Seguridad y control de acceso

Abrir tu localhost al mundo exige responsabilidad. ResolveLabs Tunnel intercepta el tráfico en nuestros servidores Edge antes de que llegue a tu máquina, para que controles exactamente quién entra.

Seguro por defecto

• Transporte cifrado. La CLI se conecta a nuestro Edge por TLS 1.3. No se abre ningún puerto de entrada en tu red.
• URLs públicas HTTPS. Cada túnel HTTP recibe un certificado válido (TLS 1.2 o superior).
• Aislamiento de puerto. El túnel es estricto: solo tiene permiso para acceder al puerto que especificas. El resto de tu sistema de archivos y tus bases de datos quedan aislados e invisibles.
• Terminal segura. Todo lo que un visitante controla (rutas de URL, headers) se sanea antes de imprimirse, así nadie puede inyectar secuencias de escape en tu terminal.

Qué cubre y qué no cubre el TLS

CLI  <== TLS 1.3 ==>  Edge  <== TLS 1.2+ (valid certificate) ==>  visitor                      (the Edge terminates TLS to route and authenticate)

La conexión entre la CLI y el Edge está cifrada, y la del visitante hasta el Edge también. Pero el Edge termina el TLS: necesita leer la petición para enrutarla por nombre, aplicar Basic Auth y la lista de IP, y construir el log del inspector. Por eso esto no es cifrado de extremo a extremo: trata al Edge como una parte de confianza, y el último tramo (de la CLI a tu app) es HTTP simple dentro de tu propia máquina. El Edge no guarda los bodies de las peticiones.

Protección con contraseña (Basic Auth)

Deja fuera a curiosos y bots añadiendo una capa de autenticación con un solo comando:

rl-tunnel http 3000 --auth "admin:password123"

Los visitantes ven un aviso de inicio de sesión del navegador. Las credenciales se comprueban en el Edge, así que las peticiones sin autenticar nunca llegan a tu máquina. El header Authorization del propio túnel no se pasa a tu app.

Lista de IP permitidas

Limita el acceso a tu oficina, tu VPN o los rangos de un cliente. Repite la flag para varias entradas (IP sueltas o rangos CIDR):

# Only these IPs/ranges can reach the tunnelrl-tunnel http 3000 --allow-ip 203.0.113.0/24 --allow-ip 198.51.100.7

El Edge usa la dirección real de la conexión. Un visitante no puede saltarse la lista enviando un header X-Forwarded-For falso.

Inspector y privacidad

El inspector muestra cada petición solo a ti. Los bodies se limitan a 32 KiB y las respuestas de WebSocket/streaming aparecen solo con headers. Usa --no-body para que nunca se capturen bodies, y consulta el Inspector de tráfico para saber qué se guarda en tu máquina.

Límites que protegen a todos

• Todo túnel requiere una cuenta con sesión iniciada, y las nuevas conexiones por minuto están limitadas por IP.
• Las cuentas tienen un tope de túneles simultáneos, subdominios reservados y tokens.
• Los tokens se guardan como hash. Revocar uno cierra sus túneles abiertos en aproximadamente un minuto.

Checklist antes de exponer una app

• ¿Hay datos privados? Añade --auth o --allow-ip.
• ¿El tráfico lleva secretos (pagos, datos de salud)? Usa --no-body.
• ¿Es una base de datos? Usa credenciales fuertes y cierra el túnel al terminar.
• ¿Es un servidor de desarrollo con endpoints de debug? Desactívalos o restringe el acceso.
• Cierra el túnel (Ctrl+C) cuando dejes de usarlo.