CSRF-vahvistus epäonnistui -virheen korjaaminen Paperless-ngx:ssä

Jos Paperless-ngx näyttää 403 Kielletty: CSRF-vahvistus epäonnistui al iniciar sesión, la aplicación ha rechazado una comprobación de seguridad de la petición. Es habitual encontrarlo después de cambiar el dominio, activar HTTPS o configurar un proxy inverso, pero también puede estar relacionado con las cookies o con un formulario antiguo.

La solución consiste en identificar el motivo concreto, comprobar la URL pública y asegurarse de que la configuración llega realmente a Paperless. No necesitas desactivar la protección CSRF ni modificar los permisos de los documentos.

Tunnista CSRF-virheen syy Paperless-ngx:ssä

Django utiliza cookies y tokens, además de comprobaciones del origen de la petición, para dificultar que otra web envíe acciones aprovechando la sesión del usuario.

Comprueba que el aviso menciona expresamente CSRF-vahvistus epäonnistui. Un 403 generado por Cloudflare, una regla del proxy o un sistema de acceso externo puede tener otra causa.

Si utilizas Docker Compose, reproduce el fallo y consulta los registros:

docker compose logs --tail=100 webserver

Käyttämissämme esimerkeissä webserver palvelun nimenä. Korvaa se käyttöönottosi nimellä. Etsi viittauksia django.security.csrf ja hylkäämisen syy.

• Alkuperän tarkistus epäonnistui: Tarkista ilmoituksessa näkyvä lähde ja julkiset asetukset.
• CSRF-evästettä ei asetettu: tarkista, että selain vastaanottaa ja säilyttää evästeen.
• Tunniste puuttuu tai on virheellinen: Lataa lomake uudelleen ennen lähettämistä.
• Viittaajan tarkistus epäonnistui: Tarkista otsikot ja käytä HTTPS:ää.

Määritä PAPERLESS_URL-osoitteeseen oikea julkinen osoite

Jos haluat yksilöllisen julkisen osoitteen, määritä PAPERITON_URLSisällytä protokolla ja portti, jos se ei ole oletusarvo, mutta älä lisää loppuun kauttaviivaa tai polkuja, kuten /accounts/login/.

Esimerkiksi:

PAPERLESS_URL=https://documentos.example.com

Tämä muuttuja määrittää yhteisesti sallittujen isäntien, CORS:n ja luotettujen CSRF-lähteiden asetukset. Se ei automaattisesti muunna kaikkia osoitteita vastaaviksi desde las que puedas abrir la instancia.

Si publicas Paperless bajo una subruta, como https://example.com/paperlessÄlä anna kyseistä polkua PAPERLESS_URL-osoitteeseen. Kyseinen käyttöönotto vaatii etuliitteen ja välityspalvelimen määrittämisen erikseen.

Varmista, että Docker vastaanottaa muuttujan

Tiedosto .env puede servir para sustituir valores en Compose, pero sus variables no se incorporan automáticamente al entorno de todos los servicios.

Puedes añadir este fragmento al servicio existente de Paperless:

services:
  webserver:
    environment:
      PAPERLESS_URL: "https://documentos.example.com"

Integroi säätö korvaamatta loput Compose-tiedostostasi. Conserva la imagen, los volúmenes, las dependencias y las demás variables que ya utilizabas.

Si prefieres guardar la configuración en un archivo, decláralo expresamente:

services:
  webserver:
    env_file:
      - paperless.env

Ja sisällä paperless.env:

PAPERLESS_URL=https://documentos.example.com

Tarkista mahdolliset kaksoiskappaleet: jos muuttuja esiintyy myös environment, tuo arvo on etusijalla kohdassa määriteltyyn arvoon nähden. env_file.

Ota muutokset käyttöön luomalla palvelu uudelleen.

Muuttujien muuttamisen jälkeen suorita komento vastaavasta Compose-projektista:

docker compose up -d --no-deps --force-recreate webserver

Tässä esimerkissä oletetaan, että riippuvaiset palvelut ovat jo käynnissä. Se luo paperittoman toiminnan uudelleen pysäyttämättä tietokantaa ja muuta pinoa tarkoituksella.

Yksinkertainen Docker-compose-uudelleenkäynnistys ei päivitä säilöympäristöä. Tampoco necesitas eliminar volúmenes para aplicar estos ajustes.

Comprueba el valor recibido:

docker compose exec webserver printenv PAPERLESS_URL

Jos odotettua osoitetta ei näy, tarkista muokattu tiedosto, palvelu ja kaksoismuuttujat. Jos käytät asetuksia, kuten -f tai tietyn projektin nimen, se säilyttää samat asetukset komennoissa.

Milloin käytetään PAPERLESS_CSRF_TRUSTED_ORIGINS-protokollaa

PAPERLESS_CSRF_TRUSTED_ORIGINS ei ole vanhentunut muuttuja. Permite declarar orígenes adicionales para peticiones protegidas por CSRF.

Por ejemplo, para dos direcciones de confianza:

PAPERLESS_CSRF_TRUSTED_ORIGINS=https://documentos.example.com,https://archivo.example.com

Käytä tiettyjä lähteitä, tarvittaessa protokollan ja portin kera. Älä sekoita tätä luetteloa muihin PAPERLESS_ALLOWED_HOSTS, donde se configuran nombres de host sin protocolo.

Autorizar un origen no sustituye la configuración del dominio, del certificado o del proxy. Añade únicamente las direcciones que realmente utilizas y controlas.

Tarkista HTTPS- ja käänteisen välityspalvelimen otsikot

El proxy debe transmitir correctamente el host y el esquema externo. No es obligatorio que cambie el host por utilizar Nginx Proxy Manager, Traefik o Cloudflare Tunnel: depende de cómo estén configurados.

Si el navegador usa HTTPS y el proxy se comunica por HTTP con Paperless, puede ser necesario indicar cómo reconocer la conexión externa segura:

PAPERLESS_PROXY_SSL_HEADER='["HTTP_X_FORWARDED_PROTO", "https"]'

Tämä muoto vastaa muuttujatiedostoa. Älä aktivoi sitä tarkistamatta välityspalvelinta: debe establecer o sobrescribir esa cabecera de manera fiable, evitando aceptar valores arbitrarios enviados por clientes externos.

En cadenas con varios proxies, comprueba el esquema que llega al último salto. Las opciones de confianza en cabeceras reenviadas no deben habilitarse todas como receta universal.

Si el registro muestra un origen null tai viittaajaan liittyvä ongelma; tarkista myös lomakkeelle sovellettu viittauskäytäntö. Projektin wiki dokumentoi käyttöoikeuksiin liittyviä ongelmia Referrer-Policy: no-referrerSallittujen URL-osoitteiden korjaaminen ei välttämättä riitä siinä tapauksessa.

Hävitä vanhat evästeet ja vanhentuneet lomakkeet

Una vez corregida la configuración del servidor, abre de nuevo la dirección definitiva y vuelve a cargar el formulario de acceso. Evita enviarlo desde una pestaña antigua o alternar entre HTTP, HTTPS, IP y dominio durante la prueba.

Si el motivo apunta a cookies o tokens, prueba con una ventana privada o elimina únicamente los datos del sitio de Paperless. Comprueba también si alguna extensión está bloqueando cookies o modificando las peticiones.

El objetivo es que navegador, proxy y aplicación coincidan en la dirección y el contexto de acceso. CSRF:n poistaminen käytöstä, lähteiden laajentaminen mielivaltaisesti tai käyttöönottotietojen poistaminen ei ratkaise syytä..