Ficha de segurança
Abre sem senha?
O que acontece nos primeiros sessenta segundos depois que um aplicativo fica no ar, antes de você abrir a tela. Medido instalando cada um numa VPS de verdade, porque não dá para saber isso lendo documentação.
A janela que ninguém te conta
Quase todo aplicativo que você instala no seu próprio servidor sobe com a conta de administrador em aberto, esperando o primeiro visitante criar. Num computador da sua casa isso é inofensivo. Num endereço público, quer dizer que quem achar o endereço primeiro vira o dono.
Descobrimos instalando. Um n8n que subimos numa VPS exposta respondia que a tela de primeiro acesso ainda estava disponível, e ficou assim até derrubarmos o container. A conta de dono do n8n dá acesso a um motor que executa código dentro do servidor: não é a senha de um blog, é a máquina.
Dos 13 aplicativos do nosso catálogo, 8 têm essa janela e ela fica aberta, 2 têm a janela mas ela fecha sozinha depois da primeira conta, e 3 chegam trancados porque a nossa receita gera a senha na instalação.
Memos
A primeira tela cria o administrador.
o depois também foi conferido Abre para o primeiro que chegarn8n
A primeira tela cria a conta de DONO. Medido numa VPS exposta: `showSetupOnFirstLoad` respondia `true` num endereço público, e ficou assim até derrubarmos o container.
o depois não foi conferido Abre para o primeiro que chegarWordPress
O endereço abre no formulário de instalação do WordPress: idioma, título do site, seu usuário e sua senha. Quem preencher primeiro é o administrador.
o depois não foi conferido Abre para o primeiro que chegarGhost
O painel fica em /ghost, e a primeira visita a esse endereço cria a conta de dono.
o depois não foi conferido Abre para o primeiro que chegarOpen WebUI
A primeira conta criada já nasce administradora.
o depois não foi conferido Abre para o primeiro que chegarUptime Kuma
A primeira tela cria o administrador, sem pedir nada antes. Quem abrir o endereço antes de você escolhe o usuário e a senha do painel.
o depois não foi conferido Abre para o primeiro que chegarVaultwarden
O cadastro vem aberto de fábrica, e precisa vir: é assim que a sua primeira conta é criada.
o depois também foi conferido Abre para o primeiro que chegarVikunja
O cadastro vem aberto, e precisa vir, para você criar a sua conta.
o depois também foi conferido Janela curta, fecha sozinhoGitea
A primeira conta registrada já nasce administradora.
o depois também foi conferido Janela curta, fecha sozinhoImmich
A primeira tela cria o administrador.
o depois também foi conferido Chega trancadoAnythingLLM
Nenhuma janela na nossa instalação. Mas de fábrica este aplicativo abre SEM SENHA NENHUMA.
o depois também foi conferido Chega trancadoNextcloud
Nenhuma janela. Ele instala sozinho, com usuário "dono" e senha sorteada na instalação.
o depois também foi conferido Chega trancadontfy
Nenhuma janela. Ele chega trancado: a receita entrega `deny-all`, cadastro fechado e um usuário "dono" com senha sorteada na instalação.
o depois também foi conferidoO que a gente conferiu, e o que não
Em todos os 13 nós medimos o primeiro acesso: subimos numa VPS e olhamos o que o endereço responde antes de qualquer conta existir.
Em 8 deles também medimos o que acontece depois que a sua conta existe: se o cadastro continua aberto, se fecha sozinho, e se a forma de fechar funciona mesmo. Nos outros, a ficha diz "o depois não foi conferido" com essas palavras.
Isso é de propósito, e é a parte mais importante desta página. Escrever "fecha sozinho" sem ter conferido seria a afirmação exata que faz alguém deixar um servidor aberto achando que está fechado. Preferimos a lacuna admitida ao palpite confortável.