SSL ve HTTPS kumarda nasıl çalışır

Online casinolar ödemeleri, KYC belgelerini, oturum ve sonuç geçmişini ele alır. Herhangi bir sızıntı - para cezaları, kilitler edinme, itibar hasarı. SSL/TLS ve HTTPS, "tarayıcı ↔ sunucu" kanalının temel "zırhı'dır ve olgun altyapılarda dahili API'lerde (PAM, RGS, ödeme web kitapları)" CDN/WAF ↔ origin've mTLS de vardır. Kaputun altında ne olduğunu ve kumar oynamak için her şeyi doğru bir şekilde nasıl yapılandıracağımızı bulalım.

Temel: SSL, TLS ve HTTPS'nin farkı

TLS - taşıma şifreleme protokolü (eski SSL'nin halefi).

HTTPS, TLS üzerinden tünellenmiş düzenli HTTP'dir.

Hedefler: gizlilik (şifreleme), bütünlük (MAC/AEAD) ve sunucu orijinalliği (sertifika).

TLS el sıkışmasında ne olur (çok kısa)

1. İstemci "selamlar": algoritmalar, SNI (hangi etki alanı), ALPN (HTTP/1. 1 veya HTTP/2/3).

2. Sunucu bir sertifika + güven zinciri ve şifreleme ayarları ile yanıt verir.

3. Taraflar anahtarlar üzerinde anlaşırlar (ECDHE - Perfect Forward Secrecy).

4. Sertifikanın doğrulanması (zincir, terim, iptal edilmiş/değil, aynı ad).

5. Şifreli kanal hazır; Daha sonra düzenli HTTP geliyor - zaten TLS içinde.

Optimizasyonlar: TLS 1'de 0-RTT Devam/Oturum Biletleri. 3 (RTT kaydeder, ancak tekrarlanan istekleri nedeniyle dikkatli gerektirir).

Sertifikalar ve PKI (operatörler için önemlidir)

Türleri: DV (etki alanı), OV (kuruluş), EV (gelişmiş doğrulama). Kumarhaneler için, genellikle OV/EV kamu alanlarına.

'.example' için joker karakter. com've/veya SAN birden çok etki alanı için.

Sertifika Şeffaflığı: BT günlüklerinde yayın, markamız için "diğer kişilerin" sorunlarını izliyoruz.

OCSP zımbalama: sunucu, doğrulamayı hızlandırarak iptal durumunu "dosyalıyor".

💡 Dahili hizmetler (yönetici paneli, webhooks, servisten servise) - özel bir CA'dan mTLS'de daha sık: Sunucu ve istemci birbirlerine sertifika sunar.

Gerçek iGaming kaskadında HTTPS


Oyuncu Tarayıcısı - CDN/WAF - (TLS) - Origin/Frontend
↓ (TLS)
API Ağ Geçidi/PAM
↓ (mTLS)
RGS/Ödemeler

Anahtar ilke: Her kavşakta şifreleme. TLS CDN'de sona ererse, CDN ile orijin arasında zorunlu bir TLS olmalıdır, aksi takdirde ortağın çevresinde müdahale mümkündür.

Tam olarak neyi şifreliyoruz ve nerede önemli

Mevduat/sonuçlar: kişisel hesap, ikmal, Visa Direct/Mastercard Durum gönder - kesinlikle HTTPS.

KYC: belge indirmeleri ve destek sohbetleri - yalnızca HTTPS + güvenli çerezler.

Oyun geçmişi/dengesi: özel veriler, zorunlu şifreleme.

WebSockets: Canlı casinolarda/sohbetlerde wss ://( soketler için TLS) kullanın.

Webhooks PSP: HTTPS üzerinden kabul, genellikle mTLS + imza organları ile.

TLS Konfigürasyonu "Hijyen"

Sürümler: TLS 1'i etkinleştirin. 2/1. 3, SSLv3/TLS 1'i devre dışı bırak. 0/1. 1.

Şifreler: ECDHE + AES-GCM/ChaCha20-Poly1305 (PFS).

HSTS: 'Strict-Transport-Security: max-age = 31536000; IncludeSubDomains; Karışık içeriği kaldırdıktan sonra ön yükleme '.

Güvenlik başlıkları:

'Content-Security-Policy' (с 'frame-ancestors' вместо 'X-Frame-Options')
'X-Content-Type-Options: nosniff'
'Yönlendirici-Politika: yönlendirici-ne zaman-düşürme notu' (veya daha katı)
Çerezler: 'Güvenli; HttpOnly; SameSite = Lax/Strict 'oturumlar için.
Karışık içeriğin yasaklanması: HTTPS sayfalarında HTTP içeriği yoktur.
Anahtarlar: RSA-2048/3072 veya EC-P256/P384; HSM/KMS'de depolama, politika rotasyonu.

