Runbook
WebSocket Origin Hardening auf Cloudflare
Origin whitelist, Auth, Rate-Limits, sichere Headers. (Operator Guide für Cloudflare).
Was ist das hier?
Origin whitelist, Auth, Rate-Limits, sichere Headers. (Operator Guide für Cloudflare).
Priorität
Wenn Production betroffen ist: Containment zuerst (Stop the bleeding), dann Root Cause.
Schnell‑Triage (5 Minuten)
- Was ist exponiert (Ports, Admin, Webhooks, Origins, Buckets)?
- Sind gerade Anomalien sichtbar (Spikes, 4xx/5xx, Login‑Fehler, Bot‑Traffic)?
- Sind Secrets/Keys kompromittiert (Repo, CI, Logs, Chat)?
Ziel
WebSocket Origin Hardening: Origin whitelist, Auth, Rate-Limits, sichere Headers.
Origin-Check (Nginx Snippet)
# Block wildcard origins, allow only your domain
if ($http_origin !~* ^https://(www.)?deine-domain.com$) { return 403; }
Fix‑Schritte (Copy/Paste‑fähig)
- Origin strikt whitelisten (kein * / wildcard).
- Auth auf WS Handshake (token/cookie) erzwingen.
- Rate limits: connect rate + msg rate + concurrent connections.
- Proxy/WAF: Upgrade headers + timeouts korrekt setzen.
- Verifikation: disallowed Origin → 403, allowed Origin → OK.
Verifikation
Cloudflare Dashboard → Security → Events (WAF / Rate Limiting / Bot)Cloudflare → Analytics → Traffic (spikes / geo / user agents)Prävention / Guardrails
- Managed WAF Rules baseline
- Rate Limits auf Login/Webhooks
- Bot protection aktivieren
Warnungen
- WAF kann legitime Requests blocken: verifiziere per Security Events.
Steps
- Origin strikt whitelisten (kein * / wildcard).
- Auth auf WS Handshake (token/cookie) erzwingen.
- Rate limits: connect rate + msg rate + concurrent connections.
- Proxy/WAF: Upgrade headers + timeouts korrekt setzen.
- Verifikation: disallowed Origin → 403, allowed Origin → OK.
Related Runbooks
Firewall Baseline auf Hetzner
Default deny, minimal offene Ports, sichere Defaults. (Operator Guide für Hetzner).
Öffnen →
SSH Hardening auf Hetzner
Key-only, Root aus, Rate-Limits, sichere Admin-Zugänge. (Operator Guide für Hetzner).
Öffnen →
WebSocket Origin Hardening auf Hetzner
Origin whitelist, Auth, Rate-Limits, sichere Headers. (Operator Guide für Hetzner).
Öffnen →
Reverse Proxy Baseline auf Hetzner
TLS, headers, caching, upstream health, timeouts. (Operator Guide für Hetzner).
Öffnen →
Rate Limit Baseline auf Hetzner
Edge + App Limits gegen Abuse und Cost-Spikes. (Operator Guide für Hetzner).
Öffnen →
DDoS First Response auf Hetzner
Blocken, absorbieren, recovern – ohne Panik. (Operator Guide für Hetzner).
Öffnen →
Hinweis: Diese Inhalte sind für Ops/Security gedacht. Keine „Namen-Datenbank“, keine Anschuldigungen – nur Runbooks, Tools und verifizierbare Checks.