What's New in Connect 2026.3

Version: 2026.3.1.4

Release Date: October 14, 2026

See the complete Connect 2026.3 Release Notes.

New Features

There are currently no new features for this release.

Security Updates

This release strengthens Connect’s upload validation, image processing, authentication error handling, response security headers, logout and cache behavior, and hostname protection.

Existing Customers Upgrading

A normal upgrade restores the existing Tomcat configuration. This preserves customer ports, SSL, and authentication settings, but it also means the new hostname protection in the packaged server.xml is not automatically applied.

Um es zu aktivieren, stoppen Sie den Alteryx Connect-Dienst und sichern Sie C:\Program Files\AlteryxConnect\conf\server.xml (oder den entsprechenden Pfad für eine benutzerdefinierte Installation). Bearbeiten Sie die vorhandene Datei. Ersetzen Sie nicht die gesamte Datei, da sie kundenspezifische Einstellungen enthalten kann:

In the existing <Engine> opening tag, change only defaultHost to invalid.invalid:
```
<Engine name="Catalina" defaultHost="invalid.invalid">
```

Inside that Engine, before the existing localhost Host, add:

<Host name="invalid.invalid" appBase="blocked-webapps"
      deployOnStartup="false" autoDeploy="false">
  <Valve className="org.apache.catalina.valves.ErrorReportValve"
         showReport="false" showServerInfo="false" />
</Host>

Inside the existing <Host name="localhost" ...>, add an alias for each hostname Tomcat receives and add the error-report Valve if it is not already present:
```
<Alias>connect.example.com</Alias>
<Valve className="org.apache.catalina.valves.ErrorReportValve"
       showReport="false" showServerInfo="false" />
```
Behalten Sie alle sonstigen vorhandenen Einträge innerhalb dieses Hosts. Fügen Sie den Alias als echtes XML-Element hinzu – nicht innerhalb eines Kommentars. Verwenden Sie nur den Hostnamen, nicht https://, einen Port oder einen Pfad.
Separately, to match the new packaged HTTPS-redirect configuration, add transportGuaranteeRedirectStatus="308" to the existing LockOutRealm opening tag, retaining its other settings:
```
<Realm className="org.apache.catalina.realm.LockOutRealm"
       transportGuaranteeRedirectStatus="308">
```
Diese Einstellung allein verwandelt eine HTTP-Installation nicht in eine HTTPS-Installation.

Save the file and restart the service. Without steps 1–3, an upgraded installation should continue to operate, but the new Tomcat hostname protection will not be active. Step 4 applies the separate HTTPS-redirect setting included in this patch.

New Customers Installing This Patch

A fresh installation already contains the new Tomcat protection. Before users access Connect through a DNS name, stop the service and add that name inside the localhost Host in C:\Program Files\AlteryxConnect\conf\server.xml:

<Alias>connect.example.com</Alias>

Starten Sie den Dienst neu. Ohne den Alias funktioniert der Zugriff auf localhost, aber Anfragen mit dem nicht konfigurierten Hostnamen können 404 zurückgeben. Ändern Sie defaultHost nicht zurück zu localhost.

Reverse-Proxy- oder Load-Balancer-Bereitstellungen

Konfigurieren Sie einen Alias für den Hostnamen, den der Proxy an Tomcat sendet. Wenn der Proxy den öffentlichen Hostnamen durch einen internen ersetzt, fügen Sie den internen Hostnamen ebenfalls als Alias hinzu.

If the immediate proxy connects to Tomcat from a non-local IP address, add that IP to the existing [global] section of C:\Program Files\AlteryxConnect\ac_work\alteryx_connect.properties. For example, if Tomcat sees the proxy as 10.20.30.40:

connect.trusted-proxies=127[.]0[.]0[.]1|::1|0:0:0:0:0:0:0:1|10[.]20[.]30[.]40

Replace 10.20.30.40 with the actual proxy IP; retain the loopback entries. This setting accepts an IP-matching regular expression, not a DNS hostname or an end-user IP. Direct-access installations, or proxies connecting from loopback, need no change. If a non-local proxy is not configured, valid logins can still succeed, but auditing and IP-based login controls may identify multiple users by the shared proxy IP.

Zu erwartende Verhaltensänderungen

New attachment and diagram uploads may be rejected if they exceed the configured limit or have an unsupported, mismatched, or unsafe file type. Existing stored files are not bulk-modified.
Neu gespeicherte Bilder werden verarbeitet, um Metadaten zu entfernen. Ungewöhnliche Bilder können abgelehnt werden oder leicht anders erscheinen.
Failed-login messages disclose less information.
Attachment downloads are no longer intended to remain in the browser cache for one year, so repeated downloads may use more network traffic.
HTTP installations remain supported; the patch does not require a new SSL certificate.

In diesem Abschnitt: