Что важно учесть при выставлении наружу эндпоинтов Actuator?
- Какие эндпоинты Actuator можно открывать наружу?
Наружу по HTTP по умолчанию открыт только health. Остальное (env, heapdump, loggers, configprops, threaddump) раскрывает секреты и внутренности — включают осознанно, на отдельном порту (management.server.port) и за авторизацией.
- heapdump содержит пароли и данные пользователей из памяти
- Детали health наружу — show-details: never или when-authorized
- Prometheus-эндпоинт — только для сети мониторинга
А ещё Открытый /actuator/env — частая находка пентестеров
Подробно
Умолчание намеренно консервативное, но разработчики часто ставят exposure.include=* «чтобы всё работало» и забывают откатить — так наружу утекают строки подключения, значения свойств и возможность снять дамп кучи. Правильная схема: включать только нужные эндпоинты, вынести их на management.server.port, закрытый на уровне сети, и дополнительно защитить через Spring Security. Отдельная деталь про health: подробности состояния по умолчанию скрыты, и show-details=always стоит включать только для внутреннего доступа, иначе наружу уйдут адреса баз и брокеров.
Что хотят услышать
- Опасные эндпоинты и почему.
- Отдельный порт, авторизация, минимум наружу.
Частые ошибки
- Ставить exposure.include=* и оставлять так в production.
- Считать, что Actuator защищён по умолчанию.
Проверьте себя
Несколько верных вариантов. Подумайте, потом откройте ответ.
Показать варианты и ответ
- ✓По умолчанию через HTTP открыт только health, остальное — через exposure.include
- ✓env, configprops и heapdump раскрывают конфигурацию и память — наружу их не выпускают
- ✓Management-эндпоинты выносят на отдельный порт, закрытый от интернета
- ✗Actuator сам требует аутентификацию для всех эндпоинтов независимо от настроек безопасности приложения
Что спросят дальше
- Чем опасен эндпоинт heapdump?
- Как показывать детали health только внутренним потребителям?
Разбор темы
- Actuator и наблюдаемость
Production-эндпоинты, health-проверки и probes, метрики через Micrometer, трассировка и безопасность эндпоинтов.
Связанные вопросы
Разбор собеседования с sotto
После собеседования sotto разбирает разговор: оценка, каждый вопрос — хорошо, частично или слабо, чего не хватило в ответе и над чем поработать к следующему разу. Первые 30 минут бесплатно.