cookbooks/web/templates/default/apache.frontend.erb

   1 # DO NOT EDIT - This file is being maintained by Chef
   2
   3 #
   4 # Setup logging
   5 #
   6 SetEnvIfNoCase Authorization "^Basic " AUTH_METHOD=basic
   7 SetEnvIfNoCase Authorization "^OAuth " AUTH_METHOD=oauth1
   8 SetEnvIfNoCase Authorization "^Bearer " AUTH_METHOD=oauth2
   9 SetEnvIfExpr "%{QUERY_STRING} =~ /(^|&)oauth_signature=/" AUTH_METHOD=oauth1
  10 LogFormat "%h %l %u %t \"%r\" %>s %O \"%{Referer}i\" \"%{User-Agent}i\" %Dus %{UNIQUE_ID}e %{SSL_PROTOCOL}x %{SSL_CIPHER}x %{AUTH_METHOD}e \"%{X-TLS-JA4}i\" \"%{X-JA4H}i\"" combined_with_time
  11 CustomLog /var/log/apache2/access.log combined_with_time
  12 ErrorLog /var/log/apache2/error.log
  13
  14 <VirtualHost *:443>
  15   #
  16   # Basic server configuration
  17   #
  18   ServerName <%= node[:fqdn] %>
  19   ServerAlias api.openstreetmap.org www.openstreetmap.org 127.0.0.1
  20   ServerAdmin webmaster@openstreetmap.org
  21
  22   #
  23   # Enable SSL
  24   #
  25   SSLEngine on
  26   SSLCertificateFile /etc/ssl/certs/www.openstreetmap.org.pem
  27   SSLCertificateKeyFile /etc/ssl/private/www.openstreetmap.org.key
  28
  29   # Get the real remote IP for requests via a trusted proxy
  30   RemoteIPHeader Fastly-Client-IP
  31   # Fastly POPs
  32 <% @fastly.sort.each do |address| -%>
  33   RemoteIPTrustedProxy <%= address %>
  34 <% end -%>
  35
  36   #
  37   # Turn on various features
  38   #
  39   ExpiresActive On
  40   RewriteEngine on
  41
  42   #
  43   # Configure timeouts
  44   #
  45   RequestReadTimeout handshake=20-40,MinRate=500 header=20-40,MinRate=500 body=20-120,MinRate=500
  46   LogLevel reqtimeout:info
  47
  48   #
  49   # Add the unique ID to the request headers
  50   #
  51   RequestHeader set X-Request-Id %{UNIQUE_ID}e
  52
  53   #
  54   # Remove Proxy request header to mitigate https://httpoxy.org/
  55   #
  56   RequestHeader unset Proxy early
  57
  58   #
  59   # Block troublesome GPX data scrapping
  60   #
  61   RewriteCond %{REQUEST_METHOD} HEAD
  62   RewriteRule ^/trace/\d+/data - [F,L]
  63
  64   #
  65   # Block tilesAtHome
  66   #
  67   RewriteCond %{HTTP_USER_AGENT} tilesAtHome
  68   RewriteRule . - [F,L]
  69
  70   #
  71   # Block changeset scraper
  72   #
  73   RewriteCond %{HTTP_USER_AGENT} "OSMApp Tuner"
  74   RewriteRule . - [F,L]
  75
  76   #
  77   # Block trace scraper
  78   #
  79   RewriteCond %{HTTP_USER_AGENT} "python-httpx/0.24.1"
  80   RewriteRule . - [F,L]
  81
  82   #
  83   # Block out of control spider
  84   #
  85   RewriteCond %{HTTP_USER_AGENT} "Bytespider"
  86   RewriteRule . - [F,L]
  87
  88   #
  89   # Block attempts to access old API versions
  90   #
  91   RewriteRule ^/api/0.[12345]/ - [G,L]
  92
  93   #
  94   # Block JOSM revisions  1722-1727 as they have a serious bug that causes
  95   # lat/lon to be swapped (https://josm.openstreetmap.de/ticket/2804)
  96   #
  97   RewriteCond %{HTTP_USER_AGENT} "^JOSM/[0-9]+\.[0-9]+ \(172[234567]\)"
  98   RewriteRule . - [F,L]
  99
 100   #
 101   # Block a changeset that seems to lock things up
 102   #
