Configuration de Server

L'installation par défaut de Server utilise HTTP (non chiffré) pour simplifier l'installation et la configuration. Nous vous recommandons de déployer des certificats SSL/TLS et d'activer le protocole SSL/TLS (HTTPS) de Server pour chiffrer la communication entre les clients et Server. Vous assurez ainsi l'intégrité et la confidentialité des sessions utilisateur et confirmez l'identité de Server. Consultez la section Configurer SSL/TLS pour Server pour en connaître les étapes.

Le paramètre Mode d'exécution par défaut peut fournir des contrôles de sécurité améliorés sur l'exécution de workflows d'actions potentiellement malveillantes. Par défaut, le mode d'exécution par défaut est défini sur Sans restriction, ce qui signifie qu'il n'y a aucune restriction et que n'importe quel workflow peut s'exécuter. La configuration de ce paramètre sur Semi-sécurisé ou Sécurisé protège davantage l'environnement de Server en empêchant les workflows de lire ou d'écrire des données à un emplacement qui ne se trouve pas dans le répertoire intermédiaire du workflow, ou encore d'exécuter des workflows contenant des outils restreints. Il s'agit d'un paramètre global qui s'applique à l'ensemble de l'environnement de Server, mais qui peut être remplacé par les administrateurs au niveau individuel du workflow. Consultez la page d'aide Interface utilisateur Server pour en savoir plus sur le mode d'exécution par défaut.

En tant qu'administrateur, vous pouvez spécifier les hôtes que Server peut servir dans le champ Hôtes autorisés.

Utilisez cette fonctionnalité comme mesure de sécurité pour empêcher les attaques contre l'en-tête d'hôte HTTP. Saisissez les noms de domaine complets (hôte/domaine) à raison d'un par ligne. Consultez la page d'aide Paramètres de Server pour plus d'informations.

Modifiez %ProgramFiles%\Alteryx\bin\server\config\alteryx.config pour ajouter des en-têtes personnalisés qui renforcent CORS et d'autres stratégies de sécurité basées sur les en-têtes.

<httpHeaders>
    <header name="Cache-Control" value="no-store; max-age=0" />
    <header name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains" />
    <header name="X-Content-Type-Options" value="nosniff" />
    <header name="Content-Security-Policy" value="default-src 'self'; img-src 'self' data:; font-src 'self' data:; script-src 'self' 'unsafe-eval' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; frame-ancestors 'self'; form-action 'self'" />
    <header name="Access-Control-Allow-Origin" value="https://server.domain.tld" />
    <header name="Vary" value="Origin" />
    <header name="Referrer-Policy" value="no-referrer; strict-origin-when-cross-origin" />
</httpHeaders>