ObjectOSPréparation à la production
Liste de contrôle pour exécuter ObjectOS en toute sécurité en production.
Utilisez cette liste de contrôle avant d'exposer ObjectOS au trafic de production.
Renforcement HTTP
Le runtime ObjectStack fournit des en-têtes de sécurité prudents pour les routes du dispatcher. Les déploiements en production doivent vérifier :
Content-Security-Policy;X-Content-Type-Options;X-Frame-Options;Referrer-Policy;Permissions-Policy;Cross-Origin-Resource-Policy;- HSTS une fois le TLS confirmé.
Si un reverse proxy gère les en-têtes, vérifiez la réponse finale avec :
curl -I https://app.example.comSecrets
Stockez ces éléments dans un gestionnaire de secrets :
| Secret | Objet |
|---|---|
OS_AUTH_SECRET | Secret de base pour la signature des sessions |
OS_CLOUD_API_KEY | Accès à l'Artifact API du plan de contrôle |
| Identifiants de base de données | Accès à la base de données métier |
| Secret client OIDC | SSO d'entreprise |
| Clés API de fournisseurs | E-mail, stockage, IA, intégrations |
N'intégrez jamais de secrets dans les artefacts ou les images.
Limitation de débit
Le framework expose un limiteur de débit de type token-bucket. Mettez en place la limitation de débit au niveau de l'adaptateur, de l'ingress ou de la passerelle, là où l'IP de l'appelant et l'identité authentifiée sont fiables.
Buckets recommandés :
| Trafic | Limite exemple |
|---|---|
| Points de terminaison d'authentification | 10/min/IP |
| Requêtes d'écriture | 60/min/IP |
| Requêtes de lecture | 600/min/IP |
Utilisez un backend partagé tel que Redis pour les déploiements multi-pods.
CORS
Configurez des origines explicites :
https://app.example.com
https://admin.example.comN'utilisez pas d'origines avec caractère générique pour les requêtes authentifiées.
Liste de contrôle de mise en production
- Le TLS est terminé au niveau de l'edge ou de l'ingress.
- Les en-têtes de sécurité sont présents.
- HSTS est activé après validation du TLS.
- Les origines CORS sont explicites.
- Les limites de débit protègent les points de terminaison d'authentification et d'écriture.
-
OS_AUTH_SECRETest robuste et stocké comme un secret. - Les URL de callback OIDC correspondent au domaine public.
- La sauvegarde et la restauration de la base de données métier sont testées.
- Les journaux d'audit sont conservés conformément à la politique du client.
- Les tests d'accès négatifs inter-organisations réussissent.
- Le plan de rollback couvre à la fois l'image ObjectOS et la version de l'artefact.