mirror of
https://github.com/Alkatrazz24/Funk-lab.git
synced 2026-07-10 00:54:43 +02:00
ALI YESILKAYA
fe0aa89ffa
- Traefik externalTrafficPolicy: Local → IP client réelle (fin du SNAT kube-proxy) - middleware ratelimit par IP (100/min, burst 200) sur les 6 routes publiques - middleware security-headers (HSTS, nosniff, X-Frame SAMEORIGIN, Referrer-Policy) - TLSOption globale : plancher TLS 1.2 + ciphers modernes - Guacamole REMOTE_IP_VALVE → ban anti-bruteforce par IP (fin du piège n°5) - nftables : fermeture des ports Internet legacy 9080/9081 (HTTP clair redondant) - allowCrossNamespace pour mutualiser les middlewares depuis infra - docs : section Durcissement (public-domain.md) + CAA OVH + pièges à jour Co-authored-by: Claude Opus 4.8 <noreply@anthropic.com>
19 lines
803 B
YAML
19 lines
803 B
YAML
# TLSOption globale (nom `default` dans le namespace `default` = appliquée à toutes
|
|
# les routes TLS qui n'en spécifient pas). Traefik est HORS ArgoCD → à la main :
|
|
# kubectl apply -f k8s/infra/traefik/tls-options.yaml
|
|
# Élève le plancher à TLS 1.2 et fixe des ciphers modernes (TLS 1.3 auto, non
|
|
# configurable). Vérifier ensuite : nmap --script ssl-enum-ciphers -p 443 <host>.
|
|
apiVersion: traefik.io/v1alpha1
|
|
kind: TLSOption
|
|
metadata:
|
|
name: default
|
|
namespace: default
|
|
spec:
|
|
minVersion: VersionTLS12
|
|
cipherSuites:
|
|
- TLS_ECDHE_ECDSA_WITH_AES_128_GCM_SHA256
|
|
- TLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256
|
|
- TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
|
|
- TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
|
|
- TLS_ECDHE_ECDSA_WITH_CHACHA20_POLY1305
|
|
- TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305
|