Manuale · 10

Sicurezza

In Impostazioni → Sicurezza (solo amministratori) si configurano tutti i meccanismi di protezione dell’istanza. I valori predefiniti sono sicuri e non creano problemi nell’uso normale; ogni impostazione mostra il proprio valore predefinito, i valori modificati sono evidenziati e ogni sezione può essere ripristinata. In modalità LIVE (istanze remote) le impostazioni valgono per l’istanza collegata: così si configura anche un server headless.

Protezione del browser

Incorporamento in altre pagine – predefinito: solo dall’istanza stessa. Impedisce il clickjacking.
Content Security Policy – predefinito: attiva. Il browser esegue solo codice di questa istanza. Le immagini esterne (ad es. nel markdown) sono consentite per impostazione predefinita; si possono aggiungere altre fonti per immagini, media e richieste di dati, mai script.
Referrer policy – predefinito: solo all’interno dell’istanza.
HSTS – predefinito: attivo, 180 giorni. Inviato solo via HTTPS (dietro un reverse proxy con TRUST_PROXY_HEADERS=true).

Sempre attivi, senza interruttore: X-Content-Type-Options: nosniff, una permissions policy (niente fotocamera, microfono o posizione) e Cross-Origin-Opener-Policy.

Richieste

Protezione da richieste contraffatte (CSRF) – predefinito: attiva. Le richieste di scrittura con cookie di accesso vengono rifiutate se il browser le segnala come provenienti da un’altra pagina, anche da un’altra app sullo stesso dominio. Le richieste con token API non sono interessate; gli endpoint di script pubblici proseguono semplicemente senza accesso.
Dimensione massima delle richieste – predefinito: 10 MB. Caricamenti e importazioni hanno limiti propri.

Il server ha inoltre timeout fissi contro connessioni volutamente lente.

Accesso, sessioni e password

Tentativi di accesso per IP e finestra temporale – predefinito: 10 in 5 minuti (oppure LOGIN_RATE_LIMIT/LOGIN_RATE_WINDOW_SECONDS), contando solo i tentativi falliti.
Durata della sessione – predefinito: 7 giorni.
Cookie di sessione solo via HTTPS – predefinito: automatico.
Lunghezza minima delle password – predefinito: 10 caratteri; vale per password nuove e modificate. I moduli indicano il requisito.
Scadenza dei token API – predefinito: mai. Attenzione: riguarda anche i token delle connessioni remote.

Informazioni verso l’esterno

Mostra la versione pubblicamente – predefinito: disattivo (gli utenti connessi la vedono sempre).
Dettagli degli errori per non amministratori – predefinito: disattivo. In caso di errori interni i non amministratori vedono un ID di riferimento; i dettagli sono nel log del server con quell’ID. Gli amministratori li vedono sempre.

Inoltre i non amministratori non vedono più i dati di connessione delle origini dati (host, database, utente, percorsi) né i webhook.

Rete

Webhook verso indirizzi locali/privati – predefinito: consentito (ad es. n8n sullo stesso server). Gli indirizzi dei metadati cloud restano sempre bloccati.
Connessioni remote via http – predefinito: disattivo; http non cifrato è possibile solo per localhost.