Co robić jeśli Twój startupowy projekt jest na blackliście?

Nie polegaj bezkrytycznie na Google’u

Jeśli to tylko możliwe, nie powinieneś budować swojej firmy czy software’u tak, aby nadmiernie polegać na usługach Google. Zycie dostarczyło już wiele przykładów potwierdzających tą tezę a dziś poznamy kolejną odsłonę odcinku „Internet nie jest tym, czym był kiedyś”. Google może bowiem (nieumyślnie) zniszczyć nawet taki Twój startup, który nie wymaga korzystania z usług Google w jakikolwiek (celowy) sposób. Jeśli masz chwilę, możesz jeszcze wcześniej zerknąć na nasz poprzedni artykuł traktujący o tym problemie.

Czy wiesz, że domeny Twojej witryny mogą zostać umieszczone na czarnej liście przez Google bez żadnego konkretnego powodu i że ta czarna lista jest egzekwowana nie tylko bezpośrednio w Google Chrome, ale także przez kilku innych dostawców oprogramowania i sprzętu? Czy wiesz, że ci inni dostawcy synchronizują tę listę z szalenie zmiennymi czasami i interpretacjami, w sposób, który może sprawić, że naprawianie jakichkolwiek problemów będzie wyjątkowo stresujące i nieprzewidywalne? Czy wiesz, że szacowany przez Google czas na sprawdzenie raportu czarnej listy, bez względu na to, jak nieważny, jest mierzony w tygodniach?

Google Safe Browsing

Ta „funkcja” czarnej listy nazywa się „Bezpieczne przeglądanie Google. Twoi użytkownicy, gdy jedna z Twoich domen zostanie oznaczona w bazie danych Google jako „niebezpieczna”, otrzymają komunikaty w stylu „oszukańcza witryna” albo „witryna zawiera złośliwe oprogramowanie”. Spokojnie, poznasz je od razu - wszystkie mają równie przerażający czerwony wygląd tła i graniczący z niemożliwym do użycia interfejsem użytkownika, który praktycznie nie pozwoli pominąć ostrzeżenia i używać witryny.

Sprawdź oferty pracy na TeamQuest

Google Safe Browsing udostępnia dwa różne interfejsy API (zarówno komercyjnym, jak i niekomercyjnym programistom) do korzystania z czarnej listy w swoich produktach. Na pewno korzysta z niego Firefox jak i niektóre oprogramowanie antywirusowe czy urządzenia zabezpieczające sieci – wszystkie one oznaczają wybrane witryny jako „niebezpieczne” i uniemożliwiają użytkownikom dostęp do niej.

Co robić?

Biorąc pod uwagę nieprzejrzystość mechanizmu oznaczania i recenzowania witryn, trudno wskazać sposób w 100% zapobiegający wpisaniu naszej witryny na blacklistę. Ale z pewnością możesz zaprojektować swoją aplikację i procesy, aby zminimalizować szanse na to:

• Nie trzymaj wszystkich swoich jajek (czytaj: domen) w jednym koszyku. Wydaje się, że GSB oznacza całe domeny lub subdomeny. Z tego powodu dobrym pomysłem jest rozłożenie aplikacji na wiele domen, ponieważ zmniejszy to wpływ oflagowania jednej domeny na pozostałe serwisy. Na przykład: company.com dla Twojej witryny, app.company.net dla Twojej aplikacji, eucdn.company.net dla klientów w Europie, useastcdn.company.net dla klientów ze wschodniego wybrzeża Stanów Zjednoczonych itp.
• Nie przechowuj żadnych danych generowanych przez klientów w swoich głównych domenach. Wiele przypadków umieszczania na czarnej liście jest spowodowanych przez samych klientów SaaS nieświadomie przesyłających złośliwe pliki na serwery. Pliki te są nieszkodliwe dla samych systemów, ale samo ich istnienie może spowodować umieszczenie całej domeny na czarnej liście. Wszystko, co użytkownicy przesyłają do Twoich aplikacji, powinno być hostowane poza głównymi domenami. Na przykład: użyj companyusercontent.com do przechowywania plików przesłanych przez klientów.
• Aktywnie zgłaszaj prawa własności do wszystkich swoich domen produkcyjnych w Google Search Console. Jeśli to zrobisz, nie zapobiegnie to umieszczeniu Twojej witryny na czarnej liście, ale otrzymasz wiadomość e-mail, która pozwoli Ci szybko zareagować na problem. To zajmuje trochę czasu i jest to cenny czas, kiedy masz do czynienia z incydentem tego rodzaju, który ma wpływ na Twoich klientów.
• W razie potrzeby przygotuj się na zmianę domen. Jest to najtrudniejsze do zrobienia, ale jest to jedyne skuteczne narzędzie chroniące przed umieszczeniem na czarnej liście: stwórz swoje systemy tak, aby nazwy domen usługowych, do których się odwołują, można było łatwo modyfikować, a nawet zapisz w nich alternatywne nazwy dostępne i oczekujące. Na przykład ustaw adres eucdn.company2.net jako rekord CNAME dla eucdn.company.net. Jeśli teraz pierwsza z tych domen zostanie zablokowana, będziesz mógł zaktualizować konfigurację aplikacji aby załadować jej zasoby z domeny alternatywnej za pomocą narzędzia.