Colocar un proxy delante con un modelo de confianza claro

Un proxy inverso web cambia la ruta entre los visitantes y tu origen HTTP. No proxifica automáticamente SSH, el correo ni cualquier protocolo arbitrario. Identifica los registros solo DNS y el impacto en el correo, la validación y la administración antes de habilitar el proxy web.

Cree la zona con el proveedor, revise los registros importados y cambie los servidores de nombres del registrador a los valores asignados. Pruebe la delegación, luego configure como proxy los registros web A/AAAA o CNAME previstos. Mantenga los destinos MX y las rutas de servicio no compatibles configurados correctamente.

Instale un certificado de origen válido para el nombre solicitado y compatible con el proxy, y luego use Full (strict). Confirme que el origen responde de forma segura antes de restringirlo. Un candado en el edge por sí solo no demuestra que la conexión edge-origen esté autenticada.

Utilice los rangos actuales publicados de IPv4 y IPv6 del proveedor para la lista de permitidos web, con un plan de mantenimiento para los cambios. Mantenga una ruta administrativa verificada separada. Revise cada nombre de host de origen y cada listener; un servicio solo de DNS en la misma IP puede revelar el destino.

Comprobar las redirecciones HTTPS, los nombres de certificado, el contenido mixto, las reglas de caché y el manejo registrado de la IP del cliente. Confiar en los encabezados de visitante reenviados solo desde las fuentes de proxy autorizadas. Las reglas de WAF de la aplicación y los controles de bots son una capa separada de la mitigación de DDoS de red.