Sık mimari uzantılar

Şunlar için mTLS: Yöneticiler, arka ofis API'leri, ödeme web kitapları, CDN - başlangıç bağlantıları.

SNI/ALPN IP tasarrufu ve HTTP/2/3 yükseltme.

Sabitleme: Sert HPKP (eski) değil, mobil istemci/SDK düzeyinde CT izleme ve pin listeleri.

DDoS katmanları: TLS sonlandırma + L7 korumalı WAF/CDN, ancak tekrar ediyoruz - şifreliyoruz ve "CDN için".

İzleme ve çalıştırma

Otomatik yenileme (ACME/otomasyon), son kullanma tarihinden 30/14/7/1 gün önce uyarır.

Sürümlerden sonra yapılandırmayı tarayın; TLS Misconfig üzerinde yapılan testler.

Metrikler: el sıkışma hataları, sürüm/ALPN, paylaşım HTTP/2/3, gecikme.

CT izleme: markanız için şüpheli sertifikalar hakkında uyarılar.

Günlükler: düşürme girişimleri, 'cipher _ mismatch', 'bad _ record _ mac' patlamaları.

DR/BCP: değiştirme sertifikaları, iptal/değiştirme/döndürme prosedürleri.

Olaylar ve yanıt (runbook)

1. Anahtar uzlaşma şüphesi - derhal iptal, yenisinin serbest bırakılması, tüm/giriş dengeleyicilerinde rotasyon.

2. Karışık içerik - CI/CD + SAST raporlarında/satırlarında blok.

3. Çürük sertifika - acil durum sürümü + retrospektif (neden izleme işe yaramadı).

4. Kimlik avı etki alanları - CT uyarısı - CA/tarayıcı satıcılarına şikayet, oyunculara iletişim.

Tipik kumar hataları

TLS CDN ile biter - CDN yok - köken şifrelemesi.

HSTS eksik veya karışık içeriği ortadan kaldırmadan etkinleştirildi (site sonları).

'SameSite'/' HttpOnly' olmayan oturum çerezleri.

Yönetici paneli, mTLS ve IP-allow-list yerine DV sertifikasına sahip genel etki alanlarından edinilebilir.

CT izleme yoktur: bir saldırgan benzer bir etki alanı yayınlar - oyuncular yürütülür.

Hizmetler arasındaki dahili bağlantılar şifrelenmez.

Sertifika seçimi için mini kılavuz

Genel etki alanları (marka): OV/EV (mimariye göre + SAN/Wildcard).

Makine kanalları (PSP webhooks, admin API): özel CA + mTLS.

Yönetici ve açık ön için ayrı sertifikalar (farklı anahtarlar, farklı politikalar).

Merkezi otomasyon (ACME) ve tek tip nginx/Envoy/Ingress şablonları.

Operatörün kontrol listesi (kısa)

Yapılandırma: TLS 1. 2/1. 3, ECDHE + AES-GCM/ChaCha, OCSP zımbalama, HSTS ön yükleme, CSP, Güvenli/HttpOnly/SameSite, запрет karışık içerik.

Infra: Orijinden önce TLS, dahili/kritik API'lerde mTLS, HSM/KMS'de anahtarlar, CT izleme.

Süreçler: Otomatik yenileme, uyarılar, çevre penetrasyon testi, çalışma kitabı iptal/döndürme, her sürümden sonra kontroller.

Erişim politikası: Ayrı bir etki alanında yönetici paneli, IP-allow-list, 2FA, rol sınırlaması.

Oyuncu kontrol listesi

Adres çubuğunda https ://ve "lock" hatasız.

Tarayıcı bir sertifikaya veya "karışık içeriğe" yemin ederse CCP/ödeme verilerini girmeyin.

Harfin etki alanını kontrol edin; Harflerden "casino'yu tıklamayın - yer imlerinden gidin.

SSS (kısa)

EV sertifikasına ihtiyacım var mı? İsteğe bağlı. Önemli olan doğru TLS yapılandırması ve süreçleridir. EV, B2B'ye olan güveni artırabilir.

PSP kart verilerini alırsa, HTTPS olmadan mümkün mü? Hayır. Girişler, belirteçler, KYC, sohbetler, geçmiş var - hepsi kişisel veriler.

0-RTT в TLS 1. 3 güvenli mi? Idempotent GET'ler için, evet; Kumarda POST'lar için, devre dışı bırakmak veya kısıtlamak daha iyidir.

Lisanslı bir operatör için HTTPS bir onay değil, bir sistemdir: Güçlü bir TLS profili, HSTS ve CSP, güvenli çerezler, "CDN için" şifreleme, dahili kanallarda mTLS ve anahtar disiplini. Bu, ödemeleri ve KYC verilerini korur, PSP/bankalarda katılımı hızlandırır ve oyuncu güvenini arttırır - yani doğrudan gelir ve lisansları etkiler.