Seguridad

En Ajustes → Seguridad (solo administradores) se configuran todos los mecanismos de protección de la instancia. Los valores predeterminados son seguros y no causan problemas en el uso normal; cada ajuste muestra su valor predeterminado, los valores cambiados se marcan y cada sección puede restablecerse. En modo LIVE (instancias remotas) los ajustes se aplican a la instancia conectada; así también se configura un servidor headless.

Protección del navegador

• Inserción en otras páginas – predeterminado: solo por la propia instancia. Evita el clickjacking.
• Content Security Policy – predeterminado: activada. El navegador solo ejecuta código de esta instancia. Las imágenes externas (p. ej. en markdown) están permitidas por defecto; se pueden añadir fuentes para imágenes, medios y solicitudes de datos, nunca scripts.
• Política de referer – predeterminado: solo dentro de la instancia.
• HSTS – predeterminado: activado, 180 días. Solo se envía por HTTPS (tras un proxy inverso con TRUST_PROXY_HEADERS=true).

Siempre activos, sin interruptor: X-Content-Type-Options: nosniff, una política de permisos (sin cámara, micrófono ni ubicación) y Cross-Origin-Opener-Policy.

Solicitudes

• Protección frente a solicitudes falsificadas (CSRF) – predeterminado: activada. Se rechazan las solicitudes de escritura con cookie de sesión que el navegador marca como procedentes de otra página, incluida otra aplicación en el mismo dominio. Las solicitudes con token de API no se ven afectadas; los endpoints de scripts públicos continúan sin sesión en ese caso.
• Tamaño máximo de solicitud – predeterminado: 10 MB. Las subidas e importaciones tienen sus propios límites.

Además, el servidor tiene tiempos de espera fijos contra conexiones deliberadamente lentas.

Inicio de sesión, sesiones y contraseñas

• Intentos de inicio de sesión por IP e intervalo – predeterminado: 10 en 5 minutos (o LOGIN_RATE_LIMIT/LOGIN_RATE_WINDOW_SECONDS), contando solo los fallidos.
• Duración de la sesión – predeterminado: 7 días.
• Cookie de sesión solo por HTTPS – predeterminado: automático.
• Longitud mínima de contraseña – predeterminado: 10 caracteres; se aplica a contraseñas nuevas y modificadas. Los formularios indican el requisito.
• Caducidad de tokens de API – predeterminado: nunca. Atención: afecta también a los tokens de conexiones remotas.

Información hacia fuera

• Mostrar la versión públicamente – predeterminado: desactivado (los usuarios con sesión siempre la ven).
• Detalles de errores para no administradores – predeterminado: desactivado. Ante errores internos, los no administradores ven un ID de referencia; los detalles están en el registro del servidor con ese ID. Los administradores siempre los ven.

Además, los no administradores ya no ven los datos de conexión de las fuentes de datos (host, base de datos, usuario, rutas) ni los webhooks.

Red

• Webhooks a direcciones locales/privadas – predeterminado: permitido (p. ej. n8n en el mismo servidor). Las direcciones de metadatos de la nube siempre están bloqueadas.
• Conexiones remotas por http – predeterminado: desactivado; http sin cifrar solo es posible para localhost.