Защитите редактор
Разместите редактор за HTTPS и поддерживаемой аутентификацией. Ограничьте административный доступ и избегайте публичной регистрации, когда она не нужна. Маршруты вебхуков требуют собственных решений по экспонированию и аутентификации.
Сохраните ключ учётных данных
Создайте резервную копию настроенного ключа шифрования с надлежащей защитой. Восстановление базы данных без правильного ключа может сделать сохранённые учётные данные непригодными. Держите ключ вне скриншотов, репозиториев и нефильтрованных журналов.
Масштабируйте путь выполнения осознанно
Для нагруженной установки изучите поддерживаемую модель базы данных, очереди и воркеров. Redis и отдельные воркеры добавляют собственные требования к доступу и сохранности данных. Ограничивайте число одновременных задач, чтобы всплеск не исчерпал VPS или бюджет внешнего API.
Сохраняйте только полезные данные выполнения
Рабочие процессы могут обрабатывать токены, персональные записи и документы. Настройте очистку истории выполнения, скрывайте конфиденциальные значения и тщательно определяйте повторные попытки. Дублированный вебхук не должен вызывать непреднамеренный повторный платёж или сообщение.
Относитесь к ключу шифрования как к части базы данных
Сохранённые учётные данные зависят от ключа шифрования n8n. Сохраняйте каталог состояния, содержащий автоматически сгенерированный ключ, или задайте N8N_ENCRYPTION_KEY из приватного хранилища секретов. Всем воркерам очереди нужен тот же ключ, что и основному процессу. Проверьте восстановление на одноразовых учётных данных; восстановленная база данных сама по себе может выглядеть здоровой, хотя её учётные данные останутся нечитаемыми.
- Храните ключ вне публичного каталога и репозитория
- Обеспечьте регулярное резервное копирование базы данных
- Используйте поддерживаемый PostgreSQL для предполагаемого производственного развёртывания
Официальная документация: конфигурация ключа шифрования n8n
Дайте вебхукам их публичный адрес
Обратный прокси, например Caddy, может завершать HTTPS, пока n8n слушает внутри. Текущая документация использует N8N_WEBHOOK_URL для внешнего источника вебхуков и заменяет прежнее имя WEBHOOK_URL начиная с версии 2.35.0. Задайте число доверенных переходов прокси равным реальному пути; один прокси использует N8N_PROXY_HOPS=1. Сохраняйте переданные хост, протокол и сведения о клиенте. Проверьте вебхук извне сервера и убедитесь в его рабочем URL.
- Осознанно задайте часовой пояс рабочих процессов
- Удаляйте историю выполнения, содержащую конфиденциальные входные данные
- Используйте обработчики очередей и Redis только с необходимыми средствами контроля приватного доступа
# Example: one HTTPS reverse proxy
N8N_WEBHOOK_URL=https://automations.example.com/
N8N_PROXY_HOPS=1Официальная документация: n8n за обратным прокси
Определите рабочую нагрузку и разрешённые интеграции
Перечислите триггеры, внешние учётные записи, ожидаемый объём выполнения и максимальные расходы или побочный эффект, которые может создать каждый рабочий процесс. Проверьте лицензию n8n для фактического использования, особенно если вы предлагаете его как услугу другим. Небольшой рабочий процесс по расписанию и обработчик публичных вебхуков имеют разные потребности в ресурсах. Начните с поддерживаемого выпуска, приватного постоянного состояния, имени TLS и базы данных, подходящей для развёртывания; не открывайте порты базы данных вместе с редактором.
- Используйте отдельные ограниченные учётные данные для каждой интеграции.
- Задайте часовой пояс предполагаемого рабочего процесса и срок хранения истории выполнения.
- Не допускайте встраивания реальных секретов в экспортируемые рабочие процессы.
Официальная документация: n8n Развёртывание Docker
Задайте публичный источник вебхука для установленного выпуска
Обратный прокси, например Caddy, обращается к n8n внутри, а внешние сервисы вызывают его источник вебхуков HTTPS. Используйте переменную вебхука URL, документированную для установленного выпуска; текущая документация называет её N8N_WEBHOOK_URL, а в более старых выпусках использовалась WEBHOOK_URL. Задайте реальное число переходов прокси, а не доверяйте произвольным переданным заголовкам. Держите политику доступа редактора отдельно от аутентификации вебхуков и проверьте, что рабочий обратный вызов не содержит внутреннего хоста или порта.
# Example values for a supported current release, behind one proxy:
N8N_WEBHOOK_URL=https://automations.example.com/
N8N_PROXY_HOPS=1Официальная документация: Настройки обратного прокси для вебхука n8n
Протестируйте безопасный рабочий процесс, прежде чем предоставлять доступ на запись
Начните с запроса только на чтение или одноразовой тестовой записи. Проверьте production-вебхук извне VPS, отказ аутентификации и намеренный повтор. Повторный запрос не должен случайно создавать второе значимое действие. Проверьте журналы выполнения на утечку входных данных, затем примените политику хранения. Если вебхук работает только в тестовом режиме редактора, проверьте, опубликован ли и активен ли рабочий процесс и ведут ли production- и тестовый маршруты к правильному процессу.
- Проверьте восстановление с помощью одноразовых учётных данных для интеграции.
- Храните независимую зашифрованную копию N8N_ENCRYPTION_KEY или сгенерированного состояния ключа.
- Не отправляйте примеры паролей или токены API в сохраняемый отладочный вывод.
Официальная документация: n8n ключ шифрования
Масштабируйте только после выявления узкого места выполнения
Режим очереди добавляет Redis, обработчики и общую базу данных; основной процесс получает триггеры, а обработчики выполняют запуски. Каждый обработчик должен использовать один и тот же ключ шифрования учётных данных. Перед переносом рабочего процесса с файлами в режим очереди соблюдайте текущие требования к хранению двоичных данных. Ограничьте параллелизм и бюджеты вышестоящего API и отслеживайте возраст очереди и сбои. Резервируйте базу данных, состояние и ключ вместе; перезапуск контейнера не является планом восстановления для нечитаемых сохранённых учётных данных.
Официальная документация: Режим очереди n8n · Настройки очистки истории выполнения