[PHP] web-based cronjobs service, hoe veilig?

[Rekcor]

Hoi!

Mijn provider staat geen cron-jobs toe. Nu heb je web-diensten die dit aanbieden, bijv. https://www.setcronjob.com. Deze site kun je met een bepaalde interval een URL laten openen op jouw site, bijv. https://www.mijnsite.nl/runCron.php.

Nu vroeg ik me af wat de veiligheidsrisico's zijn van het volgende scenario: n keer per dag wordt https://www.mijnsite.nl/runCron.php aangroepen vanaf https://www.setcronjob.com. Verder:

• De aanvraag loopt via HTTPS
• $_GET en $_POST worden niet gebruikt: runCron.php bevat alleen voorgekookte MySQL-queries / PHP-code.
• Er wordt een check gedaan met $_SERVER['HTTP_USER_AGENT'] om te kijken of het verzoek afkomstig is van de web-dienst.
• Er is een check: runCron.php mag max n maal per dag aangeroepen worden.
• Error messages staan helemaal uit.

[Exception]

Net zo veilig als dat een bezoeker van jouw website een PHP-bestand aanroept. Komt op hetzelfde neer.

[Afvalzak]

Exception schreef op maandag 28 oktober 2013 @ 09:41:
Net zo veilig als dat een bezoeker van jouw website een PHP-bestand aanroept. Komt op hetzelfde neer.

Dít, alleen moet ik nu (bijvoorbeeld) een REST tooltje gebruiken en de User Agent even instellen op de goede.

Maar als het geen kwaad kan als iemand het een keertje extra aanroept, tjuah maakt het dan uit.
(Er zijn geen parameters die meegestuurd moeten worden lijkt mij)

Je zou nog een pass+user check erop kunnen doen, dat is nooit scheef

[PatrickH89]

Kan die service geen Basic Authentication header meegeven, dat lijkt me het meest veilig als je niet wilt dat ie vaker aangeroepen wordt.

[Rekcor]

Dank!

PatrickH89 schreef op maandag 28 oktober 2013 @ 09:46:
Kan die service geen Basic Authentication header meegeven, dat lijkt me het meest veilig als je niet wilt dat ie vaker aangeroepen wordt.

Waarom is dat veiliger dan mijn lokale check op n x per dag?

[PatrickH89]

Omdat je dan zelf bepaalt wanneer het bestand aangeroepen wordt, maar als dat niet erg is zou ik het ook vooral lekker laten

[RobIII]

Rekcor schreef op maandag 28 oktober 2013 @ 09:49:
Dank!


[...]


Waarom is dat veiliger dan mijn lokale check op n x per dag?

Omdat <random_bezoeker> of mogelijk <random_webcrawler> vandaag-of-morgen je runjob.php ontdekt en gaat aanroepen. Laat die service credentials meegeven zodat je (vrij) zeker weet dat 't verzoek van die service komt i.p.v. één van voorgenoemde scenario's en je bent klaar. Dan gaat 't hooguit nog "mis" als die service een keer gehackz0rd wordt en de credentials op straat komen liggen. In dat geval verander je de credentials en gebruik je een andere service die 'tzelfde doet et voila.

[Afvalzak]

Overschakelen naar een andere hostingprovider is natuurlijk ook mogelijk hé

[Rekcor]

Nogmaals dank!

[Saven]

En ik heb nog nooit meegemaakt dat een webhoster geen cronjobs voor mij in wilde schakelen. Dus je zou het ook gewoon kunnen vragen mocht je dat nog niet gedaan hebben