Цикл о сервере, на котором живут проекты разных команд: открытые порты, раннеры CI, уход подрядчика, массовый взлом через ядро WordPress и уборка после него, перебор паролей, резервные копии с защитой от удаления и мониторинг — с цифрами из реальных разборов.
Из сорока контейнеров порты наружу публиковали шесть, а нужен был один прокси. Векторная база без ключа, PostgreSQL с доступом отовсюду, приложения мимо прокси — и почему ufw не закрыл бы ни одного из этих портов.
ports в compose — это вход из интернета, а не связь контейнеров. SSH-туннель вместо открытого PostgreSQL, почему пароль не заменяет закрытый порт и почему «в базе нет ничего важного» — довод не о том.
Внешний верстальщик должен выкладывать вёрстку на тестовый поддомен. Отдельный проектный раннер без root и с одной папкой, CI-файл из чужого репозитория, путь литералом, сборка на другом сервере — и почему add_header в location снимает noindex.
Ключ бывшего подрядчика нашёлся в чужом authorized_keys, его учётку лучше заблокировать, чем удалить, а группа docker — это тот же root. И самое неочевидное: образы всех сайтов скачивались из его личного реестра — удалит или перезальёт, и последствия будут у вас.
$ tail -f /blog
Пишу разборы по скорости сайтов, кэшу и разработке — на живых проектах и с цифрами. Подпишитесь, и ссылка на новую статью придёт сразу после выхода. Без рекламы и спама, отписаться — в один клик.
или на почту
