Présentation de la sécurité des applications

ID de la région

Le REGION_ID est un code abrégé que Google attribue en fonction de la région que vous sélectionnez lors de la création de votre application. Le code ne correspond pas à un pays ou une province, même si certains ID de région peuvent ressembler aux codes de pays et de province couramment utilisés. Pour les applications créées après février 2020, REGION_ID.r est inclus dans les URL App Engine. Pour les applications existantes créées avant cette date, l'ID de région est facultatif dans l'URL.

En savoir plus sur les ID de région

La sécurité est une fonctionnalité essentielle de Google Cloud, mais vous devez tout de même prendre des mesures pour protéger votre application App Engine et identifier les failles.

Utilisez les fonctionnalités suivantes pour assurer la sécurité de votre application App Engine. Pour en savoir plus sur le modèle de sécurité Google et sur la procédure à suivre pour sécuriser vos projets Google Cloud , consultez la page Sécurité surGoogle Cloud .

Requêtes HTTPS

Accédez en toute sécurité à votre application App Engine à l'aide des requêtes HTTPS. Selon la configuration de votre application, vous disposez des options suivantes :

Domaines appspot.com
  • Utilisez le préfixe d'URL https pour envoyer une requête HTTPS au service default de votre projet Google Cloud . Exemple :
    https://PROJECT_ID.REGION_ID.r.appspot.com

  • Pour cibler des ressources spécifiques dans votre application App Engine, séparez chaque ressource à cibler à l'aide de la syntaxe -dot-. Exemple :
    https://VERSION-dot-SERVICE-dot-PROJECT_ID.REGION_ID.r.appspot.com

  • Pour convertir une URL HTTP en URL HTTPS, remplacez les points entre chaque ressource par -dot-. Exemple :
    http://SERVICE_ID.PROJECT_ID.REGION_ID.r.appspot.com
    https://SERVICE_ID-dot-PROJECT_ID.REGION_ID.r.appspot.com

Pour en savoir plus sur les URL HTTPS et le ciblage des ressources, consultez la page Mode de routage des requêtes.

Domaines personnalisés

Pour envoyer des requêtes HTTPS avec votre domaine personnalisé, vous pouvez vous servir des certificats SSL gérés provisionnés par App Engine. Pour en savoir plus, consultez la page Sécuriser des domaines personnalisés avec SSL.

Contrôle des accès

Dans chaque projet Google Cloud , configurez le contrôle des accès pour déterminer qui peut accéder aux services du projet, y compris à App Engine. Vous pouvez attribuer des rôles différents à des comptes distincts pour vous assurer que chaque compte ne dispose que des autorisations nécessaires pour gérer votre application. Pour plus d'informations, consultez la section Configurer le contrôle des accès.

Pare-feu App Engine

Le pare-feu App Engine vous permet de contrôler l'accès à votre application App Engine via un ensemble de règles qui autorisent ou refusent les requêtes provenant des plages d'adresses IP spécifiées. Le trafic et la bande passante bloqués par le pare-feu ne vous sont pas facturés. Vous pouvez créer un pare-feu pour les raisons suivantes :

N'autoriser que le trafic provenant d'un réseau spécifique
Vous pouvez vous assurer que seule une plage d'adresses IP issue de réseaux spécifiques peut accéder à votre application. Par exemple, vous avez la possibilité de créer des règles n'autorisant que la plage d'adresses IP du réseau privé de votre entreprise pendant la phase de test de votre application. Vous pouvez ensuite créer et modifier les règles de pare-feu pour contrôler le champ d'accès tout au long du processus de publication. Seules certaines organisations, au sein de votre entreprise ou en externe, pourront ainsi accéder à l'application à mesure qu'elle est rendue publique.
N'autoriser que le trafic provenant d'un service spécifique
Assurez-vous que l'ensemble du trafic vers l'application App Engine est d'abord acheminé par le biais d'un serveur proxy via un service spécifique. Par exemple, si vous utilisez un pare-feu d'application Web (WAF, Web Application Firewall) tiers en guise de proxy pour les requêtes dirigées vers votre application, vous pouvez créer des règles de pare-feu pour refuser toutes les requêtes, à l'exception de celles transmises depuis votre WAF.
Bloquer les adresses IP abusives
Bien que Google Cloud dispose de nombreux mécanismes pour empêcher les attaques, vous pouvez vous servir du pare-feu App Engine pour bloquer le trafic acheminé vers l'application en provenance d'adresses IP utilisées à des fins malveillantes, ou pour protéger l'application contre les attaques par déni de service et d'autres formes similaires d'abus. Vous pouvez ajouter des adresses IP ou des sous-réseaux à une liste de blocage, de sorte à ce que les requêtes acheminées à partir de ces adresses et sous-réseaux soient refusées avant d'atteindre l'application App Engine.

