Segurança e controle de acesso

Abrir seu localhost para o mundo exige responsabilidade. O ResolveLabs Tunnel intercepta o tráfego nos nossos servidores Edge antes de chegar à sua máquina, garantindo que você controle exatamente quem entra.

Seguro por padrão

• Transporte criptografado. A CLI conecta ao nosso Edge por TLS 1.3. Nenhuma porta de entrada é aberta na sua rede.
• URLs públicas HTTPS. Todo túnel HTTP recebe um certificado válido (TLS 1.2 ou mais novo).
• Isolamento de porta. O túnel é estrito: só tem permissão para acessar a porta especificada. O resto do seu sistema de arquivos e bancos de dados fica isolado e invisível.
• Terminal seguro. Tudo que um visitante controla (caminhos de URL, headers) é higienizado antes de ser impresso, então ninguém injeta sequências de escape no seu terminal.

O que o TLS cobre e o que não cobre

CLI  <== TLS 1.3 ==>  Edge  <== TLS 1.2+ (valid certificate) ==>  visitor                      (the Edge terminates TLS to route and authenticate)

A conexão entre a CLI e o Edge é criptografada, e a do visitante até o Edge também. Mas o Edge termina o TLS: ele precisa ler a requisição para rotear pelo nome, aplicar Basic Auth e lista de IPs, e montar o log do inspetor. Portanto isto não é criptografia de ponta a ponta: trate o Edge como uma parte confiável, e o último trecho (CLI até o seu app) é HTTP simples dentro da sua própria máquina. O Edge não guarda corpos de requisição.

Proteção por senha (Basic Auth)

Bloqueie curiosos e bots adicionando uma camada de autenticação com um único comando:

rl-tunnel http 3000 --auth "admin:password123"

Quem acessa vê um pedido de login do navegador. As credenciais são verificadas no Edge, então requisições sem autenticação nunca chegam à sua máquina. O header Authorization do próprio túnel não é repassado ao seu app.

Lista de IPs permitidos

Limite o acesso ao seu escritório, VPN ou às faixas de um cliente. Repita a flag para várias entradas (IPs únicos ou faixas CIDR):

# Only these IPs/ranges can reach the tunnelrl-tunnel http 3000 --allow-ip 203.0.113.0/24 --allow-ip 198.51.100.7

O Edge usa o endereço real da conexão. Um visitante não consegue burlar a lista enviando um header X-Forwarded-For falso.

Inspetor e privacidade

O inspetor mostra cada requisição só para você. Os corpos são limitados a 32 KiB e respostas de WebSocket/streaming aparecem só com headers. Use --no-body para que corpos nunca sejam capturados, e veja o Inspetor de tráfego para saber o que fica guardado na sua máquina.

Limites que protegem todo mundo

• Todo túnel exige uma conta logada, e as novas conexões por minuto são limitadas por IP.
• As contas têm teto de túneis simultâneos, subdomínios reservados e tokens.
• Os tokens são guardados como hash. Revogar um fecha os túneis abertos com ele em cerca de um minuto.

Checklist antes de expor um app

• Há dados privados? Adicione --auth ou --allow-ip.
• O tráfego carrega segredos (pagamentos, dados de saúde)? Use --no-body.
• É um banco de dados? Use credenciais fortes e feche o túnel ao terminar.
• É um servidor de dev com endpoints de debug? Desligue-os ou restrinja o acesso.
• Feche o túnel (Ctrl+C) quando parar de usar.