Indirizzi privati consentiti (allowlist SSRF)

Aggiornato il 2 nov 20265 min di letturaDi Emmanuel YazbeckPubblicato 18 ott 2026

AurionAI controlla ogni indirizzo che un workflow chiama, per proteggere la tua organizzazione e AurionAI da richieste verso sistemi interni. Per impostazione predefinita, un workflow può chiamare solo indirizzi pubblici. Nella pagina Lista consentiti SSRF, un amministratore può aprire specifici indirizzi di rete privata per i passaggi Richiesta HTTP e Invia webhook dei tuoi workflow.

Disponibilità: Profili Helpdesk e AI Voice + Helpdesk. Solo amministratori.

Prerequisiti

Hai il ruolo Proprietario o Amministratore. Gli altri utenti visualizzano Accesso negato.
La tua organizzazione utilizza il profilo Helpdesk o AI Voice + Helpdesk.

Cosa fa una voce

Una voce consente ai passaggi Richiesta HTTP e Invia webhook dei tuoi workflow di chiamare quell'indirizzo di rete privata. La voce si applica solo alla tua organizzazione.
Una voce apre tutte le porte dell'indirizzo. Non limita la richiesta a una sola porta.
Gli indirizzi pubblici funzionano senza una voce.
AurionAI blocca sempre gli indirizzi di loopback (localhost, 127.0.0.1, ::1) e gli indirizzi dei metadati cloud (ad esempio 169.254.169.254). Non è possibile aggiungerli all'elenco.
AurionAI blocca sempre le reti della piattaforma AurionAI stessa e i nomi host interni al cluster o al cloud. Non è possibile aggiungerli all'elenco.
Una voce non ha effetto sui webhook di notifica, sui passaggi Slack o su altre richieste in uscita. Questi richiedono sempre un indirizzo pubblico.
Una voce non ha effetto quando una variabile fornisce il nome host dell'URL. Scrivi il nome host o l'indirizzo direttamente nell'URL.
Quando un indirizzo consentito risponde con un reindirizzamento verso un indirizzo privato, AurionAI blocca il reindirizzamento. Ciò vale anche per un reindirizzamento verso lo stesso indirizzo o lo stesso nome host.
Ogni richiesta consentita da una voce viene registrata nel log di audit.

Formati delle voci

Una voce è uno dei seguenti:

un indirizzo IPv4 privato, ad esempio 10.20.0.5, oppure una rete IPv4 privata, ad esempio 10.20.0.0/24. Deve essere compreso in 10.0.0.0/8, 172.16.0.0/12 o 192.168.0.0/16. Una rete deve essere /16 o più specifica.
un indirizzo o una rete IPv6 privata compresa in fc00::/7. Una rete deve essere /48 o più specifica.
un nome host esatto, ad esempio erp.northwind.example. Una voce con solo il nome host non apre nulla. Funziona solo insieme a una voce di indirizzo o rete che contiene gli indirizzi del nome host.

Un URL con un indirizzo, ad esempio http://10.20.0.5/, richiede una voce di indirizzo o rete. Un URL con un nome host richiede una voce di nome host e una voce di indirizzo o rete. AurionAI risolve il nome host quando il workflow viene eseguito:

Gli indirizzi pubblici nella risposta sono consentiti come di consueto.
Ogni indirizzo privato nella risposta deve essere compreso in una delle tue voci di indirizzo o rete. Se anche un solo indirizzo privato non lo è, AurionAI blocca la richiesta.

Non accettati: caratteri jolly (*.northwind.example), URL, porte, indirizzi pubblici, nomi host a etichetta singola (ad esempio erp) e nomi host che terminano in .svc, .cluster.local, .internal, .local o .localdomain.

Aggiungere una voce

Nella barra laterale, seleziona Configurazione.
Apri la categoria Sistema.
Seleziona Lista consentiti SSRF.
Seleziona Aggiungi voce.
In Host o indirizzo, digita l'indirizzo, la rete o il nome host. Usa uno dei formati indicati in "Formati delle voci" sopra. Per un nome host, aggiungi anche una voce per il suo indirizzo o rete.
Facoltativo: in Descrizione (opzionale), indica a cosa serve la voce.
Seleziona Crea.

Pagina Lista consentiti SSRF con il modulo per una nuova voce.

Disattivare o eliminare una voce

Per disattivare o attivare una voce, seleziona il pulsante a forma di matita della voce. Il suo badge cambia tra Attivo e Inattivo. Una voce disattivata non consente nulla.
Per eliminare una voce, seleziona il pulsante a forma di cestino della voce e conferma nella finestra del browser.

Risultato

AurionAI mostra Voce creata o Voce eliminata.
Le modifiche vengono salvate immediatamente. La successiva esecuzione del workflow le utilizzerà.
Ogni voce nuova, modificata o eliminata viene registrata nel log di audit.
Le voci precedenti che non utilizzano un formato accettato (ad esempio un carattere jolly o l'inizio di un URL) non consentono nulla. Eliminale e aggiungi nuovamente l'indirizzo in un formato accettato.

In caso di problemi

Questa voce non è accettata. Usi un nome host esatto oppure un indirizzo o una rete privata, come descritto sotto il campo. La voce non è in un formato accettato, oppure è un indirizzo di loopback, di metadati cloud, della piattaforma AurionAI o un indirizzo pubblico. Usa uno dei formati indicati in "Formati delle voci" sopra.
Questo pattern URL esiste già La voce è già presente nell'elenco. Attiva invece la voce esistente.
Una richiesta del workflow verso un indirizzo privato è ancora bloccata. Assicurati che:
- le voci siano Attivo;
- il passaggio sia di tipo Richiesta HTTP o Invia webhook;
- l'URL contenga il nome host o l'indirizzo direttamente, non una variabile;
- per un nome host, sia presente una voce di nome host e ogni indirizzo privato del nome host sia compreso in una voce di indirizzo o rete.