Sicherheit

Unter Einstellungen → Sicherheit (nur für Admins) lassen sich alle Schutzmechanismen der Instanz einstellen. Die Standardwerte sind für den normalen Betrieb sicher und unproblematisch; jede Einstellung zeigt ihren Standard, geänderte Werte sind markiert, und jeder Bereich lässt sich auf den Standard zurücksetzen. Im LIVE-Modus (Remote-Instanzen) gelten die Einstellungen für die verbundene Instanz – so lässt sich auch ein Headless-Server konfigurieren.

Browser-Schutz

• Einbetten in andere Seiten – Standard: nur durch die Instanz selbst. Verhindert Clickjacking.
• Content-Security-Policy – Standard: an. Der Browser führt nur Code dieser Instanz aus. Externe Bilder (z. B. in Markdown) sind standardmäßig erlaubt; weitere Quellen für Bilder, Medien und Datenabrufe lassen sich ergänzen – Skripte nie.
• Referrer-Policy – Standard: nur innerhalb der Instanz.
• HSTS – Standard: an, 180 Tage. Wird nur bei HTTPS gesendet (hinter einem Reverse Proxy mit TRUST_PROXY_HEADERS=true).

Immer aktiv, ohne Schalter: X-Content-Type-Options: nosniff, eine Permissions-Policy (keine Kamera, kein Mikrofon, kein Standort) und Cross-Origin-Opener-Policy.

Anfragen

• Schutz vor untergeschobenen Anfragen (CSRF) – Standard: an. Schreibende Anfragen mit Anmelde-Cookie werden abgelehnt, wenn der Browser sie als von einer anderen Seite stammend meldet – auch von einer anderen App unter derselben Domain. Anfragen mit API-Token sind nicht betroffen; öffentliche Skript-Endpunkte laufen in diesem Fall einfach ohne Anmeldung weiter.
• Maximale Anfragegröße – Standard: 10 MB. Uploads und Importe haben eigene Grenzen.

Zusätzlich hat der Server feste Timeouts gegen absichtlich langsame Verbindungen.

Anmeldung, Sitzungen & Passwörter

• Anmeldeversuche pro IP und Zeitfenster – Standard: 10 in 5 Minuten (bzw. LOGIN_RATE_LIMIT/LOGIN_RATE_WINDOW_SECONDS), nur Fehlversuche zählen.
• Sitzungsdauer – Standard: 7 Tage.
• Sitzungs-Cookie nur über HTTPS – Standard: automatisch.
• Mindestlänge für Passwörter – Standard: 10 Zeichen; gilt für neue und geänderte Passwörter. Die Formulare zeigen die Länge an.
• Ablauf von API-Tokens – Standard: nie. Achtung: betrifft auch Tokens von Remote-Verbindungen.

Informationen nach außen

• Version öffentlich anzeigen – Standard: aus (angemeldete Nutzer sehen sie immer).
• Fehlerdetails für Nicht-Admins – Standard: aus. Nicht-Admins sehen bei internen Fehlern eine Referenz-ID; die Details stehen unter dieser ID im Server-Log. Admins sehen sie immer.

Außerdem sehen Nicht-Admins keine Verbindungsdaten der Datenquellen (Host, Datenbank, Benutzer, Pfade) und keine Webhooks.

Netzwerk

• Webhooks an lokale/private Adressen – Standard: erlaubt (z. B. n8n auf demselben Server). Cloud-Metadaten-Adressen bleiben immer gesperrt.
• Remote-Verbindungen über http – Standard: aus; unverschlüsseltes http ist nur für localhost möglich.