Защитите свой домен с помощью Zone Holds

Сегодня мы объявляем об удержании зон — новой возможности для корпоративных клиентов, которая дает им возможность контролировать, может ли и когда кто-то еще добавить ту же зону в другую учетную запись Cloudflare. Когда несколько команд в компании хотят использовать Cloudflare, одна команда может случайно наступить на пятки другой и попытаться управлять одной и той же зоной в двух учетных записях. Удержание зоны гарантирует, что этого не произойдет, заставив только одну учетную запись содержать данный домен, необязательно включая поддомены или настраиваемые имена хостов, если только владелец учетной записи зоны не предоставит явное разрешение.

Что может пойти не так сегодня

Cloudflare уже требует проверки подлинности зон через DNS, прежде чем трафик будет проксироваться через нашу глобальную сеть. Это гарантирует, что только владельцы доменов могут разрешать передачу трафика и управление им с помощью Cloudflare. Однако многие из наших клиентов являются крупными организациями, в которых работает множество команд, пытающихся защитить и ускорить работу своих веб-ресурсов. В этих случаях одна команда может не осознавать, что данный домен уже защищен с помощью Cloudflare. Если они активируют второй экземпляр того же домена в Cloudflare, они в конечном итоге заменят исходную зону, которой уже управляла другая команда с помощью Cloudflare. Это может привести к простою или проблемам с безопасностью, пока исходная зона не будет повторно активирована. Если бы эти две команды знали только друг о друге и общались, то в большинстве случаев любой проблемы можно было бы избежать с помощью одного из многих вариантов — субдоменов, пользовательских имен хостов и т. д. Как мы можем гарантировать, что эти команды знают о потенциальном риске, прежде чем создавать эти ошибки?

Как Zone Holds защищает клиентов

При удержании зоны любая попытка добавить удерживаемый домен будет возвращать сообщение об ошибке, сообщающее пользователю, что ему необходимо сначала связаться с владельцем домена. Удержание зоны включено по умолчанию для всех корпоративных зон. Удержанием можно управлять с экрана обзора зон. При желании удержание может быть расширено для применения к субдоменам и пользовательским именам хостов. При отключении удержания вы можете настроить повторное включение удержания через заданное время. Это гарантирует, что вы случайно не оставите удержание навсегда отключенным. Давайте рассмотрим пример, чтобы понять, как Zone Holds помогает клиентам.

Пример корпорации — до захвата зоны

Example Corp — крупный клиент Cloudflare. В частности, их команда инфраструктуры использует Cloudflare для защиты всего трафика на example.com. Это включает в себя их маркетинговый сайт по адресу www.example.com и их клиентский API по адресу api.example.com. Когда они подключились к Cloudflare, их ИТ-отдел, который управляет всеми DNS в компании, настроил записи DNS у своего регистратора таким образом, чтобы весь трафик для example.com направлялся через Cloudflare.

Через год их отдел маркетинга хочет внедрить решение Cloudflare для управления ботами для трафика на www.example.com. Они регистрируются на сайте example.com и обращаются в свой ИТ-отдел, чтобы установить предоставленные записи NS у регистратора. ИТ-отдел не понимает, что Cloudflare уже используется, поэтому они не понимают, что это повлияет на существующую зону, управляемую командой инфраструктуры. Активируется новая зона, и возникает инцидент, поскольку затронут трафик не только www.example.com, но и api.example.com. С Zone Hold этого инцидента можно было бы избежать. Посмотрим, как.

Example Corp — теперь с удержанием зоны

Example Corp регистрируется в Cloudflare и добавляет example.com в свою учетную запись в качестве зоны ENT. В домене автоматически включается удержание зоны, что не позволит любой другой учетной записи Cloudflare добавить example.com. Они также позволяют удерживать любые поддомены или пользовательские имена хостов в домене example.com.

Позже отдел маркетинга ACME хочет начать использовать Cloudflare для www.example.com. Когда они пытаются добавить этот домен в Cloudflare, они получают сообщение об ошибке, сообщающее им, что им нужно связаться с владельцем домена.

Отдел маркетинга ACME связывается с внутренним отделом и узнает, что команда инфраструктуры управляет этим доменом и что активация этой зоны вызвала бы инцидент! Вместо этого обе команды решают, что команда маркетинга должна добавить поддомен www.example.com, чтобы они могли контролировать маркетинговый сайт. Команда инфраструктуры снимает блокировку субдомена с acme.com, а команда маркетинга добавляет www.example.com в свою учетную запись.

После настройки и активации они теперь могут начать использовать управление ботами для защиты своего маркетингового сайта, и никаких неожиданных последствий не произойдет.

Начало работы с зональными удержаниями

Удержание зоны теперь доступно для всех корпоративных зон и включено по умолчанию на уровне домена. Вы можете управлять удержанием зоны на экране обзора зоны любой корпоративной зоны. При желании удержание может быть расширено для применения к субдоменам и пользовательским именам хостов. При отключении удержания вы можете настроить повторное включение удержания через заданное время. Это гарантирует, что вы случайно не оставите удержание навсегда отключенным.