Consolas de administración y documentación de API abiertas

Las cuatro causas reales

1. El archivo de composición se copió de un entorno de desarrollo, donde publicar puertos es necesario para entrar desde la máquina propia.
2. La imagen trae la interfaz encendida y el único modo de apagarla es una variable que hay que buscar en la documentación.
3. La credencial por defecto sigue puesta. Peor que sin contraseña, porque da sensación de protección.
4. Se publicó para probar algo y quedó. Es la más frecuente de todas.

Cuatro reglas que se aplicaron a todos los servicios

1. Nada se publica salvo el proxy. Un único punto de entrada con TLS al frente; el resto vive en redes internas de contenedores.
2. Si algo tiene que publicarse en el host, se ata a la interfaz local, no a todas las direcciones. Así queda accesible por túnel y no desde internet.
3. Lo que está detrás del proxy y es de administración, con autenticación propia, aunque ya esté detrás de algo. Dos capas, porque una regla mal escrita deja la primera sin efecto.
4. Documentación interactiva y herramientas de depuración, apagadas por configuración de producción, no por confiar en que la variable esté bien.

Tres chequeos periódicos

1. Listar qué está publicado de verdad, en el host, incluyendo lo que abrieron los contenedores. La lista real casi nunca coincide con la que uno recuerda.
2. Escanear el servidor desde afuera, desde otra red. Es la única vista que importa, porque es la que tiene cualquiera.
3. Probar las credenciales por defecto de cada servicio que tenga interfaz. Si entran, no hace falta más evidencia.