הנחיות אבטחה כלליות לסביבות עבודה שונות של פיתוח

בדף הזה מתוארות השיטות המומלצות החשובות ביותר לאבטחה בסביבות שונות, אבל כדאי לעיין ברשימת משימות האבטחה כדי לקבל הנחיות מפורטות ויסודיות יותר לגבי אבטחה ו-Firebase.

אבטחה של סביבות טרום-ייצור

אחד היתרונות של הפרדת סביבות בפרויקטים שונים ב-Firebase הוא שגורם זדוני שמצליח לגשת לסביבות הטרום-ייצור לא יוכל לגשת לנתוני משתמשים אמיתיים. אלה אמצעי הזהירות החשובים ביותר שצריך לנקוט בסביבות טרום-ייצור:

  • הגבלת הגישה לסביבות טרום-ייצור. באפליקציות לנייד, משתמשים ב-App Distribution (או משהו דומה) כדי להפיץ אפליקציה לקבוצה ספציפית של אנשים. קשה יותר להגביל אפליקציות אינטרנט. כדאי להגדיר פונקציית חסימה לסביבות טרום-הייצור, שמגבילה את הגישה למשתמשים עם כתובות אימייל ספציפיות לדומיין שלכם. לחלופין, אם אתם משתמשים ב-Firebase Hosting, הגדירו את תהליכי העבודה של טרום-הייצור כך שישתמשו בכתובות URL זמניות לתצוגה מקדימה.

  • אם לא צריך לשמור את הסביבה והיא משמשת רק אדם אחד (או מכונה אחת במקרה של בדיקות), משתמשים ב-Firebase Local Emulator Suite. האמולטורים האלה בטוחים ומהירים יותר כי הם יכולים לפעול באופן מלא ב-localhost במקום להשתמש במשאבי ענן.

  • חשוב לוודא שהגדרתם את Firebase Security Rules בסביבות טרום-ייצור, בדיוק כמו בסביבת הייצור. באופן כללי, Security Rules צריכה להיות זהה בכל הסביבות, אבל מכיוון שהכללים משתנים עם הקוד, יכול להיות שיהיו כללים בשלב מוקדם יותר בצינור עיבוד הנתונים שעדיין לא קיימים בסביבת הייצור.

אבטחה של סביבות ייצור

נתוני ייצור הם תמיד יעד, גם אם האפליקציה לא מוכרת. ההנחיות האלה לא ימנעו לחלוטין מגורמים זדוניים להשיג את הנתונים שלכם, אבל הן יקשו עליהם:

  • להפעיל ולאכוף App Check בכל המוצרים שאתם משתמשים בהם ותומכים באימות כזה. App Check מוודא שהבקשות לשירותים לקצה העורפי מגיעות מהאפליקציות האמיתיות שלכם. כדי להשתמש בו, צריך לרשום כל גרסה של האפליקציה ב-App Check. קל יותר להגדיר את זה לפני שיש משתמשים, אז כדאי להגדיר את זה בהקדם האפשרי.

  • כותבים Firebase Security Rules מקיפים. ‫Realtime Database,‏ Cloud Firestore ו-Cloud Storage מסתמכים על Security Rules שהוגדרו על ידי המפתחים כדי לאכוף את ההרשאות לגישה לנתונים. כדי לשמור על האבטחה, חשוב לכתוב Security Rules טובים. אם אתם לא בטוחים איך לעשות את זה, כדאי להתחיל עם ה-Codelab הזה.

  • ברשימת המשימות לאבטחה תוכלו למצוא המלצות נוספות לאבטחה בסביבות ייצור.

השלבים הבאים