 103   RewriteRule ^/api/0.6/changeset/6823497/download$ - [F,L]
 104
 105   #
 106   # Ignore Vicon Valerus "online" status pings
 107   # https://gist.github.com/Firefishy/86ed5b86991b225179b54bbafbcd769e
 108   #
 109   RewriteCond "%{QUERY_STRING}" "^q=abcde&t=20"
 110   RewriteRule "^/api/0\.6/notes/search$" - [R=429,L]
 111
 112   #
 113   # Ignore GoogleAssociationService request storm
 114   # https://en.osm.town/@osm_tech/114205363076771822
 115   #
 116   RewriteCond %{HTTP_USER_AGENT} "GoogleAssociationService"
 117   RewriteRule "^/\.well-known/assetlinks\.json$" - [R=429,L]
 118
 119   #
 120   # Drop faulty Cloudflare POST /cdn-cgi/rum submissions reaching us
 121   #
 122   RewriteCond %{REQUEST_METHOD} =POST
 123   RewriteRule ^/cdn-cgi/rum$ - [F,L]
 124
 125   #
 126   # Block bogus referers
 127   #
 128   RewriteCond %{HTTP_REFERER} "^https://<%= Regexp.escape(node[:fqdn]) %>/"
 129   RewriteRule . - [F,L]
 130
 131   #
 132   # Block bogus user agents
 133   #
 134   # removed 2026-03-08, doesn't work with Fastly turning everything to http 1.1
 135   # RewriteCond %{SERVER_PROTOCOL} =HTTP/1.1
 136   # RewriteCond %{HTTP_USER_AGENT} Chrome/((103|105|107|108|109|110|111|112|116|117|120|124|131|133)\.0\.0\.0|104\.0\.5112\.81|106\.0\.5249\.119) [NC]
 137   # RewriteRule . - [F,L]
 138
 139   #
 140   # Redirect ACME certificate challenges (Fastly redirects from HTTP to HTTPS, so we need to handle them here)
 141   #
 142   RewriteRule ^/\.well-known/acme-challenge/(.*)$ http://acme.openstreetmap.org/.well-known/acme-challenge/$1 [R=permanent,L]
 143
 144   #
 145   # Force special MIME type for crossdomain.xml files
 146   #
 147   <Files crossdomain.xml>
 148     ForceType text/x-cross-domain-policy
 149   </Files>
 150
 151   #
 152   # Set expiry for assets
 153   #
 154   <Location /assets/>
 155     Header unset Last-Modified
 156     FileETag Size
 157
 158     ExpiresDefault "access plus 1 year"
 159     Header set Cache-Control "immutable, max-age=31536000" "expr=%{REQUEST_STATUS} == 200"
 160   </Location>
 161
 162   #
 163   # Set expiry for attachments
 164   #
 165   <Location /attachments/>
 166     Header unset ETag
 167     FileETag None
 168
 169     ExpiresDefault "access plus 1 year"
 170   </Location>
 171
 172   #
 173   # Set expiry for other static content
 174   #
 175   <Location /export/embed.html>
 176     ExpiresDefault "access plus 7 days"
 177     Header always set Referrer-Policy "no-referrer-when-downgrade"
 178   </Location>
 179   <Location /images/>
 180     ExpiresDefault "access plus 10 years"
 181   </Location>
 182   <Location /openlayers/>
 183     Header unset Last-Modified
 184     FileETag Size
 185
 186     Header always set Cache-Control "public, max-age=31536000, immutable"
 187     Header always set Expires "Tue, 19 Jan 2038 03:14:07 GMT"
 188   </Location>
 189
 190   #
 191   # Configure rails
 192   #
 193   DocumentRoot <%= node[:web][:base_directory] %>/rails/public
 194   RailsEnv production
 195   PassengerMinInstances 10
 196   PassengerMaxRequests 5000
 197   PassengerMaxRequestQueueSize 250
 198   PassengerPreStart https://www.openstreetmap.org/
