Michael and Claude Opus 5.5
b893d1a81f
API : un site tiers ne peut plus piloter Loki en douce
...
Repris d'AJEAN 0.15.5. Sans clé de pilotage (le défaut), l'API /api était
ouverte à tout ce qui savait joindre le port — y compris une page web
quelconque ouverte dans un navigateur du réseau local. Un POST « simple »
(text/plain) ne déclenche aucune pré-vérification CORS : la page pouvait
changer des réglages et, mode agent actif, faire exécuter des commandes.
requireWebAuth passe désormais par crossSiteReject, AVANT le test de clé :
- Sec-Fetch-Site: cross-site → 403 ;
- Origin présent et différent de l'hôte appelé (ou « null ») → 403. curl,
les scripts et les apps n'envoient pas d'Origin : non concernés ;
- sans clé seulement, l'hôte appelé doit être local (IP, localhost, nom sans
point, .local/.lan/.home…, nom du conteneur) : c'est ce qui coupe le DNS
rebinding, où un domaine malveillant se fait résoudre en IP locale.
DEUX ÉCARTS AVEC L'AMONT, DUS AU CONTENEUR
- LOKI_TRUSTED_HOSTS : derrière un reverse proxy, le nom public n'est ni
local ni celui du conteneur. Plutôt qu'imposer une clé, on peut lister ce
nom. Documenté dans le README.
- Le trafic du tunnel (marqué par withLocalAuth, authentifié par le relais)
est dispensé du contrôle d'hôte : son Host est celui du relais.
À SAVOIR : un accès existant par nom de domaine SANS clé ni
LOKI_TRUSTED_HOSTS est désormais refusé (403, message explicite).
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com >
2026-10-02 23:04:05 +02:00
..
2026-09-22 13:19:37 +00:00
2026-09-22 14:04:58 +00:00
2026-08-14 21:33:15 +00:00
2026-08-20 09:31:59 +00:00
2026-08-14 21:37:51 +00:00
2026-08-16 11:02:35 +00:00
2026-08-14 21:37:51 +00:00
2026-08-20 09:31:59 +00:00
2026-08-16 20:43:47 +00:00
2026-08-18 21:58:04 +02:00
2026-08-16 20:43:47 +00:00
2026-09-12 21:05:19 +00:00
2026-09-12 21:05:19 +00:00
2026-08-14 21:33:15 +00:00
2026-08-20 10:32:44 +00:00
2026-08-20 10:32:44 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-19 08:28:53 +02:00
2026-08-14 21:33:15 +00:00
2026-08-29 17:53:14 +02:00
2026-09-12 20:20:33 +00:00
2026-09-12 20:20:33 +00:00
2026-09-12 20:20:33 +00:00
2026-08-14 21:33:15 +00:00
2026-09-12 20:20:33 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-16 20:43:47 +00:00
2026-08-30 17:13:19 +02:00
2026-09-12 21:05:19 +00:00
2026-08-20 09:31:59 +00:00
2026-08-21 09:47:32 +02:00
2026-08-21 09:47:32 +02:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:19:37 +00:00
2026-08-14 21:33:15 +00:00
2026-08-15 11:54:52 +00:00
2026-09-07 22:34:33 +02:00
2026-09-12 21:05:19 +00:00
2026-09-12 20:25:48 +00:00
2026-09-22 14:04:58 +00:00
2026-09-22 14:04:58 +00:00
2026-08-16 15:33:55 +00:00
2026-09-22 13:59:10 +00:00
2026-08-14 21:33:15 +00:00
2026-08-30 15:47:10 +02:00
2026-08-30 15:47:10 +02:00
2026-09-22 13:24:53 +00:00
2026-08-14 21:33:15 +00:00
2026-08-30 15:47:10 +02:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:33:39 +00:00
2026-09-07 22:34:33 +02:00
2026-09-22 13:59:10 +00:00
2026-09-07 22:33:55 +02:00
2026-09-22 13:19:37 +00:00
2026-09-22 13:33:39 +00:00
2026-09-22 13:33:39 +00:00
2026-09-22 13:59:10 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-09-22 13:33:39 +00:00
2026-09-12 21:05:19 +00:00
2026-09-22 13:19:37 +00:00
2026-08-16 15:33:55 +00:00
2026-08-20 09:31:59 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:47:57 +00:00
2026-08-18 21:58:57 +02:00
2026-08-18 21:58:57 +02:00
2026-08-20 09:31:59 +00:00
2026-08-20 09:31:59 +00:00
2026-08-18 21:58:57 +02:00
2026-08-20 09:31:59 +00:00
2026-08-18 21:58:57 +02:00
2026-08-20 09:31:59 +00:00
2026-08-18 21:58:57 +02:00
