Lumea mă întreabă des două lucruri. Ce înseamnă xTQ și cum de site-ul rămâne în picioare când altele cad? Uite răspunsul la amândouă.
De ce xTQ
xTQ e o poreclă pe care o aveam de mult. Am lăsat-o deoparte câțiva ani, apoi m-am întors la ea, pentru că n-a încetat niciodată să fie a mea.
Azi e mai mult decât o poreclă. E numele pe care îl pun pe tot ce construiesc. xtq.ro e casa mea pe internet, iar fiecare proiect stă sub el, la adresa lui: xTQ PHP, xTQ Web și blogul ăsta. Sunt developer web și software din Timișoara și cred că nimic nu e imposibil. Nu e un slogan, e motivul pentru care există cea mai mare parte din ce vezi aici.
Pe ce rulează site-ul
Majoritatea site-urilor sunt făcute din aceleași câteva piese. WordPress deasupra, o bază de date dedesubt, o grămadă de pluginuri la mijloc și un server web ca Apache sau nginx în față. Milioane de site-uri au exact aceleași piese și aceleași puncte slabe.
Ăsta nu. Rulează pe tehnologia mea, de la ușa din față până la ultima pagină, în spatele Deflecto.
xTQ Web e ușa din față. Fiecare vizitator vorbește întâi cu el. E un server web scris de mine în Rust, un limbaj făcut în așa fel încât familii întregi de buguri de memorie pur și simplu nu pot exista. Se ocupă de HTTPS, trimite fiecare vizitator unde trebuie și ține floodurile afară. A înlocuit serverul cunoscut pe care îl folosea site-ul înainte.
Blogul e făcut din pagini simple. Când public un articol, generatorul meu îl transformă în fișiere HTML gata făcute, o singură dată. Când deschizi un articol, nu se construiește nimic pentru tine, nu se întreabă nicio bază de date, nu rulează niciun cod. Primești doar un fișier care e deja gata.
xTQ PHP e pentru site-urile care au nevoie de PHP. E serverul meu de PHP, scris tot în Rust, și pe el rulez WordPress și WHMCS când e nevoie de ele. Când PHP a avut cel mai grav bug din ultimii ani, l-am reparat în aceeași săptămână și am pus în xTQ PHP protecție pentru următorul.
Fără WordPress. Fără pluginuri de la necunoscuți. Fără prostii.
De ce e atât de greu de dat jos
Să fiu sincer de la început: nimic de pe internet nu e imposibil de dat jos. Dar poți să-l faci atât de greu și de inutil de atacat încât lumea renunță. Uite cum face site-ul ăsta asta.
Nu ai unde să intri. Majoritatea site-urilor sparte sunt sparte prin WordPress, printr-un plugin vechi, printr-o pagină de login sau printr-o bază de date. Site-ul ăsta nu are nimic din toate astea pentru vizitatori. Fără conturi, fără formulare de comentarii, fără bază de date în spatele paginilor, fără pluginuri. Nu poți intra în ceva care nu există.
Nu ai ce să supraîncarci. O pagină de WordPress se construiește de la zero pentru fiecare vizitator, cu PHP și interogări în baza de date de fiecare dată. Aici fiecare pagină e deja gata, așa că trimiterea ei nu costă serverul aproape nimic. Un val de trafic care ar sufoca un site normal abia se simte aici.
Rulează de trei ori. Site-ul rulează în trei copii separate, una lângă alta. xTQ Web verifică fiecare copie tot timpul, iar dacă una nu mai răspunde, vizitatorii sunt trimiși la celelalte fără să observe nimic.
Ușa din față se apără. xTQ Web ține sub control numărul de conexiuni deschise și munca grea pe care o cere fiecare conexiune nouă, așa că niciun flood nu poate mânca toată mașina, iar vizitatorii care sunt deja înăuntru sunt serviți în continuare. Boții care scanează toate serverele de pe internet după fișiere secrete și resturi de configurare sunt trimiși la plimbare înainte să ajungă la ceva. Și dacă vreodată devine cu adevărat urât, xTQ Web are o verificare de browser pe care o pot porni: fiecare browser dovedește că e un browser adevărat înainte să intre. Oamenii reali abia observă. Boții rămân blocați la ușă.
Actualizările nu-l strică niciodată. Când public un articol, noua versiune a blogului se construiește separat și se schimbă dintr-odată. Vizitatorii văd fie blogul vechi, fie pe cel nou, niciodată ceva actualizat pe jumătate.
Și în fața tuturor stă Deflecto. Înainte ca traficul să ajungă măcar la serverul meu, trece prin Deflecto, un strat de protecție făcut exact pentru asta: să înghită floodurile și să filtreze traficul rău înainte să atingă site-ul. Deci un atacator nu trebuie doar să treacă de xTQ Web. Trebuie să treacă întâi de Deflecto, iar apoi dă de un site în care nu are ce să strice și nu are ce să supraîncarce.
De ce să-ți construiești singur totul?
Pentru că așa înțeleg fiecare bucată din el. Când ceva merge prost, nu aștept ca autorul unui plugin de pe partea cealaltă a lumii să-l repare. Deschid codul și îl repar eu, de obicei în aceeași zi. Iar când apare un nou fel de atac, pot să adaug o apărare imediat.
Și e mai distractiv. Majoritatea folosesc ce folosește toată lumea. Eu prefer să-mi construiesc singur și să știu exact de ce merge.
Așa că atunci când cineva mă întreabă dacă blogul ăsta poate fi dat jos, răspunsul meu e același ca pentru orice altceva: nimic nu e imposibil. Dar baftă.