Variáveis de ambiente: Proteção contra SSRF

Hostnames liberados pela proteção contra SSRF sem nenhuma checagem de IP, separados por vírgula. Um curinga no início libera os subdomínios: *.interno.exemplo.com libera os subdomínios, mas não o domínio sem prefixo.

Faixas de IP em notação CIDR liberadas mesmo dentro de uma faixa negada, separadas por vírgula, como 10.20.0.5/32 para uma API interna. A faixa liberada tem prioridade sobre a lista negada.

Hostnames negados pelo nome antes da resolução de DNS, separados por vírgula. Aceita curinga no início para subdomínios. Serve para impedir um destino mesmo quando ele resolve para um IP público liberado.

Faixas de IP em notação CIDR que a proteção contra SSRF nega, separadas por vírgula. A palavra default representa a lista interna do n8n, com redes privadas, loopback, link-local e endpoints de metadados de nuvem. Mantenha default e acrescente as suas faixas depois dela. Na 3.x, a lista default ganha quatro faixas: ::/128, 100.64.0.0/10, 2002::/16 e 64:ff9b::/96.

Tamanho máximo em bytes do cache de consultas DNS da proteção contra SSRF. O padrão equivale a 1 MB. Aumente só quando a instância resolve uma quantidade muito grande de hostnames diferentes.

Liga a proteção contra SSRF nas requisições de saída cujo destino pode vir do usuário, como a URL do HTTP Request ou um endpoint OAuth. Desligada por padrão para não quebrar instalações que chamam serviços internos. Ligada, impede que workflows alcancem redes privadas e endpoints de metadados de nuvem.

Na 2.x, com a proteção ligada, o n8n avisa que a lista default vai crescer em uma versão futura. Para manter a lista atual, troque default pelas faixas literais em N8N_SSRF_BLOCKED_IP_RANGES.