 199   PassengerAppGroupName rails
 200   SetEnv OPENSTREETMAP_STATUS <%= @status %>
 201   SetEnv SECRET_KEY_BASE <%= @secret_key_base %>
 202   Alias /favicon.ico <%= node[:web][:base_directory] %>/rails/app/assets/favicons/favicon.ico
 203   Alias /openlayers <%= node[:web][:base_directory] %>/static/openlayers
 204   Alias /funding.json <%= node[:web][:base_directory] %>/static/funding.json
 205   Alias /.well-known/funding-manifest-urls <%= node[:web][:base_directory] %>/static/.well-known/funding-manifest-urls
 206   Alias /.well-known/security.txt <%= node[:web][:base_directory] %>/static/.well-known/security.txt
 207   Alias /security.txt <%= node[:web][:base_directory] %>/static/.well-known/security.txt
 208   RedirectPermanent /stats https://planet.openstreetmap.org/statistics
 209
 210   #
 211   # Pass authentication related headers to cgimap
 212   #
 213   <Location />
 214     CGIPassAuth On
 215   </Location>
 216
 217   #
 218   # Normalise Accept-Encoding headers to workaround cgimap bug
 219   #
 220   RequestHeader edit* Accept-Encoding "\\s*,\\s*" ", "
 221
 222   #
 223   # Disable deflate for applications that claim to handle it but can't
 224   #
 225   SetEnvIfNoCase User-Agent "StreetComplete" broken_deflate_client
 226   SetEnvIfNoCase Referer "app:/resources/potlatch2.swf" broken_deflate_client
 227   RequestHeader edit Accept-Encoding "deflate" "unsupported" env=broken_deflate_client
 228
 229   #
 230   # Pass supported calls to cgimap
 231   #
 232   RewriteRule ^/api/0\.6/map(\.json|\.xml)?$ unix:/run/cgimap/socket|fcgi://127.0.0.1$0 [P]
 233   RewriteCond %{REQUEST_METHOD} ^(HEAD|GET)$
 234   RewriteRule ^/api/0\.6/(node|way|relation)/[0-9]+(\.json|\.xml)?$ unix:/run/cgimap/socket|fcgi://127.0.0.1$0 [P]
 235   RewriteRule ^/api/0\.6/(node|way|relation)/[0-9]+/history(\.json|\.xml)?$ unix:/run/cgimap/socket|fcgi://127.0.0.1$0 [P]
 236   RewriteRule ^/api/0\.6/(node|way|relation)/[0-9]+/relations(\.json|\.xml)?$ unix:/run/cgimap/socket|fcgi://127.0.0.1$0 [P]
 237   RewriteRule ^/api/0\.6/node/[0-9]+/ways(\.json|\.xml)?$ unix:/run/cgimap/socket|fcgi://127.0.0.1$0 [P]
 238   RewriteRule ^/api/0\.6/(way|relation)/[0-9]+/full(\.json|\.xml)?$ unix:/run/cgimap/socket|fcgi://127.0.0.1$0 [P]
 239   RewriteCond %{REQUEST_METHOD} ^(HEAD|GET)$
 240   RewriteRule ^/api/0\.6/(nodes|ways|relations)(\.json|\.xml)?$ unix:/run/cgimap/socket|fcgi://127.0.0.1$0 [P]
 241   RewriteRule ^/api/0\.6/changeset/[0-9]+/(upload|download)(\.json|\.xml)?$ unix:/run/cgimap/socket|fcgi://127.0.0.1$0 [P]
 242
 243   #
 244   # Redirect trac and wiki requests to the right places
 245   #
 246   RedirectPermanent /trac/ https://trac.openstreetmap.org/
 247   RedirectPermanent /wiki/ https://wiki.openstreetmap.org/
 248
 249   #
 250   # Redirect requests for various images to the right place
 251   #
 252   RedirectPermanent /images/osm_logo.png https://www.openstreetmap.org/assets/osm_logo.png
 253   RedirectPermanent /images/cc_button.png https://www.openstreetmap.org/assets/cc_button.png
 254
 255   #
 256   # Redirect api requests made to www.openstreetmap.org to api.openstreetmap.org
 257   #
