Como alojamiento de SaaS, estamos considerando permitir que el cliente utilice un dominio alternativo para acceder a su entorno SaaS.
Dominio predeterminado de propiedad y hospedado por nosotros:
customersubdomain.ourdomain.com
Además, podríamos agregar enlaces para cualquier dominio al mismo sitio, permitiendo un dominio alternativo, que no nos pertenece:
www.customerdomain.com
¿Existe algún riesgo de seguridad al hacer esto?
No, si la aplicación es utilizada únicamente por el cliente o un tercero confía en la aplicación porque confía en su cliente. (no tú)
Por ejemplo: un panel de administración, un sitio web que está bajo el control exclusivo del cliente, una página de compras para clientes, etc.
Sí, si la aplicación proporciona valor a un tercero, y este tercero no debería tener que confiar en el cliente. Por ejemplo, si un usuario selecciona confiar en esta aplicación SaaS sin implicación de qué cliente es. Otro ejemplo es un formulario de entrada de tarjeta de crédito por un acuario compatible con PCI DSS. Si el usuario permite al cliente establecer su propio dominio en el formulario CC, entonces el servidor DNS del cliente debe estar protegido en el nivel de PCI DSS, ya que si se modifica, el dominio puede apuntar a un CC que recolecta un sitio malicioso.
Un ejemplo de esto es que proporciona análisis antivirus y luego lo vende "sin marca" a un cliente, que puede poner su propio nombre en la solución antivirus. Si el cliente confía en esta solución porque el Motor proviene de usted, entonces su cliente puede volverse malicioso y apuntar el dominio SaaS a un sitio malicioso en cualquier momento.
Lea otras preguntas en las etiquetas dns risk-analysis dns-domain