Add nice URL feature with dot-separated pattern

[anneschuth]

Nice-URLs Feature

Deze PR voegt "nice-url" modus toe waarmee projecten eigen subdomeinen kunnen gebruiken in plaats van de standaard cluster URLs.

URL Structuur

Nice-URL modus:

• Component URLs: https://{component}.{subdomain}.{base_domain}
• Root URL (optioneel): https://{subdomain}.{base_domain} → wijst naar root component

Voorbeeld: Project "mijn-app" met subdomain "mijn-app" op "rijks.app":

• https://frontend.mijn-app.rijks.app
• https://api.mijn-app.rijks.app
• https://mijn-app.rijks.app (root, wijst naar frontend)

---

Nieuwe Functionaliteit

Subdomain Registry

• Globale uniciteit: Subdomeinen zijn uniek per base domain (bijv. myapp.rijks.app)
• Database-backed: PostgreSQL tabel subdomain_registry voor persistentie
• Reserved subdomains: 100+ gereserveerde namen (www, api, admin, mail, etc.)
• Atomic operations: TOCTOU-bescherming met INSERT...ON CONFLICT DO NOTHING

Domain Mode Selection

Vier URL modes beschikbaar per deployment:

1. component-specific: {component}-{deployment}-{project}.{cluster-domain}
2. deployment-name: {component}.{deployment}.{cluster-domain}
3. custom: {component}.{custom-subdomain}.{cluster-domain}
4. nice-url: {component}.{subdomain}.{base-domain} (nieuw)

Edit Domain Settings

• Modal voor wijzigen domain settings van bestaande deployments
• Real-time subdomain availability check
• URL preview tijdens configuratie
• Automatische Let's Encrypt bij nice-url mode

---

Security

Rate Limiting

• Multi-factor identificatie: IP + browser fingerprint + session ID
• Per-IP secondary limit: Voorkomt bypass door fingerprint rotatie
• New client rate limiting: Detecteert identifier flooding attacks
• Gradual purge: Verwijdert alleen stale entries (>60s), niet willekeurige helft

Information Disclosure Prevention

• Generieke foutmeldingen: "Niet beschikbaar" voor zowel reserved als taken subdomains
• Geen project info lekken: Error messages vermelden geen project namen

Atomic Subdomain Changes

• Database transacties: Subdomain wijzigingen in één transactie
• Rollback bij failure: Als nieuwe subdomain registratie faalt, blijft oude behouden
• Audit logging: Alle operaties naar opi.audit.subdomain

Input Validation

• DNS-compliant: Subdomain validatie volgens RFC 1123
• Log injection preventie: sanitize_for_log() voor alle user input
• CSRF protection: Token + Origin/Referer validatie

Internet.nl Compliance (Security Headers)

• HSTS: max-age=31536000; includeSubDomains; preload
• X-Content-Type-Options: nosniff
• X-Frame-Options: DENY
• Referrer-Policy: strict-origin-when-cross-origin
• Permissions-Policy: geolocation=(), microphone=(), camera=()

---

🌐 Internet.nl Compliance

✅ Geïmplementeerd in Ingress Template

Header	Waarde	internet.nl Vereiste
HSTS	max-age=31536000; includeSubDomains; preload	✅ Verplicht (min 1 jaar)
X-Content-Type-Options	nosniff	✅ Aanbevolen
X-Frame-Options	DENY	✅ Optioneel
Referrer-Policy	strict-origin-when-cross-origin	✅ Aanbevolen
Permissions-Policy	geolocation=(), microphone=(), camera=()	✅ Aanbevolen

📋 Handmatige Configuratie Vereist

1. DNSSEC (TransIP)

DNSSEC is automatisch ingeschakeld voor domeinen met TransIP nameservers.

2. CAA Records (TransIP Control Panel)

@    CAA    0    issue       "letsencrypt.org"
@    CAA    0    issuewild   "letsencrypt.org"
@    CAA    0    iodef       "mailto:security@rijksoverheid.nl"

3. IPv6 Support

Voor 100% score moet cluster IPv6 ondersteunen.

