Endereços privados permitidos (lista de permissões SSRF)

Atualizado em 02/11/20265 min de leituraPor Emmanuel YazbeckPublicado a 18/10/2026

O AurionAI verifica todos os endereços que um fluxo de trabalho chama, para proteger a sua organização e o AurionAI contra pedidos a sistemas internos. Por predefinição, um fluxo de trabalho só pode chamar endereços públicos. Na página Lista de Permissões SSRF, um administrador pode abrir endereços específicos de redes privadas para os passos Requisição HTTP e Enviar webhook dos seus fluxos de trabalho.

Disponibilidade: Perfis Helpdesk e AI Voice + Helpdesk. Apenas administradores.

Pré-requisitos

Tem a função Proprietário ou Administrador. Os outros utilizadores veem Acesso Negado.
A sua organização utiliza o perfil Helpdesk ou o perfil AI Voice + Helpdesk.

O que faz uma entrada

Uma entrada permite que os passos Requisição HTTP e Enviar webhook dos seus fluxos de trabalho chamem esse endereço de rede privada. A entrada aplica-se apenas à sua organização.
Uma entrada abre todas as portas do endereço. Não limita o pedido a uma única porta.
Os endereços públicos funcionam sem uma entrada.
O AurionAI bloqueia sempre os endereços de loopback (localhost, 127.0.0.1, ::1) e os endereços de metadados de cloud (por exemplo 169.254.169.254). Não é possível adicioná-los à lista.
O AurionAI bloqueia sempre as redes da própria plataforma AurionAI, bem como os nomes de anfitrião internos de cluster ou de cloud. Não é possível adicioná-los à lista.
Uma entrada não tem efeito nos webhooks de notificação, nos passos do Slack nem noutros pedidos de saída. Estes necessitam sempre de um endereço público.
Uma entrada não tem efeito quando uma variável fornece o nome de anfitrião do URL. Escreva o nome de anfitrião ou endereço no próprio URL.
Quando um endereço permitido responde com um redirecionamento para um endereço privado, o AurionAI bloqueia o redirecionamento. Isto também se aplica a um redirecionamento para o mesmo endereço ou o mesmo nome de anfitrião.
Cada pedido que uma entrada permite é registado no registo de auditoria.

Formatos de entrada

Uma entrada é uma das seguintes:

um endereço IPv4 privado, por exemplo 10.20.0.5, ou uma rede IPv4 privada, por exemplo 10.20.0.0/24. Deve estar dentro de 10.0.0.0/8, 172.16.0.0/12 ou 192.168.0.0/16. Uma rede deve ser /16 ou mais restrita.
um endereço ou rede IPv6 privado dentro de fc00::/7. Uma rede deve ser /48 ou mais restrita.
um nome de anfitrião exato, por exemplo erp.northwind.example. Uma entrada de nome de anfitrião por si só não abre nada. Só funciona em conjunto com uma entrada de endereço ou rede que contenha os endereços do nome de anfitrião.

Um URL com um endereço, por exemplo http://10.20.0.5/, necessita de uma entrada de endereço ou rede. Um URL com um nome de anfitrião necessita de uma entrada de nome de anfitrião e de uma entrada de endereço ou rede. O AurionAI resolve o nome de anfitrião quando o fluxo de trabalho é executado:

Os endereços públicos na resposta são permitidos normalmente.
Cada endereço privado na resposta deve estar dentro de uma das suas entradas de endereço ou rede. Se um endereço privado não estiver, o AurionAI bloqueia o pedido.

Não aceite: carateres universais (*.northwind.example), URLs, portas, endereços públicos, nomes de anfitrião de rótulo único (por exemplo erp), e nomes de anfitrião que terminem em .svc, .cluster.local, .internal, .local ou .localdomain.

Adicionar uma entrada

Na barra lateral, selecione Configuração.
Abra a categoria Sistema.
Selecione Lista de Permissões SSRF.
Selecione Adicionar Entrada.
Em Anfitrião ou endereço, escreva o endereço, rede ou nome de anfitrião. Utilize um dos formatos indicados em "Formatos de entrada" acima. Para um nome de anfitrião, adicione também uma entrada para o seu endereço ou rede.
Opcional: em Descrição (opcional), indique para que serve a entrada.
Selecione Criar.

Página Lista de Permissões SSRF com o formulário para uma nova entrada.

Desativar ou eliminar uma entrada

Para desativar ou ativar uma entrada, selecione o botão de lápis da entrada. O seu distintivo alterna entre Ativo e Inativo. Uma entrada desativada não permite nada.
Para eliminar uma entrada, selecione o botão do caixote da entrada e confirme na janela do browser.

Resultado

O AurionAI mostra Entrada da lista de permissões criada ou Entrada da lista de permissões eliminada.
As alterações são guardadas imediatamente. A próxima execução do fluxo de trabalho utiliza-as.
Cada entrada nova, alterada ou eliminada é registada no registo de auditoria.
As entradas mais antigas que não utilizam um formato aceite (por exemplo um caráter universal ou o início de um URL) não permitem nada. Elimine-as e adicione novamente o endereço num formato aceite.

Se algo correr mal

Esta entrada não é aceite. Use um nome de anfitrião exato ou um endereço ou rede privada, como descrito abaixo do campo. A entrada não está num formato aceite, ou é um endereço de loopback, de metadados de cloud, da plataforma AurionAI ou público. Utilize um dos formatos indicados em "Formatos de entrada" acima.
Este padrão de URL já existe A entrada já está na lista. Ative a entrada existente em vez disso.
Um pedido de fluxo de trabalho para um endereço privado continua a ser bloqueado. Certifique-se de que:
- as entradas estão Ativo;
- o passo é um passo Requisição HTTP ou Enviar webhook;
- o URL contém o nome de anfitrião ou endereço em si, e não uma variável;
- para um nome de anfitrião, existe uma entrada de nome de anfitrião e cada endereço privado do nome de anfitrião está dentro de uma entrada de endereço ou rede.