Izolacja kontenerów LXC
Każdy Box to osobny, nieuprzywilejowany kontener LXC, odseparowany na poziomie jądra od Boxów innych klientów i od systemu hosta. Aplikacje w Twoim Boxie działają jako moduły wewnątrz tego samego kontenera i współdzielą jego system plików - dlatego warto aktualizować i zabezpieczać każdą z nich osobno, nie tylko tę najważniejszą.
Firewall
Serwer pracuje w polityce INPUT DROP - domyślnie wszystko jest zablokowane, otwarte są tylko niezbędne porty (HTTP, HTTPS, DNS, SSH). Sieć wewnętrzna kontenerów jest oddzielona od internetu przez NAT. Dochodzi do tego fail2ban, który blokuje adresy próbujące zgadnąć hasła.
SSL i szyfrowanie
Każda domena dostaje darmowy certyfikat Let's Encrypt z automatycznym odnawianiem. Ruch klienta jest szyfrowany end-to-end, a panel chroniony jest dodatkowo przez warstwę CDN z ochroną DDoS.
Dane przetrwają awarię sprzętu
Dyski serwera pracują w mirrorze - awaria jednego nie zatrzymuje niczego i nie kasuje danych. To jednak chroni tylko przed pojedynczym dyskiem, więc raz na dobę wywozimy zaszyfrowaną kopię każdego Boxa do drugiego centrum danych, w Helsinkach, czyli w innym kraju niż serwer produkcyjny. Dotyczy to każdego planu, także Box S.
Razem z Boxami wywozimy infrastrukturę platformy: bazę kont, serwer poczty, bazy danych klientów, konfigurację reverse proxy z certyfikatami i serwery DNS. Chodzi o to, żeby po utracie całego serwera dało się odtworzyć nie tylko pliki, ale działającą usługę pod właściwymi adresami. Szczegóły i okresy przechowywania opisuje strona o backupach.
Co jest po Twojej stronie
- Aktualizuj WordPressa, wtyczki i motywy - przestarzały kod to najczęstszy wektor ataku
- Używaj silnych, unikalnych haseł do wp-admin i panelu
- Loguj się przez SSH kluczem, nie hasłem
- Rób backupy przed większymi zmianami