

Beispiele für nginx und Caddy stehen im Portal. „Neue Kennung erzeugen“ macht die alte sofort ungültig – tragen Sie die neue zuerst auf Ihrem Server ein.

Prüfen, was öffentlich ist

Unter Domain → Server → „Was ist öffentlich?“ prüft das CDN mit „Jetzt prüfen“:

• ob Ihr Server direkt erreichbar ist (gut: „Nicht direkt erreichbar“ bzw. „Lehnt Anfragen ohne Kennung ab“),
• ob andere DNS-Einträge Ihrer Domain (mail, ftp, direct …) die Adresse Ihres Servers verraten.