Безпека та вхід

Режими автентифікації, ключі API, довірені проксі, локальні мережі та політика безпеки вмісту.

Розділ Security у Settings > General визначає, хто і як може користуватися ABM.

Автентифікація

Параметр	За замовчуванням	Варіанти
Authentication	Forms (Login Page)	None, Basic (Browser Popup), Forms (Login Page), External (Reverse Proxy)
Authentication Required	Disabled for Local Addresses	Enabled (Always), Disabled for Local Addresses, Disabled (Not Recommended)
Username, New Password, Confirm New Password		Залиш пароль порожнім, щоб зберегти поточний
Certificate Validation	Enabled	Enabled, Disabled for Local Addresses, Disabled (Not Recommended)
Local Networks	порожньо	Додаткові діапазони CIDR, клієнтам з яких не треба входити
CORS Allowed Domains	порожньо	Інші походження (origins), яким дозволено звертатися до API з браузера. Потрібен перезапуск

Два режими Authentication Required, якими ти користуватимешся:

Enabled: входять усі, навіть із твоєї локальної мережі.
Disabled for Local Addresses (зберігається як local_disabled): запиту з локальної адреси не треба входити. Локальними вважаються loopback, приватні діапазони, link-local та унікальні локальні адреси IPv6. Local Networks додає ще, але ніколи їх не замінює.

На свіжому встановленні запити відхиляються, доки не завершиться початкове налаштування.

Зворотні проксі

За проксі задай TRUSTED_PROXIES, щоб ABM знав, яким заголовкам пересилання вірити. Запит із заголовками пересилання з адреси, якої немає в цьому списку, ніколи не вважається локальним і мусить проходити вхід. Так зроблено навмисно. Дивись Зворотний проксі.

Проксі, який не надсилає заголовків пересилання, виглядає як локальний клієнт. Якщо в тебе такий, задай Authentication Required як Enabled.

Підтвердження паролем

Деякі зміни знову просять твій поточний пароль: збереження налаштувань Security, а також показ або повторне створення ключа API. Неправильний пароль рахується в журналі безпеки як невдалий вхід. Якщо пароль ще не задано, нічого не запитують.

Ключ API

Ключ не показується, доки ти не підтвердиш пароль. Regenerate API Key створює новий ключ, показує його один раз і одразу робить старий недійсним. Ввести ключ вручну не можна. Якщо збережений ключ не вдається розшифрувати (змінився секрет застосунку), перегенеруй його.

Надсилай його як X-Api-Key або параметр apikey. Ключ із адреси в локальній мережі вважається запитом із ключем. Дивись API.

Запис із браузера

Запит із браузера, який щось змінює, відхиляється з cross_origin_rejected, якщо його походження не збігається з адресою, за якою відкрито ABM, з хостом, переданим довіреним проксі, або з дозволеним доменом CORS. Запитів із ключем API це не стосується.

Політика безпеки вмісту

ABM надсилає заголовок Content-Security-Policy, якщо не задано SECURITY_HEADERS_CSP_ENABLED=false. Він обмежує інтерфейс власними скриптами й API ABM, а зображення адресами ABM або HTTPS. Обкладинки через звичайний HTTP блокуються, а показати ABM в iframe не можна в будь-якому разі. Сторінки документації API отримують м’якшу політику, щоб могли завантажуватися з CDN.

Невдалі спроби входу

Блокування після спроб немає. Невдалі спроби записуються, у журналі активності групуються за адресою, а в журнал безпеки пишуться рядок за рядком для інструментів на кшталт fail2ban.

Секрети

Паролі й ключі, які ABM зберігає для індексаторів, клієнтів і з’єднань, шифруються секретом застосунку. Задай APP_SECRET, щоб ключ не лежав на диску з конфігурацією. Якщо немає ні того, ні іншого, ABM генерує /config/app_secret. Паролі проксі та місць експорту зберігаються відкритим текстом.