$ls haerten/

Härten, was schon läuft

Rechte, Dienste, Container, Zertifikate und Geheimnisse: die Schrauben am laufenden System, für die keine neue Software nötig ist.

CAA und DNSSEC: zwei DNS-Einträge gegen fremde Zertifikate

Ein Zertifikat beweist Kontrolle über die Domain. Genau deshalb ist DNS der eigentliche Angriffspunkt.

Man muss keinen Mailserver betreiben, um eine Mail-Richtlinie zu brauchen. Es reicht, eine Domain zu haben.

Man muss eine Anwendung nicht geschrieben haben, um zu verhindern, dass sie zum Einfallstor wird.

Ein Token, das einmal öffentlich war, ist verbrannt. Auch wenn der Commit weg ist.

root im Container ist root auf dem Host, sobald eine Kleinigkeit schiefgeht. Der Unterschied ist eine Zeile.

Die Frage nach einem Einbruch ist nie „wie kam er rein“, sondern „wie weit kam er danach“.

Ein Einmalcode lässt sich weiterreichen. Ein an die Domain gebundener Schlüssel nicht.

Der Dienst braucht drei Verzeichnisse und einen Port. Standardmäßig sieht er das gesamte System.

Ein Zertifikat, das jemand jährlich von Hand erneuert, ist ab 2027 ein monatlicher Termin. Das hält niemand durch.