Как разместить CyberChef самостоятельно в 2026 году: безопасный доступ, запуск без сохранения состояния и обновления

Самая короткая демонстрация CyberChef подтверждает лишь то, что процесс слушает порт 80. Для production нужны более убедительные доказательства. Система должна проходить этот сценарий даже после замены контейнера: создать многошаговый рецепт, экспортировать его, обработать типичный файл и убедиться, что хеш результата совпадает с известным значением.

CyberChef разворачивают с понятной целью: предоставить браузерный workbench для кодирования, декодирования, разбора данных и криптографии. Самая распространённая проблема при развертывании заключается в том, что большие операции исчерпывают память браузера, хотя сервер работает нормально. Поэтому обработке публичного URL и сохранению состояния нужно уделить столько же внимания, сколько и запуску image.

Выберите минимально необходимую топологию CyberChef

Полезная схема CyberChef показывает публичный маршрут, приватный порт 80, границу состояния и все вспомогательные требования. Отметьте, по каким стрелкам передаются credentials, а по каким идёт обычный пользовательский трафик. Стандартной сборке CyberChef не нужны база данных или отдельный persistent runtime service. Оставьте web-контейнер заменяемым, а будущие компоненты для authentication, collaboration или storage разместите за отдельно описанной границей.

Подтвердите схему одним реальным действием: создайте многошаговый рецепт, экспортируйте его, обработайте типичный файл и убедитесь, что хеш результата совпадает с известным значением. В стандартном static deployment основная нагрузка, скорее всего, придётся на память браузера и CPU при работе с большими рецептами, а не на вычисления на стороне контейнера. Мониторьте именно этот путь, а не рассматривайте все HTTP-запросы одинаково.

Запустите первый production-подобный экземпляр

Используйте контейнер как заменяемый runtime, а не как место хранения данных, которым нужно доверять.

docker run -d \
  --name cyberchef \
  --restart unless-stopped \
  -p 127.0.0.1:80:80 \
  ghcr.io/gchq/cyberchef:latest

Перед публикацией проверьте локальное требование: стандартной client-side build не нужна база данных. До открытия доступа проверьте пользователя контейнера, доступные для записи пути и listener, привязанный к нужному адресу. Выполните полный сценарий — создайте многошаговый рецепт, экспортируйте его, обработайте типичный файл и убедитесь, что хеш результата совпадает с известным значением, — и сохраните точную ссылку на image, с которым был получен результат.

Проверьте CyberChef извне сервера

Опубликуйте static interface на доверенном HTTPS origin. Направьте выбранный hostname на порт 80 контейнера, передавайте исходные host и HTTPS scheme и не публикуйте второй прямой origin.

Проверьте CyberChef с чистого внешнего клиента. Отделяйте сбой ingress от известной границы приложения: большие операции исчерпывают память браузера, хотя сервер работает нормально. Ошибки сертификата, DNS или 502 относятся к маршрутизации; если запрос доходит до CyberChef и завершается ошибкой позже, проблема связана с состоянием приложения, capacity или его вспомогательным требованием. Первая группа подробно рассматривается в руководстве по TLS для custom domain.

Найдите все сохраняемые данные CyberChef

Стандартному контейнеру CyberChef не нужен mount для application data. Тем не менее набор данных для восстановления должен быть определён явно: application data нет, зато нужно сохранить deployment configuration и pin image. Не создавайте пустой volume только для того, чтобы deployment выглядел stateful. Вместо этого сохраните точную ссылку на image и проверенную конфигурацию.

Пересоздайте CyberChef на чистом хосте и выполните acceptance transaction. Восстановление считается успешным, если pinned static build можно воссоздать, а экспортированный рецепт выдаёт тот же известный результат. Для любой подключённой базы данных или collaboration service применяйте собственный application-consistent backup plan, а заменяемый web-контейнер пересоздавайте из кода. В руководстве по развертыванию из Git в production описана эта воспроизводимая граница.

Храните checksum или digest заведомо исправного image и повторно запускайте проверки после обновлений. Для stateless service успешная пересборка — это тест восстановления; для внешнего состояния runbook CyberChef должен содержать ссылку на отдельного владельца и процедуру восстановления.

Защитите наиболее важную часть CyberChef

Не добавляйте фиктивный environment secret только для того, чтобы CyberChef выглядел защищённым. Главная проблема — обработка чувствительных материалов в изменённом или ненадёжном image. Поэтому, если операторы будут вставлять credentials, captures или закодированные данные, публикуйте только официальный image либо image, собранный воспроизводимым способом.

При необходимости ограничьте публичный маршрут, проверьте image digest и запускайте контейнер без host mounts и privileges, которые ему не нужны. Лимиты следует определять с учётом памяти браузера и CPU при работе с большими рецептами, а не вычислений на стороне контейнера в стандартном static deployment. В логах должны фиксироваться ошибки и длительность операций, но не чувствительные входные данные, обработанные CyberChef.