4. security.txt

Applicaties moeten /.well-known/security.txt serveren.

5. Content-Security-Policy

Applicaties moeten zelf CSP header configureren (applicatie-specifiek).

---

DNS Configuratie (Infrastructuur)

Geen wildcards nodig. External-dns maakt automatisch individuele A-records aan per Ingress hostname.

Vereisten

1. Domeinen geregistreerd bij TransIP met nameservers naar TransIP
2. DNSSEC ingeschakeld (automatisch bij TransIP nameservers)
3. CAA records geconfigureerd (zie boven)
4. API toegang ingeschakeld via TransIP Control Panel → Account → API
5. External-dns geïnstalleerd (zie configuratie hieronder)

External-DNS Deployment

apiVersion: v1
kind: Secret
metadata:
  name: transip-credentials
  namespace: external-dns
type: Opaque
stringData:
  transip-api-key: |
    -----BEGIN RSA PRIVATE KEY-----
    ... (private key content) ...
    -----END RSA PRIVATE KEY-----
---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: external-dns
  namespace: external-dns
spec:
  strategy:
    type: Recreate
  replicas: 1
  selector:
    matchLabels:
      app: external-dns
  template:
    metadata:
      labels:
        app: external-dns
    spec:
      serviceAccountName: external-dns
      containers:
      - name: external-dns
        image: registry.k8s.io/external-dns/external-dns:v0.14.0
        args:
        - --source=ingress
        - --provider=transip
        - --transip-account=TRANSIP_ACCOUNT_NAME
        - --transip-keyfile=/transip/transip-api-key
        - --domain-filter=rijks.app
        - --domain-filter=rijksapps.nl
        - --policy=upsert-only
        - --txt-owner-id=rig-cluster
        - --interval=1m
        volumeMounts:
        - name: transip-api-key
          mountPath: /transip
          readOnly: true
      volumes:
      - name: transip-api-key
        secret:
          secretName: transip-credentials
          items:
          - key: transip-api-key
            path: transip-api-key

RBAC Configuratie

apiVersion: v1
kind: ServiceAccount
metadata:
  name: external-dns
  namespace: external-dns
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRole
metadata:
  name: external-dns
rules:
- apiGroups: [""]
  resources: ["services", "endpoints", "pods"]
  verbs: ["get", "watch", "list"]
- apiGroups: ["extensions", "networking.k8s.io"]
  resources: ["ingresses"]
  verbs: ["get", "watch", "list"]
- apiGroups: [""]
  resources: ["nodes"]
  verbs: ["list", "watch"]
---
apiVersion: rbac.authorization.k8s.io/v1
kind: ClusterRoleBinding
metadata:
  name: external-dns-viewer
roleRef:
  apiGroup: rbac.authorization.k8s.io
  kind: ClusterRole
  name: external-dns
subjects:
- kind: ServiceAccount
  name: external-dns
  namespace: external-dns

⚠️ Belangrijke Waarschuwingen

Startup volgorde: External-dns moet starten NADAT Ingresses bestaan. Zie issue #1238.

Let's Encrypt rate limits: 50 certificates per registered domain per week.

---

Test Instructies

# Unit tests
pytest tests/test_rate_limiter.py tests/test_subdomain_connector.py tests/test_nice_url_naming.py -v

# Volledige test suite
pytest tests/

Verificatie Commands

# Security headers
curl -I https://frontend.myproject.rijks.app 2>/dev/null | grep -iE "(strict-transport|x-content-type|x-frame|referrer-policy)"

# DNS records
dig frontend.myproject.rijks.app +short
dig CAA rijks.app +short
dig +dnssec rijks.app

# internet.nl test
open "https://internet.nl/site/frontend.myproject.rijks.app/"

---

Referenties

• internet.nl - Test voor moderne internetstandaarden
• External-DNS TransIP Tutorial
• TransIP API
• TransIP CAA Records
• NCSC-NL TLS Guidelines v2.1
• Let's Encrypt Rate Limits