.png)
Estoy tratando de descubrir las desventajas de una configuración actual y descubrí una posible anomalía. Hay una página web alojada en (digamos) webpage.com. Si apunto mi dominio (digamos) mydomain.coma la IP sin procesar de webpage.com, la página web real webpage.comse devuelve en una solicitud web para mydomain.com. ¿Pero es esta una buena práctica? ¿VirtualHost (o SNI) debería filtrar las consultas con el parámetro 'host' en el encabezado HTTP, que no están presentes en el servidor?
Respuesta1
Idealmente, un servidor virtual es una buena práctica. Es una forma sencilla de protegerse contra varios ataques de creación de dominios (facebok.com, aple.com, micro-soft.com), ya que Apache solo atenderá solicitudes de webpage.com. Sin un vhost, sería trivial utilizar un proxy para su IP sin formato, lo que facilitaría la elaboración antes mencionada.Aquí estáun artículo de Wikipedia sobre eso.
TLDR: No, hace que sea más difícil para otros hacerse pasar por su sitio.
Curioso: ¿su sitio utiliza SSL? Los navegadores se negarían a conectarse debido a un certificado no válido si alguien intentara un ataque de dominio diseñado. También como experimento, consigue un dominio antiguo que ya no uses y apúntalo a la misma IP. Visita el dominio.
Respuesta2
No importa mucho. Incluso si "asegura" el VirtualHost Xprecediéndolo con NameVirtualHost X, no cambia mucho. Esto verifica el encabezado HTTP del host que llega al servidor. Pero sigue siendo muy fácil para cualquiera configurar su propio proxy (por ejemplo, su propio servidor Apache) para redirigir a su sitio.
En la Internet pública, no es fácil evitar la situación que yo describiría como: alguien ingresa mydomain.comen su navegador, pero obtiene el contenido que debe aparecer ante el público como properdomain.com. Y TLS/SNI tampoco puede evitarlo.