Configuração do Server

A instalação padrão do Server usa HTTP (não criptografado) para simplificar a instalação e a configuração. Recomendamos a implantação de certificados SSL/TLS e a habilitação de SSL/TLS (HTTPS) no Server para criptografar a comunicação entre o cliente e o Server. Isso permite a integridade e confidencialidade das sessões do usuário e assegura a identidade do Server. Acesse Configurar SSL/TLS no Server para obter as etapas para esse procedimento.

A configuração "Modo de execução padrão" pode fornecer controles de segurança aprimorados sobre a execução do fluxo de trabalho de ações potencialmente mal-intencionadas. Por padrão, o "Modo de execução padrão" está definido como "Sem restrições", o que significa que não há restrições e que qualquer fluxo de trabalho pode ser executado. Definir essa configuração como "Semissegura" ou "Segura" protegerá ainda mais o ambiente do Server, impedindo que os fluxos de trabalho leiam ou gravem dados em um local que não esteja dentro do diretório de preparação do fluxo de trabalho ou executem fluxos contendo ferramentas restritas. Essa é uma configuração global que se aplica a todo o ambiente do Server, mas pode ser substituída por administradores no nível individual do fluxo de trabalho. Acesse a página de ajuda IU do Server para saber mais sobre o "Modo de execução padrão".

Como administrador, você pode especificar os hosts que deseja permitir que o Server sirva no campo Hosts permitidos.

Use isso como uma medida de segurança para impedir ataques a cabeçalhos de host HTTP. Insira nomes de domínio totalmente qualificados (host/domínio), um por linha. Acesse a página de ajuda Configurações do Server para obter mais informações.

Edite %ProgramFiles%\Alteryx\bin\server\config\alteryx.config para adicionar cabeçalhos personalizados que reforçam o CORS e outras políticas de segurança baseadas em cabeçalho.

<httpHeaders>
    <header name="Cache-Control" value="no-store; max-age=0" />
    <header name="Strict-Transport-Security" value="max-age=31536000; includeSubDomains" />
    <header name="X-Content-Type-Options" value="nosniff" />
    <header name="Content-Security-Policy" value="default-src 'self'; img-src 'self' data:; font-src 'self' data:; script-src 'self' 'unsafe-eval' 'unsafe-inline'; style-src 'self' 'unsafe-inline'; frame-ancestors 'self'; form-action 'self'" />
    <header name="Access-Control-Allow-Origin" value="https://server.domain.tld" />
    <header name="Vary" value="Origin" />
    <header name="Referrer-Policy" value="no-referrer; strict-origin-when-cross-origin" />
</httpHeaders>