[SECURITY] Caddy: голый IP по HTTP спрашивал пароль пилота открытым текстом #3318

Merged

lekss361 merged 2 commits from fix/caddy-bare-ip-plaintext-auth into main

2026-09-09 21:49:10 +00:00

bot-backend commented

2026-09-02 06:55:29 +00:00

Collaborator

Из армейского аудита 01-02.09, линза ptica-api. Воспроизведено живьём: curl http://188.124.37.140/api/v1/me → 401 + Www-Authenticate: Basic realm="GenDesign Pilot". Браузер, открывший голый IP, отправил бы пароль plaintext-ом любому слушающему канал.

Почему так вышло

Замысел блока :80 был верный — «закрыть обход через голый IP тем же auth-гейтом». Исполнение дырявое: basic_auth на plain HTTP — это и есть канал утечки пароля.

Правка

/health остаётся публичным (liveness). Всё остальное — redir https://gendsgn.ru{uri} permanent. Редирект строже гейта: по HTTP не отдаётся ни контент, ни сам запрос пароля — обход закрыт тем, что отвечать нечему.

Проверено до мержа

Потребителей у IP:80 нет: все deploy-смоки ходят docker exec → localhost внутри контейнеров (grep по .forgejo/workflows и ops/).
Конфиг провалидирован боевым бинарём: docker exec gendesign-caddy-1 caddy validate → Valid configuration.
Гейт snippet-mounts зелёный (6 конфигов, 7 маунтов).

После деплоя

curl -sI http://188.124.37.140/api/v1/me обязан отдать 301 Location: https://gendsgn.ru/api/v1/me и ни одного Www-Authenticate. curl http://IP/health — по-прежнему 200.

Из армейского аудита 01-02.09, линза ptica-api. Воспроизведено живьём: `curl http://188.124.37.140/api/v1/me` → `401` + `Www-Authenticate: Basic realm="GenDesign Pilot"`. Браузер, открывший голый IP, отправил бы пароль **plaintext-ом** любому слушающему канал. ## Почему так вышло Замысел блока `:80` был верный — «закрыть обход через голый IP тем же auth-гейтом». Исполнение дырявое: **basic_auth на plain HTTP — это и есть канал утечки пароля**. ## Правка `/health` остаётся публичным (liveness). Всё остальное — `redir https://gendsgn.ru{uri} permanent`. Редирект **строже** гейта: по HTTP не отдаётся ни контент, ни сам запрос пароля — обход закрыт тем, что отвечать нечему. ## Проверено до мержа - Потребителей у `IP:80` нет: все deploy-смоки ходят `docker exec` → `localhost` внутри контейнеров (grep по `.forgejo/workflows` и `ops/`). - Конфиг провалидирован **боевым бинарём**: `docker exec gendesign-caddy-1 caddy validate` → `Valid configuration`. - Гейт snippet-mounts зелёный (6 конфигов, 7 маунтов). ## После деплоя `curl -sI http://188.124.37.140/api/v1/me` обязан отдать `301 Location: https://gendsgn.ru/api/v1/me` и **ни одного** `Www-Authenticate`. `curl http://IP/health` — по-прежнему 200.

bot-backend added 1 commit 2026-09-02 06:55:29 +00:00

Caddy: голый IP по HTTP больше не спрашивает пароль открытым текстом

CI Trade-In / backend-tests (pull_request) Has been skipped

Details

CI Trade-In / browser-tests (pull_request) Has been skipped

Details

CI / frontend-tests (pull_request) Has been skipped

Details

CI Trade-In / frontend-checks (pull_request) Successful in 1m3s

Details

CI Trade-In / changes (pull_request) Successful in 10s

Details

CI / changes (pull_request) Successful in 18s

Details

CI / backend-tests (pull_request) Has been skipped

Details

CI / openapi-codegen-check (pull_request) Has been skipped

Details

8104be1695

Аудит 02.09: curl http://188.124.37.140/api/v1/me отвечал 401 с
Www-Authenticate: Basic realm=GenDesign Pilot. Браузер, открывший голый IP,
отправил бы пароль пилота plaintext-ом любому слушающему канал.

Замысел блока был верный — «закрыть обход через голый IP тем же auth-гейтом».
Исполнение дырявое: basic_auth на plain HTTP это и есть канал утечки пароля.

Редирект на канонический HTTPS строже гейта: по HTTP не отдаётся ни контент,
ни сам запрос пароля — обход закрыт тем, что отвечать нечему. /health
остаётся публичным (liveness).

Потребителей у IP:80 нет: все deploy-смоки ходят docker exec → localhost
внутри контейнеров (grep по .forgejo/workflows и ops/).

Конфиг провалидирован БОЕВЫМ бинарём: docker exec gendesign-caddy-1 caddy
validate → Valid configuration. Гейт snippet-mounts зелёный.

bot-backend added 1 commit 2026-09-09 21:47:11 +00:00

Merge branch 'main' into fix/caddy-bare-ip-plaintext-auth

CI Trade-In / changes (pull_request) Successful in 10s

Details

CI / changes (pull_request) Successful in 13s

Details

CI Trade-In / backend-tests (pull_request) Has been skipped

Details

CI Trade-In / browser-tests (pull_request) Has been skipped

Details

CI / backend-tests (pull_request) Has been skipped

Details