Диагностируйте CyberChef, который выглядит исправным

Во время выполнения этой regression transaction измеряйте память браузера и CPU при работе с большими рецептами, а не вычисления на стороне контейнера в стандартном static deployment: создайте многошаговый рецепт, экспортируйте его, обработайте типичный файл и убедитесь, что хеш результата совпадает с известным значением. Оставьте liveness probe простым; conversion и работа на стороне браузера должны проверяться отдельно в release check, чтобы тяжёлый sample не вызвал restart loop.

Риск обновления заключается в том, что операции рецептов CyberChef и bundled libraries могут изменить результат или совместимость, поэтому pinned build требует regression test. Запустите candidate digest рядом с текущим image, передайте обоим одинаковые известные входные данные и сравните outputs, headers и timing. Если большие операции исчерпывают память браузера, хотя сервер работает нормально, сохраните неудачный запрос и image reference до изменения маршрута.

Превратите smoke test CyberChef в release check

В release record для CyberChef нужны факты, а не отметка «выглядит хорошо». Сохраните выбранный image digest, configuration checksum, публичный hostname и результат с timestamp для следующего сценария: создать многошаговый рецепт, экспортировать его, обработать типичный файл и убедиться, что хеш результата совпадает с известным значением. Используйте sample data не из production, чтобы проверку можно было выполнять после каждого deployment.

Проверяйте два события жизненного цикла отдельно. После замены контейнера обычная работа должна сохраняться; чистое восстановление должно показать, что pinned static build можно воссоздать, а экспортированный рецепт выдаёт тот же известный результат. Во время проверок измеряйте память браузера и CPU при работе с большими рецептами, а не вычисления на стороне контейнера в стандартном static deployment, и сохраняйте результат как ожидаемый envelope для этой версии.

Проверьте также отказ или некорректное условие: отправьте безопасные входные данные, близкие к resource или format limit, связанному с этой границей: большие операции исчерпывают память браузера, хотя сервер работает нормально. CyberChef должен завершиться с диагностируемой ошибкой и не перезаписать исправное состояние. Вернитесь к корректному условию, повторно запустите sample и приложите соответствующие очищенные логи. Эти артефакты дадут для будущего решения об откате конкретные доказательства.

Перенесите повторяемую инфраструктурную работу в Dockup

Для stateless CyberChef задача Dockup ограничена и понятна: запустить pinned image, оставить порт 80 приватным, подключить HTTPS route и заменить контейнер, не изобретая storage. Deployment можно направить на инфраструктуру Dockup или на сервер, подключённый заказчиком.

Завершите настройку приложения: опубликуйте static interface на доверенном HTTPS origin. Dockup должен сохранить runtime settings CyberChef, а оператор — подтвердить локальное требование: стандартной client-side build не нужна база данных. Выполните это acceptance action: создайте многошаговый рецепт, экспортируйте его, обработайте типичный файл и убедитесь, что хеш результата совпадает с известным значением. Необязательные authentication или внешние сервисы следует представить как отдельные configuration и dependencies, чтобы deployment оставался точным.

Часто задаваемые вопросы

Что нужно CyberChef для production deployment?

Направьте контейнер CyberChef через один HTTPS origin на порт 80. Стандартной сборке CyberChef не нужны база данных или отдельный persistent runtime service. Не объявляйте CyberChef готовым, пока не сможете создать многошаговый рецепт, экспортировать его, обработать типичный файл и убедиться, что хеш результата совпадает с известным значением.

Какие данные CyberChef нужно включать в резервную копию?

Стандартному image CyberChef не нужен mount для application data. Сохраните его deployment configuration, а любые подключённые данные резервируйте отдельно. Восстановление считается успешным, если pinned static build можно воссоздать, а экспортированный рецепт выдаёт тот же известный результат.

Нужен ли CyberChef HTTPS за reverse proxy?

Используйте HTTPS для публичного CyberChef origin, а порт 80 оставьте во внутреннем маршруте. Корректно примените настройку CyberChef: опубликуйте static interface на доверенном HTTPS origin. Для CyberChef HTTPS защищает credentials или пользовательский контент при передаче и обеспечивает согласованную работу client-side поведения, зависящего от origin.

Как тестировать обновление CyberChef?

Разверните candidate image CyberChef рядом с текущим и повторите acceptance transaction с известными входными данными. Уделите этому особое внимание: операции рецептов CyberChef и bundled libraries могут изменить результат или совместимость, поэтому pinned build требует regression test. В стандартном контейнере нет data migration, поэтому сохраняйте предыдущий digest, пока не пройдены проверки результата и совместимости.