Nouveau : contrôlez l’accès à vos applications avec Application Firewall

Entre la publication d’une vulnérabilité et son exploitation, il peut parfois ne s’écouler que quelques heures. Plutôt que de compter uniquement sur votre capacité à réagir, mieux vaut agir en amont en limitant l’exposition de vos applications sur Internet.

Cela concerne notamment les outils internes et environnements de pré-production, dont l’accès doit être strictement réservé aux personnes et aux services qui en ont réellement besoin.

C'est pourquoi nous lançons Application Firewall : une nouvelle fonctionnalité qui vous permet de choisir les adresses et plages IPv4 autorisées à accéder à chacune de vos applications Scalingo.

Vous souhaitez en bénéficier en avant-première ? Contactez notre équipe support pour l’activer sur vos applications.

Fonctionnement

Application Firewall permet de définir jusqu’à 20 adresses ou plages IPv4 autorisées à accéder à chaque application.

• Par défaut et sans règle, le pare-feu laisse passer le trafic Internet de toutes les adresses IP. C’est le fonctionnement actuel.

• Dès la première règle, seules les connexions provenant des adresses ou plages IP autorisées peuvent accéder à l’application. Les autres requêtes reçoivent une réponse HTTP 403 avant d’atteindre ses conteneurs.

Que vous utilisiez l’adresse Scalingo ou un domaine personnalisé, les mêmes règles s’appliquent et protègent l’accès à votre application.

Comment configurer Application Firewall ?

1. Connectez-vous à votre dashboard Scalingo ;

2. Sélectionnez l’application à protéger ;

3. Ouvrez la section Paramètres, puis la page Routage public ;

4. Dans la section Règles de firewall, autorisez jusqu’à 20 plages IPv4 à accéder à l’application.

Application Firewall peut également être configuré via API, CLI et notre provider Terraform. Pour plus de détails techniques, consultez notre documentation.

Accès en avant-première

Nous déployons Application Firewall en avant-première auprès des clients qui nous en font la demande. Pour en bénéficier, contactez notre équipe support depuis votre dashboard Scalingo !

Cas d’usage

Accès via votre VPN

Vous nous demandez souvent comment réserver l’accès à une application aux personnes connectées au VPN de votre organisation. Avec Application Firewall, vous autorisez uniquement les adresses IPv4 publiques de votre VPN. Seules les connexions passant par ce VPN peuvent alors accéder à l’application.

Si cette application reçoit aussi des webhooks ou fait l’objet d’une supervision externe, pensez à autoriser les adresses IP de ces services.

Accès via Cloudflare

Si Cloudflare est placé devant votre application, vous pouvez autoriser uniquement ses plages IPv4 de proxy.

Les connexions directes provenant d’autres adresses sont alors refusées, y compris lorsqu’elles visent l’URL Scalingo de l’application.

Aller plus loin avec un WAF et Private Networks

Pour analyser aussi le contenu des requêtes HTTP, vous pouvez utiliser un pare-feu applicatif (WAF) comme ModSecurity sur Scalingo. ModSecurity peut, par exemple, détecter et bloquer une tentative d’injection SQL dans les paramètres d’un formulaire, même si la requête provient d’une adresse IP autorisée par Application Firewall.

Avec Private Networks, vous pouvez exposer uniquement le proxy équipé de ModSecurity sur Internet. Ce proxy transmet les requêtes acceptées à vos applications via le réseau privé du projet. Application Firewall contrôle ainsi les adresses IP autorisées à accéder au proxy, quand ModSecurity filtre le contenu des requêtes selon les règles que vous configurez.