La nuvoletta arancione nasconde l'IP dell'origine nel DNS – ma se l'origine risponde a chiunque la contatti direttamente, è una tenda, non un muro. Gli attaccanti l'IP lo trovano: storico DNS, certificati nei CT log, un sottodominio grigio dimenticato, l'header di una mail spedita dal server.
La chiusura vera, a strati:
- firewall sull'origine: accetta la 443 solo dagli IP di Cloudflare (lista pubblica, da tenere aggiornata via script/GitOps) – il resto del mondo non deve nemmeno vedere la porta
- Authenticated Origin Pulls: l'origine pretende il certificato client di Cloudflare – anche chi arriva dagli IP giusti senza identità resta fuori
- oppure il taglio netto: Cloudflare Tunnel – nessuna porta in ingresso, l'origine chiama fuori lei
- igiene di contorno: IP nuovo dopo aver chiuso (quello vecchio è già negli archivi), niente record grigi che puntano all'origine, SSH comunque blindato
Test finale: curl -k https://IP-ORIGINE -H "Host: tuosito.it" da fuori deve fallire. Se risponde, il lavoro non è finito.