2026-08-18 21:58:57 +02:00
2026-08-18 21:58:57 +02:00
2026-09-22 14:08:01 +00:00
2026-09-22 14:08:01 +00:00
2026-08-18 21:58:57 +02:00
2026-08-20 09:31:59 +00:00
2026-08-18 21:58:57 +02:00
2026-08-19 08:11:38 +02:00
2026-09-22 13:19:37 +00:00
2026-09-22 13:19:37 +00:00
2026-09-22 13:19:37 +00:00
2026-09-22 13:19:37 +00:00
2026-09-07 22:34:57 +02:00
2026-09-07 22:34:57 +02:00
2026-09-07 22:34:57 +02:00
2026-09-07 22:34:57 +02:00
2026-09-07 22:34:57 +02:00
2026-09-07 22:34:57 +02:00
2026-09-07 22:34:57 +02:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-18 08:56:32 +00:00
2026-08-18 08:56:32 +00:00
2026-09-22 14:08:01 +00:00
2026-08-20 08:49:09 +00:00
2026-08-20 08:49:09 +00:00
2026-08-16 19:45:43 +00:00
2026-08-16 19:45:43 +00:00
2026-08-14 21:33:15 +00:00
2026-09-12 21:05:19 +00:00
2026-09-12 21:05:19 +00:00
2026-08-15 14:36:04 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-18 21:58:57 +02:00
2026-08-20 09:31:59 +00:00
2026-08-18 10:53:09 +00:00
2026-08-17 10:06:14 +02:00
2026-08-17 10:06:14 +02:00
2026-08-14 21:33:15 +00:00
2026-09-22 13:24:53 +00:00
2026-08-14 21:33:15 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-07 22:34:33 +02:00
2026-09-07 22:34:33 +02:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-09-22 13:59:10 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-09-07 22:33:55 +02:00
2026-08-14 21:37:51 +00:00
2026-08-20 09:31:59 +00:00
2026-09-07 22:34:33 +02:00
2026-09-07 22:34:33 +02:00
2026-09-22 13:37:16 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-16 19:45:43 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-09-23 07:52:59 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-09-07 22:34:33 +02:00
2026-08-16 18:15:24 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-18 21:58:04 +02:00
2026-08-19 08:28:53 +02:00
2026-08-19 08:28:53 +02:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-20 22:13:16 +02:00
2026-08-18 23:19:21 +02:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-09-22 13:33:39 +00:00
2026-08-18 21:58:57 +02:00
2026-08-18 21:58:57 +02:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:37:51 +00:00
2026-08-14 21:37:51 +00:00
2026-08-14 21:37:51 +00:00
2026-08-14 21:37:51 +00:00
2026-08-21 09:47:32 +02:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-15 11:07:45 +00:00
2026-08-20 09:31:59 +00:00
2026-08-20 09:31:59 +00:00
2026-09-22 13:37:16 +00:00
2026-08-20 09:31:59 +00:00
2026-09-22 13:33:39 +00:00
2026-08-20 09:31:59 +00:00
2026-09-22 13:33:39 +00:00
2026-09-22 13:33:39 +00:00
2026-09-07 22:34:33 +02:00
2026-09-22 13:59:10 +00:00
2026-08-14 21:33:15 +00:00
2026-09-22 14:04:58 +00:00
2026-10-02 23:04:05 +02:00
2026-10-02 23:04:05 +02:00
2026-08-14 21:33:15 +00:00
2026-09-22 14:04:58 +00:00
2026-08-18 08:35:51 +00:00
2026-08-14 21:33:15 +00:00
2026-08-30 15:47:10 +02:00
2026-08-16 20:43:47 +00:00
2026-09-12 21:05:19 +00:00
2026-08-14 21:33:15 +00:00
2026-08-16 15:33:55 +00:00
2026-08-18 22:48:11 +02:00
2026-08-18 22:48:11 +02:00
2026-08-16 15:33:55 +00:00
2026-08-20 10:32:44 +00:00
2026-08-14 21:33:15 +00:00
2026-08-14 21:33:15 +00:00
2026-08-16 20:43:47 +00:00
2026-08-15 11:35:40 +00:00
2026-09-07 22:34:33 +02:00
2026-08-16 19:45:43 +00:00
2026-08-16 19:45:43 +00:00
2026-09-22 13:37:16 +00:00
2026-09-22 13:59:10 +00:00
2026-09-07 22:34:33 +02:00
2026-09-07 22:34:33 +02:00
2026-09-22 13:33:39 +00:00
2026-09-07 22:34:33 +02:00
2026-09-07 22:34:57 +02:00
2026-09-07 22:34:57 +02:00
2026-09-22 13:19:37 +00:00
2026-09-22 13:19:37 +00:00
2026-08-16 15:33:55 +00:00
2026-09-22 13:19:37 +00:00
2026-08-29 17:53:14 +02:00
2026-09-07 22:34:57 +02:00