Manuel · 10

Sécurité

Dans Paramètres → Sécurité (administrateurs uniquement), vous configurez tous les mécanismes de protection de l’instance. Les valeurs par défaut sont sûres et sans inconvénient en usage normal ; chaque paramètre indique sa valeur par défaut, les valeurs modifiées sont signalées et chaque section peut être réinitialisée. En mode LIVE (instances distantes), les paramètres s’appliquent à l’instance connectée – c’est ainsi qu’on configure aussi un serveur headless.

Protection du navigateur

Intégration dans d’autres pages – par défaut : uniquement par l’instance elle-même. Empêche le clickjacking.
Content Security Policy – par défaut : activée. Le navigateur n’exécute que le code de cette instance. Les images externes (p. ex. dans du markdown) sont autorisées par défaut ; d’autres sources pour images, médias et requêtes de données peuvent être ajoutées – jamais de scripts.
Politique de référent – par défaut : uniquement au sein de l’instance.
HSTS – par défaut : activé, 180 jours. Envoyé uniquement en HTTPS (derrière un proxy inverse avec TRUST_PROXY_HEADERS=true).

Toujours actifs, sans interrupteur : X-Content-Type-Options: nosniff, une politique de permissions (pas de caméra, de micro ni de localisation) et Cross-Origin-Opener-Policy.

Requêtes

Protection contre les requêtes falsifiées (CSRF) – par défaut : activée. Les requêtes d’écriture portant le cookie de connexion sont refusées quand le navigateur les signale comme provenant d’une autre page – y compris d’une autre application du même domaine. Les requêtes avec jeton d’API ne sont pas concernées ; les points de terminaison de scripts publics continuent alors simplement sans connexion.
Taille maximale des requêtes – par défaut : 10 Mo. Les envois et imports ont leurs propres limites.

Le serveur dispose en outre de délais fixes contre les connexions volontairement lentes.

Connexion, sessions et mots de passe

Tentatives de connexion par IP et fenêtre de temps – par défaut : 10 en 5 minutes (ou LOGIN_RATE_LIMIT/LOGIN_RATE_WINDOW_SECONDS), seuls les échecs sont comptés.
Durée de session – par défaut : 7 jours.
Cookie de session uniquement en HTTPS – par défaut : automatique.
Longueur minimale des mots de passe – par défaut : 10 caractères ; s’applique aux mots de passe nouveaux et modifiés. Les formulaires indiquent l’exigence.
Expiration des jetons d’API – par défaut : jamais. Attention : concerne aussi les jetons des connexions distantes.

Informations divulguées

Afficher la version publiquement – par défaut : désactivé (les utilisateurs connectés la voient toujours).
Détails des erreurs pour les non-administrateurs – par défaut : désactivé. En cas d’erreur interne, les non-administrateurs voient un identifiant de référence ; les détails figurent dans le journal du serveur sous cet identifiant. Les administrateurs les voient toujours.

Par ailleurs, les non-administrateurs ne voient plus les informations de connexion des sources de données (hôte, base, utilisateur, chemins) ni les webhooks.

Réseau

Webhooks vers des adresses locales/privées – par défaut : autorisé (p. ex. n8n sur le même serveur). Les adresses de métadonnées cloud restent toujours bloquées.
Connexions distantes en http – par défaut : désactivé ; http non chiffré n’est possible que pour localhost.