Stricter HTTPS and weekly posture scans — we hardened the platform itself
This week we focused on the security of our own infrastructure. Strict TLS everywhere, DNS domain locks, and automated weekly cloud security scanning are now in place across all Lorika services.
What's new
- HTTPS-only enforced for one full year. All Lorika web properties now send a Strict-Transport-Security header telling browsers to use encrypted connections for the next 12 months — even if you type http:// by mistake. There is no longer a silent downgrade path.
- Full TLS validation at every hop. The connection between our edge and our origin servers now validates the server certificate at every leg. Traffic cannot travel a single hop without full encryption and certificate verification.
- CAA records lock our domains. DNS Certification Authority Authorization records now restrict which certificate authorities can issue certificates for Lorika domains. Even a compromised or rogue authority cannot silently issue a certificate that would be trusted for lorika.dev.
- Weekly automated cloud security scans. We now run a continuous security posture scan against our own cloud infrastructure on a weekly schedule. Any drift from our security baseline is flagged automatically before the next Monday.
Why this matters for customers
A device trust platform that does not apply its own standards to its own infrastructure would be hard to trust. The controls we ask your endpoints to meet — encrypted communications, verified identities, continuous posture monitoring — are now matched by what we run on the infrastructure that handles your data.
The automated weekly scan closes the gap between manual audits. Instead of discovering configuration drift during a quarterly review, we catch it within days. Customers sending device telemetry and policy results to Lorika can see exactly what security controls protect that data — it is the same stack we document in our Trust Center.
The Lorika dashboard and API now enforce HTTPS-only connections with a one-year HSTS header. If you have a monitoring probe or proxy configured to test lorika.dev over plain HTTP, update it — browsers and clients that respect HSTS will refuse the unencrypted connection automatically.
Суворіший HTTPS і щотижневі сканування — ми зміцнили власну інфраструктуру
Цього тижня команда зосередилася на безпеці власної інфраструктури. Суворий TLS скрізь, DNS-захист доменів і автоматизовані щотижневі сканування хмарної безпеки тепер запроваджені для всіх сервісів Lorika.
Що нового
- HTTPS-only: увімкнено на цілий рік. Усі веб-ресурси Lorika тепер надсилають заголовок Strict-Transport-Security, який вказує браузерам використовувати зашифровані з'єднання протягом наступних 12 місяців — навіть якщо ви випадково введете http://. Тихий перехід на незахищений протокол більше неможливий.
- Повна перевірка TLS на кожному відрізку. З'єднання між нашим edge і серверами-джерелами тепер перевіряє сертифікат сервера на кожному кроці. Трафік не може пройти жодним відрізком без повного шифрування та перевірки сертифіката.
- CAA-записи захищають наші домени. DNS-записи CAA (Certification Authority Authorization) тепер обмежують, які центри сертифікації можуть видавати сертифікати для доменів Lorika. Навіть скомпрометований або шахрайський центр сертифікації не зможе видати сертифікат, якому довірятимуть для lorika.dev.
- Щотижневі автоматизовані сканування безпеки хмари. Тепер ми щотижня запускаємо сканування стану безпеки власної хмарної інфраструктури за автоматичним розкладом. Будь-яке відхилення від базового стану безпеки виявляється автоматично до наступного понеділка.
Чому це важливо для замовників
Платформа довіри до пристроїв, яка не застосовує власні стандарти до власної інфраструктури, навряд чи заслуговує на довіру. Вимоги, які ми висуваємо до кінцевих точок ваших пристроїв — зашифровані з'єднання, перевірені ідентичності, безперервний моніторинг стану — тепер відповідають стандартам, які ми застосовуємо до власної інфраструктури, що обробляє ваші дані.
Автоматизовані щотижневі сканування закривають розрив між ручними аудитами. Замість того щоб виявляти відхилення конфігурації під час квартального огляду, ми фіксуємо їх протягом кількох днів. Замовники, які надсилають телеметрію пристроїв і результати політик до Lorika, можуть бачити, які саме засоби безпеки захищають ці дані — це той самий стек, який ми документуємо в нашому Trust Center.
Дашборд і API Lorika тепер примусово використовують лише HTTPS-з'єднання з однорічним заголовком HSTS. Якщо у вас є зонд моніторингу або проксі, налаштований на тестування lorika.dev по незашифрованому HTTP — оновіть конфігурацію: браузери й клієнти, що підтримують HSTS, автоматично відмовлятимуться від незахищеного з'єднання.