Является ли плохой практикой отправка ссылки с прямым IP-адресом для связи с сервером? [PHP]
У меня нет большого опыта в области безопасности серверов, поэтому я просто ищу ответ (я искал и получил неоднозначные результаты).
У меня есть сервер, который хранит кучу данных с MySQL. Я хочу создать на нем систему входа в учетную запись, которая отправляет ссылку для подтверждения по электронной почте. В настоящее время тестовое электронное письмо отправляет ссылку, которая выглядит примерно так (не настоящая ссылка):
https://58.87.12.222/SomeFolder/VerifyNewAccount.php?idCode=someThing
Это плохо с точки зрения безопасности?
Может ли кто-нибудь сделать что-то плохое, зная IP-адрес и другую информацию, содержащуюся в ссылке?
Может ли кто-нибудь «прослушивать» этот адрес, чтобы получить входящую информацию для входа?
Есть ли простой способ скрыть это, учитывая мой недостаток знаний?
На ваши вопросы есть несколько ответов:
Вы спросили, может ли кто-то сделать что-то плохое, зная IP-адрес и другую информацию в ссылке. (В вашей ссылке используется IP-адрес, полный путь к файлу PHP и параметр idCode .) В использовании любого из этих параметров нет ничего явно небезопасного. Однако то, сможет ли кто-то сделать что-то плохое, во многом зависит от точного содержания скрипта VerifyNewAccount.php и того, как idCode = someThing фактически используются. Само по себе наличие этой информации небезопасно, если только сценарий не позволяет использовать эту информацию ненадлежащим образом (детали программирования выходят за рамки этого вопроса и были бы более подходящими для другого вопроса, основанного на содержании вашего PHP-скрипта).
Вы также спросили, может ли кто-нибудь "слушать" этот адрес. Никто не может слушать этот адрес, просто зная, что это. Однако это не исключает возможности атаки типа «злоумышленник посередине» (опять же, сетевые детали выходят за рамки этого вопроса и будут более подходящими для другого вопроса, основанного на ваша сетевая архитектура).
На самом деле, в этой ссылке нет ничего, что можно было бы "спрятать", чего нельзя было бы обнаружить с помощью элементарных сетевых инструментов. (Фактически, вы ДОЛЖНЫ раскрыть все части, иначе вашу систему нельзя будет использовать вообще.)
Учитывая ваш недостаток знаний, продолжайте задавать подобные вопросы и продолжайте изучать каждую часть вашей системы как он построен. В безопасности нет ничего волшебного, но вы должны продолжать задавать вопросы, исследовать и устранять слабые места.
Единственная причина, по которой это можно считать плохой практикой, заключается в том, что вы не можете получить подписанный сертификат от широко проверенного ЦС для IP адреса.
Просто получите правильный домен. В наши дни они почти свободны.