Mise en œuvre d'Appcelerator (DNS) : considérations relatives à la sécurité
Pour les clients qui recherchent une solution « plug-and-play », l'intégration Appcelerator de CrowdHandler met en place un CDN en amont de leur serveur d'origine grâce à une modification du DNS. Cela permet d'acheminer l'ensemble du trafic via notre application à des fins de mise en file d'attente et de contrôle d'accès. Cette fonctionnalité comporte également des implications en matière de sécurité que les clients doivent bien comprendre avant de l'activer.
Ressources AWS isolées
La distribution CloudFront et les ressources associées pour chaque domaine Appcelerator sont déployées au sein du compte AWS dédié de CrowdHandler. Les clients ne disposent pas d'un accès direct pour configurer ces ressources. La configuration est accessible via le panneau de configuration de CrowdHandler (origine, règles de comportement, gestion des erreurs et jeton « no-bypass »).
Visibilité des données
Nos fonctions Lambda@Edge appellent notre API pour acheminer les requêtes et les réponses. Elles n'ont accès qu'aux en-têtes des requêtes, et non au corps de la requête ni au corps de la réponse d'origine. Nous n'avons aucune visibilité sur les données sensibles transmises dans les corps. Les clients ne sont pas en mesure de vérifier cela de manière indépendante en raison de l'isolation des ressources AWS.
Utilisation du chiffrement
Toutes les communications entre les utilisateurs finaux, CloudFront et les applications d'origine sont chiffrées en transit via TLS. Le certificat de votre domaine est émis par AWS Certificate Manager lors de la configuration et renouvelé automatiquement tant que l'enregistrement DNS de validation reste en place.
Aucune donnée relative au PAN
Appcelerator ne prend pas en charge la transmission de données relatives aux titulaires de cartes, telles que les numéros de carte complets. Toutes les données PAN doivent être traitées en dehors du périmètre de cette fonctionnalité, afin que CrowdHandler reste hors de l'environnement de données des titulaires de cartes du client, conformément aux normes PCI.
Disponibilité et comportement en cas de défaillance
Si l'API CrowdHandler est inaccessible, le serveur périphérique applique le paramètre de gestion des erreurs défini dans le panneau « Options » du domaine. Le paramètre par défaut, « Autoriser le trafic » (fail open), permet aux visiteurs d'accéder à votre serveur d'origine sans passer par la file d'attente. L'option « Envoyer vers la salle d'attente » (fail safe) retient quant à elle les visiteurs. Choisissez le comportement qui correspond à votre appétit pour le risque.
Responsabilité partagée
Bien que nous nous chargions de la configuration et de la gestion de CloudFront et de Lambda@Edge, le client reste responsable de la sécurité et de la conformité de la source. Nous recommandons :
- Activer le protocole TLS au niveau de l'origine et maintenir les certificats à jour.
- À l'aide de la Jeton « No-Bypass » (le
x-ch-no-bypass(en ajoutant un en-tête contenant un secret partagé) et en rejetant les requêtes provenant de la source qui ne le contiennent pas, afin que CrowdHandler ne puisse pas être contourné en se connectant directement à la source. - Renforcer la sécurité de l'infrastructure et configurer les pare-feu de manière à n'autoriser que les ports et protocoles nécessaires.
Appcelerator vise à offrir aux clients un contrôle d'accès et une distribution simplifiés. La solution s'appuie sur des pratiques de sécurité adéquates en amont pour protéger les données sensibles et respecter les obligations de conformité. Les clients doivent évaluer leur utilisation de cette fonctionnalité afin de définir les contrôles et les responsabilités adaptés à leurs besoins spécifiques.