¿Mi Ollama está expuesto? Una lista de comprobación para asegurarlo

Por MV2 de Munim, Inc. Ajustes comprobados con las preguntas frecuentes de Ollama el 12 de octubre de 2026. Solo para sus propias máquinas. Esta página se tradujo con IA del original en inglés; si hay diferencias, prevalece el original.

Por qué importa: la API de Ollama no tiene inicio de sesión. Cualquiera que llegue al puerto 11434 puede listar, descargar, crear y borrar modelos, usar su GPU y acceder a todos los endpoints donde están los CVE de este año (vea CVE de Ollama, en inglés). Por defecto Ollama escucha en 127.0.0.1:11434, lo cual es seguro. Normalmente queda expuesto más tarde: cuando se define OLLAMA_HOST=0.0.0.0 (o se activa en la aplicación el ajuste «Expose Ollama to the network») para que otra máquina o un contenedor de Docker pueda conectarse, o cuando Docker publica el puerto.

1. Compruebe en qué dirección escucha

127.0.0.1:11434 significa que solo esta máquina puede conectarse, y este paso está terminado. 0.0.0.0:11434, *:11434, [::]:11434 o un puerto de Docker como 0.0.0.0:11434->11434/tcp significa que otras máquinas también pueden conectarse. Para confirmarlo, ejecute curl http://<this machine's LAN IP>:11434/api/version desde otro dispositivo suyo (con la IP de esta máquina en su red local). Si la respuesta trae un número de versión, el puerto está abierto a su red.

El script gratuito local-ai-checkup hace estas comprobaciones por usted, junto con las de versión, OLLAMA_ORIGINS y puertos de Docker de más abajo. Solo lee y no envía nada fuera de la máquina.

2. Si solo esta máquina necesita Ollama: enlácelo a localhost

Elimine OLLAMA_HOST o defínalo como 127.0.0.1:11434, y desactive «Expose Ollama to the network» en los ajustes de la aplicación si está activado:

Si definió OLLAMA_HOST=0.0.0.0 solo para que un contenedor de Docker pudiera conectarse, hay formas de mantener Ollama fuera de su red: vea Open WebUI o n8n en Docker no se conectan a Ollama. Si lo definió para conectarse desde un portátil o un teléfono, vea Usar Ollama desde otro ordenador o desde el teléfono.

3. Si ejecuta Ollama en Docker

-p 11434:11434 publica el puerto en todas las interfaces. En Linux, Docker escribe sus propias reglas de cortafuegos, así que ufw y firewalld no lo bloquean. Use en su lugar una de estas opciones:

docker run -d --gpus=all -v ollama:/root/.ollama -p 127.0.0.1:11434:11434 --name ollama ollama/ollama

Si Open WebUI (o n8n, Dify, Flowise) está en el mismo archivo Compose, Ollama no necesita ningún puerto publicado. El otro contenedor lo alcanza por el nombre del servicio:

services:
  ollama:
    image: ollama/ollama
    volumes: [ "ollama:/root/.ollama" ]
    # no "ports:" here - only containers on this network can reach it
  open-webui:
    image: ghcr.io/open-webui/open-webui:main
    environment:
      - OLLAMA_BASE_URL=http://ollama:11434
    ports: [ "127.0.0.1:3000:8080" ]
    volumes: [ "open-webui:/app/backend/data" ]
volumes:
  ollama: {}
  open-webui: {}

(El comentario del archivo dice: aquí no hay «ports:», solo los contenedores de esta red pueden alcanzarlo.) Vuelva a crear los contenedores tras editar (docker compose up -d) y repita el paso 1.

4. Si otras máquinas de verdad lo necesitan: ponga un inicio de sesión delante

Enlace Ollama a 127.0.0.1 como en el paso 2 y haga que un proxy inverso con autenticación sea la única vía de entrada. Un ejemplo mínimo con Caddy (genere el hash con caddy hash-password):

ollama.home.example {
    basic_auth {
        alice <hash from caddy hash-password>
    }
    reverse_proxy 127.0.0.1:11434 {
        header_up Host localhost:11434
    }
}

La línea Host importa. Los ejemplos de proxy de las preguntas frecuentes de Ollama reescriben la cabecera Host a localhost:11434, y las peticiones con otros valores de Host pueden ser rechazadas. Una red privada como Tailscale o WireGuard es otra opción: solo sus propios dispositivos llegan al puerto y nada se publica en internet. Usar Ollama en remoto explica un túnel SSH, Tailscale (incluido por qué tailscale serve delante de Ollama devuelve 403) y una regla de cortafuegos solo para la red local.

¿Aplicaciones en lugar de personas? Open WebUI, n8n y los clientes compatibles con OpenAI envían una clave de API como Authorization: Bearer, que la autenticación básica rechaza. Clave de API de Ollama tiene configuraciones de Caddy y nginx que comprueban una clave, y los ajustes de cada uno de esos clientes.

Túneles: las preguntas frecuentes también muestran comandos de ngrok y cloudflared. Por sí solos publican su Ollama en todo internet sin inicio de sesión. Úselos solo con el control de acceso del proveedor del túnel activado.

5. Mantenga OLLAMA_ORIGINS restringido

OLLAMA_ORIGINS decide qué páginas web deja su navegador hablar con Ollama. Por defecto solo se permiten orígenes locales. Con *, cualquier sitio web que visite puede enviar peticiones a su Ollama local y leer las respuestas. Añada solo los orígenes concretos que necesite, como el ID de una extensión del navegador en vez de chrome-extension://*. La comprobación del navegador (en inglés), de un solo clic, muestra si un sitio web puede leer ahora mismo su Ollama (o LM Studio).

6. Si usa Open WebUI delante

7. Manténgalo al día

Compruebe sus versiones con el comprobador de CVE gratuito (en inglés), que también cubre vLLM, n8n, Dify, RAGFlow, AnythingLLM, Langflow, Flowise y LiteLLM, incluidos avisos sin identificador CVE. El feed Atom lista cada actualización de este sitio.

¿Prefiere que se lo revisen?

MV2 de Munim, Inc. ofrece una revisión de IA local de 49 USD para una máquina, o una revisión para oficinas pequeñas de 199 USD para hasta 5 máquinas o un servidor compartido de Ollama u Open WebUI. Recibe un informe escrito de lo que está expuesto, es arriesgado o va lento y qué arreglar primero, con los comandos exactos para su sistema operativo y modelos recomendados que caben en su GPU. El informe está en inglés. Vea un informe de ejemplo (en inglés). Pague 49 USD o pague 199 USD en Stripe y después envíe a munimversion2@gmail.com la salida de python3 local_ai_checkup.py --json, su sistema operativo y para qué lo usa. MV2 nunca pide contraseñas, claves ni acceso remoto.