Transporte y certificados

Nada viaja en claro. Entre quien escribe y el servidor de ELYRA hay dos tramos, y cada uno va cifrado con su propio certificado. Este artículo describe los dos, y lo que el portal le pide al navegador una vez dentro.

Los dos tramos

Delante del servidor de ELYRA está Cloudflare, una red de borde que recibe todo el tráfico de las direcciones *.onelyra.com antes de que llegue a la instalación. Eso parte el camino en dos.

Tramo	De dónde a dónde	Versiones de TLS	Certificado
Borde	Del navegador de la persona, o del proveedor del canal, al borde de Cloudflare	TLS 1.2 y TLS 1.3. Las versiones 1.0 y 1.1 se rechazan	El certificado público de la dirección, emitido y renovado por Cloudflare
Origen	Del borde de Cloudflare al servidor de ELYRA	TLS 1.2 y TLS 1.3. Las versiones 1.0 y 1.1 se rechazan	Un certificado de origen emitido por Cloudflare para *.onelyra.com, que vive solo en el servidor

Léalo así: la persona ve un certificado válido para la dirección de su empresa; el servidor solo acepta conexiones cifradas con una versión vigente del protocolo; y entre los dos no hay ningún salto en claro. La zona está configurada en el modo que Cloudflare llama Full (strict): el borde exige que el origen presente un certificado válido, de modo que no basta con que la conexión esté cifrada, además tiene que ser con el servidor correcto.

Las versiones no son una preferencia: en el borde las fija el ajuste de versión mínima de Cloudflare, y en el origen las fija la biblioteca de cifrado del servidor, que no negocia nada por debajo de TLS 1.2. La regresión de seguridad lo comprueba pidiéndole al servidor cada versión y exigiendo que 1.0 y 1.1 se rechacen y que 1.2 y 1.3 se acepten.

El servidor de ELYRA termina el cifrado él mismo, sin un intermediario adicional: no hay un servidor web delante que descifre y vuelva a enviar en claro dentro de la máquina.

Lo que la red de borde añade

Al pasar todo el tráfico por Cloudflare, ELYRA recibe además:

• HTTPS obligatorio. Una petición en http:// se redirige a https:// antes de llegar al servidor.
• Protección frente a avalanchas. La red absorbe el tráfico abusivo antes de que llegue a la instalación.
• Un filtro de peticiones. Un cortafuegos de aplicaciones web, que revisa la forma de cada petición y bloquea las que tienen patrón de ataque conocido, y una regla de límite de tasa sobre las pantallas de entrada.
• La dirección real de quien llama. El borde la declara en cada petición, y ELYRA la usa para su propio límite de intentos y para el registro de auditoría.

El cortafuegos de la máquina solo admite conexiones que vengan de las direcciones de Cloudflare: la instalación no se puede alcanzar directamente por su dirección IP.

Dentro de la instalación

Los componentes de ELYRA se hablan entre sí dentro de una red privada:

• La base de datos es un servicio gestionado de Microsoft Azure que solo acepta conexiones desde la dirección del servidor de ELYRA y exige conexiones cifradas.
• La memoria de sesiones y la cola de trabajos viven en la misma máquina, en una red interna, con contraseña, y no están publicadas hacia fuera.

Lo que el portal le pide al navegador

Una vez dentro, cada respuesta del portal, de la Central de Atención y de EFEMERIS lleva cabeceras que le dicen al navegador cómo comportarse. Son reglas que el navegador cumple por su cuenta.

Cabecera	Qué impide
Strict-Transport-Security (un año, con subdominios)	Que el navegador vuelva a intentar una conexión sin cifrar a cualquier dirección de ELYRA, aunque alguien la escriba a mano.
Content-Security-Policy: script-src 'self'	Que corra código que no venga del propio origen. Un texto malicioso que lograra colarse en una página no se ejecuta.
Content-Security-Policy: frame-ancestors 'none' y X-Frame-Options: DENY	Que otra página enmarque el portal para poner un botón falso encima.
X-Content-Type-Options: nosniff	Que el navegador interprete un archivo como algo distinto de lo que se declaró.
Referrer-Policy: same-origin	Que una dirección interna, con lo que lleve, viaje a otro sitio al pulsar un enlace.

Las respuestas de la API que no son páginas llevan una política que no deja cargar nada: no son documentos y no deben comportarse como tal.

La vista previa del chat

La configuración del chat web enseña una vista previa del widget tal como se verá en el sitio del cliente. Esa vista previa necesita su propio código en línea, así que vive en su propia dirección, con su propia política, y solo se puede enmarcar desde el portal. Así el portal mantiene la regla de no ejecutar código en línea y la vista previa sigue siendo el chat de verdad.

El widget en el sitio del cliente

El chat web se incrusta en el sitio del cliente con una línea de código. El widget habla con ELYRA por HTTPS, y el canal declara desde qué dominios acepta conversaciones: una copia del widget en otro sitio no puede hablar con ese canal. Cómo se declara está en Conectar el chat de tu sitio.