Allgemeine Sicherheitsrichtlinien für verschiedene Umgebungen für Entwicklungsworkflows

Auf dieser Seite werden die wichtigsten Best Practices für die Sicherheit in allen Umgebungen beschrieben. Weitere detaillierte Informationen zu Sicherheit und Firebase finden Sie in der Sicherheitscheckliste.

Sicherheit für Vorproduktionsumgebungen

Ein Vorteil der Trennung von Umgebungen in verschiedenen Firebase-Projekten besteht darin, dass ein böswilliger Akteur, der Zugriff auf Ihre Vorproduktionsumgebungen erhält, nicht auf echte Nutzerdaten zugreifen kann. Hier sind die wichtigsten Sicherheitsvorkehrungen für Vorproduktionsumgebungen:

  • Beschränken Sie den Zugriff auf Vorproduktionsumgebungen. Verwenden Sie für mobile Apps App Distribution (oder eine ähnliche Lösung), um eine App für eine bestimmte Gruppe von Personen bereitzustellen. Bei Webanwendungen ist es schwieriger, den Zugriff zu beschränken. Sie können jedoch eine Blockierungsfunktion für die Vorproduktionsumgebungen einrichten, die den Zugriff auf Nutzer mit E-Mail Adressen beschränkt, die spezifisch für Ihre Domain sind. Wenn Sie Firebase Hosting verwenden, können Sie Ihre Vorproduktions-Workflows so einrichten, dass temporäre Vorschau-URLs verwendet werden.

  • Wenn eine Umgebung nicht beibehalten werden muss und nur von einer Person (oder bei Tests von einem Computer) verwendet wird, verwenden Sie die Firebase Local Emulator Suite. Diese Emulatoren sind sicherer und schneller, da sie vollständig auf localhost ausgeführt werden können, anstatt Cloud-Ressourcen zu verwenden.

  • Richten Sie in Vorproduktionsumgebungen Firebase Security Rules ein, genau wie in Produktionsumgebungen. Im Allgemeinen sollten die Security Rules in allen Umgebungen gleich sein. Da sich Regeln jedoch mit dem Code ändern, kann es Regeln geben, die sich früher in der Pipeline befinden und noch nicht in der Produktion vorhanden sind.

Sicherheit für Produktionsumgebungen

Produktionsdaten sind immer ein Ziel, auch wenn die App unbekannt ist. Wenn Sie diese Richtlinien befolgen, können böswillige Akteure zwar nicht vollständig daran gehindert werden, an Ihre Daten zu gelangen, aber es wird ihnen erschwert:

  • Aktivieren und erzwingen Sie App Check für alle Produkte , die es unterstützen. App Check stellt sicher, dass Anfragen an Ihre Backend-Dienste von Ihren echten Apps stammen. Dazu müssen Sie jede Version Ihrer App bei App Check registrieren. Es ist einfacher, App Check einzurichten, bevor Sie Nutzer haben. Richten Sie es daher so schnell wie möglich ein.

  • Erstellen Sie robuste Firebase Security Rules. Realtime Database, Cloud Firestore und Cloud Storage verwenden vom Entwickler konfigurierte Security Rules, um zu erzwingen, wer auf Daten zugreifen darf und wer nicht. Es ist wichtig für Ihre Sicherheit, dass Sie gute Security Rules erstellen. Wenn Sie sich nicht sicher sind, wie das geht, beginnen Sie mit diesem Codelab.

  • Weitere Empfehlungen zur Sicherheit für Produktionsumgebungen finden Sie in der Sicherheitscheckliste.

Nächste Schritte