Skip to content

Open WebUI: Browser-Origin gehaertet

Die 1&1-Open-WebUI-Instanz akzeptiert Browserzugriffe auf ihre API nur noch vom eigenen kanonischen Ursprung:

https://1und1-chat.ki-guru.com

Zuvor spiegelte der produktive Default auch fremde Origins in credentialed CORS-Preflights. Die explizite Allowlist reduziert diese Angriffsoberflaeche, ohne die direkte UI, Keycloak-SSO, AgentOS-Verlinkung oder die serverseitige Hermes-Anbindung zu veraendern.

Verifiziert

  • kanonischer Preflight: HTTP 200 mit passendem Allow-Origin;
  • fremde Test-Origins: HTTP 400 ohne Allow-Origin;
  • Seite und Health: HTTP 200;
  • OIDC-Einstieg: erwarteter Redirect;
  • Session-Token von vor dem fokussierten Recreate danach weiterhin gueltig;
  • Session-Key unveraendert;
  • Container gesund, keine Restarts oder OOM-Ereignisse.

Die Open-WebUI-Instanz bleibt unter ihrer eigenen Domain nutzbar. AgentOS oeffnet sie als externen Dienst; Hermes kommuniziert intern serverseitig und benoetigt deshalb keinen zusaetzlichen Browser-Origin.