 258 #  RewriteCond %{HTTP_HOST} =www.openstreetmap.org
 259 #  RewriteRule ^/api/(.*)$ https://api.openstreetmap.org/api/$1 [L,NE,R=permanent]
 260
 261   #
 262   # Redirect non-api requests made to api.openstreetmap.org to www.openstreetmap.org
 263   #
 264   RewriteCond %{HTTP_HOST} =api.openstreetmap.org
 265   RewriteCond %{REQUEST_URI} !^/api/
 266   RewriteRule ^(.*)$ https://www.openstreetmap.org$1 [L,NE,R=permanent]
 267
 268   # Restrict access to CDN nodes and admins
 269   <Location />
 270     Require expr "%{CONN_REMOTE_ADDR} != %{REMOTE_ADDR}"
 271     # Fastly POPs
 272 <% @fastly.sort.each do |address| -%>
 273     Require ip <%= address %>
 274 <% end -%>
 275     # StatusCake monitoring
 276 <% @statuscake.sort.reject { |address| address.empty? }.each do |address| -%>
 277     Require ip <%= address %>
 278 <% end -%>
 279     # Administrators
 280 <% @admins.sort.each do |address| -%>
 281     Require ip <%= address %>
 282 <% end -%>
 283     # OSM Amsterdam IPv4 (he.net)
 284     Require ip 184.104.179.128/27
 285     # OSM Amsterdam IPv4 (equinix)
 286     Require ip 82.199.86.96/27
 287     # OSM Amsterdam IPv6 (he.net)
 288     Require ip 2001:470:1:fa1::/64
 289     # OSM Amsterdam IPv6 (equinix)
 290     Require ip 2001:4d78:500:5e3::/64
 291     # OSM Dublin IPv4 (he.net)
 292     Require ip 184.104.226.96/27
 293     # OSM Dublin IPv4 (equinix)
 294     Require ip 87.252.214.96/27
 295     # OSM Dublin IPv6 (he.net)
 296     Require ip 2001:470:1:b3b::/64
 297     # OSM Dublin IPv6 (equinix)
 298     Require ip 2001:4d78:fe03:1c::/64
 299     # OSM UCL IPv4
 300     Require ip 193.60.236.0/24
 301   </Location>
 302 </VirtualHost>
 303
 304 <VirtualHost *:80>
 305   ServerName openstreetmap.org.uk
 306   ServerAlias www.openstreetmap.org.uk
 307   ServerAlias openstreetmap.co.uk
 308   ServerAlias www.openstreetmap.co.uk
 309
 310   RedirectPermanent /events.ics http://calendar.openstreetmap.org.uk/events.ics
 311   RedirectPermanent / https://www.openstreetmap.org/
 312 </VirtualHost>
 313
 314 <VirtualHost *:80>
 315   ServerName osm.org
 316
 317   Header always set Cache-Control "max-age=31536000"
 318   Header always set Expires "Tue, 19 Jan 2038 03:14:07 GMT"
 319
 320   RewriteEngine on
 321
 322   RewriteRule ^/\.well-known/acme-challenge/(.*)$ http://acme.openstreetmap.org/.well-known/acme-challenge/$1 [R=permanent,L]
 323
 324   RewriteCond %{REQUEST_URI} !^/server-status$
 325   RewriteRule ^(.*)$ https://osm.org$1 [L,NE,R=permanent]
 326 </VirtualHost>
 327
 328 <VirtualHost *:80>
 329   ServerName www.osm.org
 330
 331   Header always set Cache-Control "max-age=31536000"
 332   Header always set Expires "Tue, 19 Jan 2038 03:14:07 GMT"
 333
 334   RewriteEngine on
 335
 336   RewriteRule ^/\.well-known/acme-challenge/(.*)$ http://acme.openstreetmap.org/.well-known/acme-challenge/$1 [R=permanent,L]
 337
 338   RewriteCond %{REQUEST_URI} !^/server-status$
 339   RewriteRule ^(.*)$ https://www.osm.org$1 [L,NE,R=permanent]
 340 </VirtualHost>
 341
 342 <VirtualHost *:80>
 343   ServerName openstreetmap.org
 344
 345   Header always set Cache-Control "max-age=31536000"
