Un sottodominio ospitato esternamente è un rischio per la sicurezza?

Una società per la quale sto sviluppando un sito Web vuole mantenere il proprio dominio attuale, che è qualcosa come company.parentcompany.com. Poiché volevamo utilizzare un CMS diverso, la società madre ha rifiutato di supportarlo o addirittura ospitarlo e ci ha chiesto di pagare per l'hosting di terze parti.

Ora che lo abbiamo fatto, non faranno un record A per il sottodominio che punta al nuovo server, affermando che si tratta di un rischio per la sicurezza. Non sono un esperto di DNS in alcun modo, ma questo suona come BS totale per me. Ne ho discusso diverse volte, ma non ho mai visto nessuno sollevare problemi di sicurezza.

Posso combatterlo o sono davvero corretti?

security dns subdomain

— Volontà
fonte

Sottodomini diversi possono condividere i cookie (dipende dal percorso dei cookie utilizzato) e quindi i terzi potrebbero rubare i cookie utilizzati per l'autenticazione nel dominio principale. Questo è anche il caso in cui il tuo CMS viene violato.

Potresti ottenere un nuovo dominio per il tuo nuovo sito Web e impostare un reindirizzamento sul tuo vecchio dominio. Questo dovrebbe occuparsi della maggior parte dei problemi di sicurezza.

Potrebbero esserci anche alcuni problemi relativi allo scripting tra siti. Penso che il tuo sito Web ospitato esternamente potrebbe essere autorizzato a inviare richieste al sito padre con i cookie del sito padre. Ma non l'ho mai provato, quindi non so se anche i browser inviano i .parentsitecookie in quel caso.

— CodesInChaos
fonte

Per quanto ne so, tutti i cookie del sito padre hanno il dominio .parentcompany.com (e percorso /) e tutti i servizi che richiedono l'autenticazione sembrano comunque trovarsi su sottodomini separati (a quanto ho capito, solo questo tipo di attacco si applica al dominio principale, non ad altri sottodomini?). Poiché ciò dipende da come il dominio principale genera i cookie, ciò non comporta l'onere di avere cookie sicuri?

Non ne sono sicuro. Potrebbero esserci altri modi in cui diversi sottodomini sono considerati parte della stessa zona di attendibilità.

Ok. Grazie per la tua comprensione. Immagino che dovremo pagare anche per il nostro dominio. Normalmente non sarei così insistente nell'utilizzare il sottodominio, ma la "società madre" addebita $ 30 al mese (come "commissione di consulenza"!) Solo per il sottodominio !!! E ora tutto ciò che stanno facendo è reindirizzarlo!