Weaviate Docker dağıtımları varsayılan olarak anonim erişim açık olarak geliyor

Anonim erişim varsayılan olarak açık

REST ve GraphQL arayüzleri sunan bir vektör veritabanı olan Weaviate, Docker kurulumunda operatör açıkça kapatmadığı sürece anonim erişimi etkinleştirdiğini belgelerinde yazıyor. Bir dev.to yazısına göre, kimlik bilgisi olmadan gelen istekler "anonymous" adlı bir kullanıcı olarak ele alınıyor ve bu ayar, yeni gelenlerin veritabanını hızlıca değerlendirebilmesi için var. Dağıtım sürecinde cluster gerçek veriler tutmaya başladıktan sonra bunu değiştirmeye zorlayan hiçbir şey yok; dolayısıyla geliştirme dönemi yapılandırması sessizce üretim yapılandırmasına dönüşebiliyor.

Tarama gerçekte neyi ölçtü

26 Ekim 2026 yerine 29 Ekim 2026'da, dev.to yazısının yazarı internete açık sistemleri indeksleyen bir arama motoru olan ZoomEye üzerinde yalnızca eşleşme sayılarını isteyen sorgular çalıştırdı. Başlığında "Weaviate" geçen sayfalar için yapılan arama 59 eşleşme döndürürken, ZoomEye'un Weaviate uygulama parmak izine dayanan bir sorgu sıfır döndürdü. Yazı bu sayıları yorumlarken bilinçli olarak temkinli: 59 sonuç adaydır — bir servis, bir dokümantasyon sayfası, bir giriş ekranı — doğrulanmış açık veritabanları değildir ve parmak izi sorgusundan dönen sıfır da erişilebilir bir Weaviate instance'ının olmadığının kanıtı değildir. Bir reverse proxy, arka uç ürünün parmak izini kaldırırken API trafiğini iletmeye devam edebilir; sıfır sonucunun negatif envanter kontrolü olarak işlev görememesinin nedenlerinden biri de budur. Yazı, yalnızca başlığa dayanan her adayı canlı bir Weaviate endpoint'i olarak kabul etmeden önce kendi hostname'i, bir ürün rotası veya bir cloud asset kaydıyla doğrulamayı öneriyor.

Kimlik doğrulama ve yetkilendirme ayrı sorulardır

Weaviate üç kimlik doğrulama modunu destekler: API anahtarları, OpenID Connect ve anonim erişim. dev.to yazısı, bu veritabanının çok ötesine geçen bir ayrım yapıyor: kimlik doğrulama çağıranın kim olduğunu, yetkilendirme ise o kimliğin neye dokunabileceğini belirler. API anahtarlarını açmak, her anahtar root düzeyinde izinler taşıyorsa dağıtımı tek başına sıkılaştırmaz. Weaviate'nin önerdiği üretim modeli rol tabanlı erişim kontrolüdür (RBAC); rollerde bir principal, collection, tenant ve işlem düzeyinde kısıtlanır. Yazıda alıntılanan dokümantasyonun yetkilendirme rehberi, ayrım gözetmeyen erişimin yalnızca geliştirme veya tek bir güvenilir kullanıcı için uygun olduğu uyarısını yapıyor ve yazı, bir collection'a erişimi olan bir kullanıcının başka bir collection'ın varlığını bile algılayıp algılayamayacağının test edilmesini tavsiye ediyor — tenant izolasyonu collection adlandırmalarından çıkarılmamalıdır.

Operatörler için bir kontrol listesi

Yazı, Weaviate çalıştıran herkes için somut gözden geçirme adımlarıyla kapanıyor:

• Üretimde AUTHENTICATION_ANONYMOUS_ACCESS_ENABLED değerini, bilinçli bir herkese açık okuma kullanım senaryosu yoksa false yapın.
• API anahtarı veya OIDC kimlik doğrulamasını etkinleştirin, ardından her istemci servisinin root anahtarını yeniden kullanmak yerine yalnızca kendi collection ve tenant'larına kapsamlı bir rol tutacağı şekilde RBAC yapılandırın.
• Sınırların pratikte korunduğunu doğrulamak için okuma, yazma, silme, yedekleme ve şema işlemlerine karşı anonim ve düşük ayrıcalıklı istekleri test edin.
• Dahili olması amaçlanan health ve metrics endpoint'lerini genel dinleyiciden uzak tutun.
• Anonim istek hacmini, kimlik doğrulama hatalarını, şema değişikliklerini ve toplu okumaları izleyin. İstek sayısı tek başına kötüye kullanım kanıtı değildir, ama anonim aktivitede ani bir artış dağıtımı incelemek için bir nedendir.
• Anonim erişim kazara açık kalmışsa kapatın ve aynı ağdan erişilebilen tüm kimlik bilgilerini rotate edin.

Yazı ayrıca tarama sorgularının kimin etkilendiğine dair ifadeler olarak değil, sistem sahibine bağlı, tarihli ölçümler — kesin sorgu, sonuç, birim ve kapsam — olarak kaydedilmesini öneriyor.

Neden önemli

Vektör veritabanları giderek artan şekilde özel belgelerden türetilen embedding'ler tutuyor; bu, ham metin doğrudan saklanmasa bile içeriklerinin sızıntıya duyarlı olması demek. Weaviate'nin varsayılanı ilk demo için kullanışlıdır ve yalnızca üretime geçişi atlattığında bir yük haline gelir — bu örüntü, self-hosted altyapı imajlarında yaygındır. Hikaye aynı zamanda tarama verilerini sorumlu biçimde okumak üzerine küçük bir ders: 59 başlık eşleşmesi kendi cluster'larınızı denetlemek için bir dürtüdür, ekosistem için bir güvenlik açığı sayısı değildir ve bir parmak izi sorgusundaki sıfır da hiçbir yönde kanıt sağlamaz. Belirleyici kanıt her zaman canlı kimlik doğrulama ve yetkilendirme yapılandırmasıdır, bir arama motorunun belirli bir gün gözlemlediği değil.