Pour en savoir plus sur la création des règles et la configuration d'un pare-feu, consultez la page Contrôler l'accès aux applications à l'aide d'un pare-feu.

Contrôles d'entrée

Vous pouvez utiliser des contrôles d'entrée pour limiter le trafic entrant dans votre application App Engine. Par défaut, votre application App Engine accepte le trafic provenant de toutes les origines du réseau. Pour modifier les paramètres par défaut, et modifier et afficher les paramètres disponibles, consultez la section Spécifier les paramètres d'entrée.

Contrôles de sortie

Les contrôles de sortie déterminent le trafic sortant de votre service App Engine qui est acheminé via votre réseau cloud privé virtuel (VPC) lorsque vous utilisez la sortie VPC directe (preview) ou un connecteur d'accès au VPC sans serveur. Par défaut, seules les requêtes adressées à des adresses IP privées sont acheminées via votre réseau VPC, tandis que les requêtes adressées à des destinations publiques sont acheminées directement vers Internet. Avec les paramètres de contrôle de sortie, vous pouvez acheminer l'ensemble du trafic sortant (all-traffic) de votre service App Engine via votre réseau VPC. Pour configurer les paramètres de sortie de votre application, consultez Paramètres de sortie.

Risques liés à la sortie Internet partagée et utilisation acceptable

Par défaut, le trafic sortant vers l'Internet public utilise un pool régional d'adresses IP dynamiques partagées avec d'autres charges de travail sans serveur. Gardez à l'esprit les risques et responsabilités suivants :

  • Le trafic bruyant ou abusif provenant d'une autre charge de travail de la région peut dégrader la réputation du pool d'adresses IP partagé. Les pare-feu externes et les pare-feu d'application Web (WAF) tiers peuvent limiter ou bloquer les requêtes provenant de ces adresses IP partagées, ce qui entraîne des délais d'expiration de connexion ou des erreurs HTTP 403.
  • N'utilisez pas le pool d'adresses IP partagées par défaut pour les points de terminaison externes sensibles à la réputation, tels que les passerelles de paiement, les bases de données hébergées ou les API partenaires derrière les WAF. À la place, acheminez tout le trafic sortant (all-traffic) via votre réseau VPC et utilisez Cloud NAT avec des adresses IP sortantes statiques dédiées.
  • N'exécutez pas d'analyse réseau, d'énumération de ports, d'empreinte d'hôte, de détection de failles, de scraping Web ni de test de charge sur le chemin de sortie Internet partagé par défaut. Cette activité dégrade la réputation des adresses IP partagées, peut perturber le service pour d'autres clients en violation du Google Cloud Règlement sur l'utilisation acceptable et peut amener Google à limiter ou suspendre votre charge de travail.

  • Si vous exécutez des charges de travail d'analyse de sécurité, d'empreinte d'hôte ou de test de charge autorisées, vous devez isoler votre trafic sortant. Acheminez toutes les requêtes sortantes (all-traffic) via votre réseau VPC et Cloud NAT à l'aide de vos propres adresses IP sortantes statiques.

Security Scanner

Le Web Security Scanner Google Cloud détecte les failles en explorant votre application App Engine, en suivant tous les liens associés à vos URL de démarrage, et en tentant de tester un maximum d'entrées utilisateur et de gestionnaires d'événements.

Pour pouvoir utiliser Security Scanner, vous devez être le propriétaire du projetGoogle Cloud . Pour en savoir plus sur l'attribution de rôles, consultez la page Configurer le contrôle des accès.

Vous pouvez exécuter des analyses de sécurité à partir de la console Google Cloud pour identifier les failles de sécurité dans votre application App Engine. Pour en savoir plus sur l'exécution de Security Scanner, consultez la page Utiliser Web Security Scanner.

VPC Service Controls

Non compatible avec l'environnement standard App Engine.