Bescherm de editor
Plaats de editor achter HTTPS en ondersteunde authenticatie. Beperk administratieve toegang en vermijd openbare registratie wanneer dat niet nodig is. Webhookroutes vereisen hun eigen blootstellings- en authenticatiebeslissingen.
Bewaar de inloggegevenssleutel
Maak een back-up van de geconfigureerde versleutelingssleutel met passende bescherming. Het herstellen van een database zonder de juiste sleutel kan opgeslagen inloggegevens onbruikbaar maken. Houd de sleutel buiten screenshots, repositories en ongefilterde logs.
Schaal het uitvoeringspad bewust
Voor een drukke opzet: bekijk het ondersteunde database-, wachtrij- en worker-model. Redis en afzonderlijke workers voegen hun eigen toegangs- en persistentievereisten toe. Beperk gelijktijdige taken zodat een piek het VPS of een extern API-budget niet kan uitputten.
Bewaar alleen nuttige uitvoeringsgegevens
Workflows kunnen tokens, persoonsgegevens en documenten verwerken. Stel het opschonen van uitvoeringsgeschiedenis in, redigeer gevoelige waarden en definieer herhaalpogingen zorgvuldig. Een gedupliceerde webhook mag geen onbedoelde tweede betaling of bericht veroorzaken.
Behandel de encryptiesleutel als onderdeel van de database
Opgeslagen inloggegevens zijn afhankelijk van de versleutelingssleutel van n8n. Bewaar de statusmap die een automatisch gegenereerde sleutel bevat of stel N8N_ENCRYPTION_KEY in vanuit een private secret store. Alle queue-workers hebben dezelfde sleutel nodig als het hoofdproces. Test het herstel met een wegwerp-inloggegeven; een alleen herstelde database kan er gezond uitzien terwijl de inloggegevens onleesbaar blijven.
- Houd de sleutel buiten de openbare map en de repository
- Maak consistent back-ups van de database
- Gebruik ondersteunde PostgreSQL voor de beoogde productie-implementatie
Officiële documentatie: n8n configuratie van encryptiesleutels
Geef webhooks hun openbare adres
Een reverse proxy zoals Caddy kan HTTPS beëindigen terwijl n8n intern luistert. De huidige documentatie gebruikt N8N_WEBHOOK_URL voor de externe webhook-origin en vervangt de oudere naam WEBHOOK_URL vanaf versie 2.35.0. Stel het aantal vertrouwde proxy-hops in op het werkelijke pad; een enkele proxy gebruikt N8N_PROXY_HOPS=1. Behoud doorgestuurde host-, protocol- en clientinformatie. Test een webhook van buiten de server en verifieer de productie-URL.
- Stel de tijdzone van de workflow bewust in
- Snoei uitvoeringsgeschiedenis die gevoelige invoer bevat
- Gebruik queue-workers en Redis alleen met de vereiste private toegangscontroles
# Example: one HTTPS reverse proxy
N8N_WEBHOOK_URL=https://automations.example.com/
N8N_PROXY_HOPS=1Officiële documentatie: n8n achter een reverse proxy
Definieer de workload en de toegestane integraties
Noteer de triggers, externe accounts, het verwachte uitvoeringsvolume en de maximale kosten of neveneffecten die elke workflow kan veroorzaken. Controleer de n8-licentie voor het daadwerkelijke gebruik, vooral als je het als dienst aan anderen aanbiedt. Een kleine geplande workflow en een publieke webhook-processor hebben verschillende resourcebehoeften. Begin met een ondersteunde release, een private persistente state, een TLS-naam en een database die past bij de deployment; vermijd het blootstellen van databasepoorten met de editor.
- Gebruik afzonderlijke beperkte inloggegevens voor elke integratie.
- Stel de beoogde tijdzone voor de workflow en het bewaren van uitvoeringsgeschiedenis in.
- Houd geëxporteerde workflows vrij van ingebedde echte geheimen.
Officiële documentatie: n8n Docker-implementatie
Stel de openbare webhook-origin in voor de geïnstalleerde release
Een reverse proxy zoals Caddy bereikt n8n intern, terwijl externe services de HTTPS webhook-origin aanroepen. Gebruik de webhook-URL-variabele die is gedocumenteerd voor de geïnstalleerde release; de huidige documentatie noemt N8N_WEBHOOK_URL, terwijl oudere releases WEBHOOK_URL gebruikten. Stel het werkelijke aantal proxy-hops in in plaats van willekeurige doorgestuurde headers te vertrouwen. Houd het toegangsbeleid voor de editor gescheiden van webhook-authenticatie en verifieer dat de productie-callback geen interne host of poort bevat.
# Example values for a supported current release, behind one proxy:
N8N_WEBHOOK_URL=https://automations.example.com/
N8N_PROXY_HOPS=1Officiële documentatie: n8n reverse-proxy-instellingen voor webhooks
Test een onschadelijke workflow voordat je schrijftoegang verleent
Begin met een alleen-lezen verzoek of een wegwerp-testrecord. Test de productie-webhook van buiten de VPS, authenticatie-weigering en een bewuste herhaling. Een herhaald verzoek mag niet per ongeluk een tweede ingrijpende actie veroorzaken. Controleer uitvoeringslogboeken op gelekte invoer en pas daarna een bewaarbeleid toe. Als een webhook alleen werkt in de testmodus van de editor, controleer dan of de workflow is gepubliceerd/actief is en of de productie- en testroutes het juiste proces bereiken.
- Gebruik een wegwerp-integratiecredential om een herstel te testen.
- Bewaar een onafhankelijke versleutelde kopie van N8N_ENCRYPTION_KEY of de gegenereerde sleutelstatus.
- Stuur geen voorbeeldwachtwoorden of API-tokens naar bewaarde foutopsporingsuitvoer.
Officiële documentatie: n8n encryptiesleutel
Schaal pas nadat je het uitvoeringsknelpunt hebt waargenomen
Queuemodus voegt Redis, workers en een gedeelde database toe; het hoofdproces ontvangt triggers terwijl workers uitvoeringen verrichten. Elke worker moet dezelfde coderingssleutel voor credentials gebruiken. Volg de huidige vereisten voor binaire gegevensopslag voordat je een workflow met bestanden naar queuemodus verplaatst. Beperk gelijktijdigheid en upstream-API-budgetten en monitor wachtrijleeftijd en fouten. Maak samen een back-up van database, status en sleutel; een container herstarten is geen herstelplan voor onleesbare opgeslagen credentials.
Officiële documentatie: n8n queuemodus · Instellingen voor het snoeien van uitvoeringen