Allgemeine Sicherheitsrichtlinien für verschiedene Umgebungen für Entwicklungsworkflows

Auf dieser Seite werden die wichtigsten Best Practices für die Sicherheit in verschiedenen Umgebungen beschrieben. Ausführlichere Informationen zur Sicherheit und zu Firebase finden Sie in der Sicherheitscheckliste.

Sicherheit für Vorproduktionsumgebungen

Ein Vorteil der Trennung von Umgebungen in verschiedenen Firebase-Projekten besteht darin, dass ein böswilliger Akteur, der auf Ihre Pre-Production-Umgebungen zugreifen kann, nicht auf echte Nutzerdaten zugreifen kann. Hier sind die wichtigsten Sicherheitsvorkehrungen für Vorproduktionsumgebungen:

  • Zugriff auf Pre-Production-Umgebungen einschränken Verwenden Sie für mobile Apps App Distribution (oder etwas Ähnliches), um eine App an eine bestimmte Gruppe von Personen zu verteilen. Webanwendungen sind schwieriger einzuschränken. Sie können eine Blockierfunktion für die Vorproduktionsumgebungen einrichten, die den Zugriff auf Nutzer mit E-Mail-Adressen beschränkt, die für Ihre Domain spezifisch sind. Wenn Sie Firebase Hosting verwenden, richten Sie Ihre Pre-Production-Workflows so ein, dass temporäre Vorschau-URLs verwendet werden.

  • Wenn eine Umgebung nicht beibehalten werden muss und nur von einer Person (oder im Fall von Tests von einer Maschine) verwendet wird, verwenden Sie die Firebase Local Emulator Suite. Diese Emulatoren sind sicherer und schneller, da sie vollständig auf dem Localhost ausgeführt werden können, anstatt Cloud-Ressourcen zu verwenden.

  • Achten Sie darauf, dass Firebase Security Rules in Pre-Production-Umgebungen genauso eingerichtet ist wie in der Produktion. Im Allgemeinen sollte die Security Rules in allen Umgebungen gleich sein. Da sich Regeln jedoch mit dem Code ändern, kann es sein, dass es in der Pipeline Regeln gibt, die in der Produktion noch nicht vorhanden sind.

Sicherheit für Produktionsumgebungen

Produktionsdaten sind immer ein Ziel, auch wenn die Anwendung unbekannt ist. Wenn Sie diese Richtlinien befolgen, ist es für böswillige Akteure nicht unmöglich, an Ihre Daten zu gelangen, aber es wird schwieriger:

  • Aktivieren und erzwingen Sie App Check für alle Produkte, die Sie verwenden und die diese Funktion unterstützen. App Check sorgt dafür, dass Anfragen an Ihre Backend-Dienste von Ihren echten Apps stammen. Wenn Sie sie verwenden möchten, müssen Sie jede Version Ihrer App bei App Check registrieren. Die Einrichtung ist einfacher, bevor Sie Nutzer haben. Richten Sie sie daher so schnell wie möglich ein.

  • Schreiben Sie robuste Firebase Security Rules. Realtime Database, Cloud Firestore und Cloud Storage basieren alle auf vom Entwickler konfigurierten Security Rules, um festzulegen, wer auf Daten zugreifen darf und wer nicht. Für Ihre Sicherheit ist es wichtig, dass Sie gute Security Rules schreiben. Wenn Sie sich nicht sicher sind, wie das geht, beginnen Sie mit diesem Codelab.

  • Weitere Empfehlungen zur Sicherheit von Produktionsumgebungen finden Sie in der Sicherheitscheckliste.

Nächste Schritte