 346   Header always set Expires "Tue, 19 Jan 2038 03:14:07 GMT"
 347
 348   RewriteEngine on
 349
 350   RewriteRule ^/\.well-known/acme-challenge/(.*)$ http://acme.openstreetmap.org/.well-known/acme-challenge/$1 [R=permanent,L]
 351
 352   RewriteCond %{REQUEST_URI} !^/server-status$
 353   RewriteRule ^(.*)$ https://openstreetmap.org$1 [L,NE,R=permanent]
 354 </VirtualHost>
 355
 356 <VirtualHost *:80>
 357   ServerName www.openstreetmap.org
 358   ServerAlias *
 359
 360   Header always set Cache-Control "max-age=31536000"
 361   Header always set Expires "Tue, 19 Jan 2038 03:14:07 GMT"
 362
 363   RewriteEngine on
 364
 365   RewriteRule ^/\.well-known/acme-challenge/(.*)$ http://acme.openstreetmap.org/.well-known/acme-challenge/$1 [R=permanent,L]
 366
 367   RewriteCond %{REQUEST_URI} !^/server-status$
 368   RewriteRule ^(.*)$ https://www.openstreetmap.org$1 [L,NE,R=permanent]
 369 </VirtualHost>
 370
 371 <VirtualHost *:443>
 372   ServerName openstreetmap.org
 373   ServerAlias *
 374
 375   SSLEngine on
 376   SSLCertificateFile /etc/ssl/certs/www.openstreetmap.org.pem
 377   SSLCertificateKeyFile /etc/ssl/private/www.openstreetmap.org.key
 378
 379   Header always set Cache-Control "max-age=31536000"
 380   Header always set Expires "Tue, 19 Jan 2038 03:14:07 GMT"
 381
 382   RedirectPermanent / https://www.openstreetmap.org/
 383 </VirtualHost>
 384
 385 <Directory <%= node[:web][:base_directory] %>/rails/public>
 386   Require all granted
 387
 388   RewriteCond "%{HTTP:Accept-encoding}" "br"
 389   RewriteCond "%{REQUEST_FILENAME}\.br" -s
 390   RewriteRule "^(.*)\.(css|ico|js|json|svg|xml)$" "$1\.$2\.br" [QSA]
 391
 392   RewriteCond "%{HTTP:Accept-encoding}" "gzip"
 393   RewriteCond "%{REQUEST_FILENAME}\.gz" -s
 394   RewriteRule "^(.*)\.(css|ico|js|json|svg|xml)$" "$1\.$2\.gz" [QSA]
 395
 396   RewriteRule "\.css\.(br|gz)$" "-" [T=text/css,E=no-gzip:1,E=no-brotli:1]
 397   RewriteRule "\.ico\.(br|gz)$"  "-" [T=image/vnd.microsoft.icon,E=no-gzip:1,E=no-brotli:1]
 398   RewriteRule "\.js\.(br|gz)$"  "-" [T=text/javascript,E=no-gzip:1,E=no-brotli:1]
 399   RewriteRule "\.json\.(br|gz)$"  "-" [T=application/json,E=no-gzip:1,E=no-brotli:1]
 400   RewriteRule "\.svg\.(br|gz)$"  "-" [T=image/svg+xml,E=no-gzip:1,E=no-brotli:1]
 401   RewriteRule "\.xml\.(br|gz)$"  "-" [T=application/xml,E=no-gzip:1,E=no-brotli:1]
 402
 403   <FilesMatch "\.(css|ico|js|json|svg|xml)\.br$">
 404     Header append Content-Encoding br
 405     Header append Vary Accept-Encoding
 406   </FilesMatch>
 407
 408   <FilesMatch "\.(css|ico|js|json|svg|xml)\.gz$">
 409     Header append Content-Encoding gzip
 410     Header append Vary Accept-Encoding
 411   </FilesMatch>
 412 </Directory>
 413
 414 <Directory /srv/www.openstreetmap.org/static>
 415   Require all granted
 416
 417   <Files "funding-manifest-urls">
 418     ForceType text/plain
 419   </Files>
 420 </Directory>
 421
 422 <Directory /srv/www.openstreetmap.org/rails/app/assets>
 423   Require all granted
 424 </Directory>
 425
 426 <Directory /srv/www.openstreetmap.org/rails/vendor/assets>
 427   Require all granted
 428 </Directory>