يُعدّ الحصول على تصنيف A+ من ماسح رؤوس الأمان هدفًا مفيدًا لضبط الإعدادات، ولكنه لا يُمثّل شهادة أمان كاملة لخادم Nextcloud. يعكس هذا التصنيف رؤوس استجابة HTTP التي يفحصها الماسح عند عنوان URL الذي تم اختباره. ولا يشمل فحص قاعدة البيانات، أو نظام التشغيل، أو النسخ الاحتياطية، أو حسابات المستخدمين، أو التطبيقات المُثبّتة، أو عملية التحديث. لذا، تبدأ خطة التحصين الآمنة بفحوصات السلامة التي يُجريها Nextcloud نفسه، ثم تُؤمّن الخادم وطبقة الويب العامة الخاصة به، وأخيرًا تُعيد اختبار عنوان URL العام نفسه.
يتبع هذا الدليل دليل إدارة Nextcloud 35 الحالي، والمتوفر في أكتوبر 2026. قد تختلف أمثلة التكوين بين Apache وNGINX والحاويات وعمليات نشر الخوادم الوكيلة العكسية. تأكد من كل تغيير بالرجوع إلى وثائق إصدار الخادم وبيئة النشر قبل تطبيقه.
قبل تغيير رؤوس الطلب أو إعدادات PHP، حدد كيفية وصول الطلب إلى Nextcloud: مباشرةً عبر Apache أو NGINX، أو عبر وكيل حاوية، أو عبر موازن تحميل مُدار. سجّل إصدار Nextcloud، وإصدار PHP، ونوع قاعدة البيانات، والتطبيقات المُفعّلة، ونقطة إنهاء TLS. احتفظ بنسخة من إعدادات المضيف الافتراضي أو الوكيل النشط لتتمكن من التراجع عن أي تغيير غير مرغوب فيه.
أنشئ نسخة احتياطية قابلة للاستعادة لقاعدة البيانات، ومجلد البيانات بالكامل، وإعدادات Nextcloud config.php. لا تُعدّ نسخة الملفات وحدها نسخة احتياطية كاملة؛ تأكد من معرفتك كيفية استعادة المكونات الثلاثة معًا. يُحذّر دليل تحديث Nextcloud تحديدًا من أن أداة التحديث لا تُجري نسخًا احتياطية لقاعدة البيانات أو مجلد البيانات. راجع إرشادات الترقية والنسخ الاحتياطي لـ Nextcloud .
سجّل الدخول كمسؤول وافتح إعدادات الإدارة، ثم نظرة عامة. راجع تحذيرات الأمان والإعداد، بالإضافة إلى تحذيرات العمليات الخلفية وقواعد البيانات. تُعدّ النظرة العامة النظيفة فحصًا مفيدًا على مستوى التطبيق، لكنها لا تُغني عن تحديث نظام التشغيل أو اختبار الترويسات الخارجية. تجنّب تجاهل أي تحذير حتى تفهم سببه.
شغّل إصدارًا مدعومًا من Nextcloud مع مزيج PHP وقاعدة بيانات مدعومين. طبّق تحديثات الصيانة فورًا، وراجع توافق التطبيقات قبل الانتقال إلى إصدار رئيسي جديد. حدّث نظام التشغيل، وخادم الويب، وبيئة تشغيل PHP، وخادم قاعدة البيانات، وتطبيقات Nextcloud المثبتة عبر قنوات التحديث المدعومة. احذف التطبيقات غير المستخدمة أو التي لم تعد مدعومة، لأن كل مكون مُفعّل يُضيف شيفرة برمجية وجهد صيانة.
قبل التحديث، تحقق من النسخة الاحتياطية واقرأ ملاحظات الإصدار للنسخة المستهدفة. استخدم أداة التحديث المدعومة لنوع تثبيتك، ثم أكمل أي عملية ترحيل مطلوبة لقاعدة البيانات، وتحقق من نظرة عامة على الإدارة والسجلات. لا تقم بالرجوع إلى إصدار أقدم عن طريق نسخ ملفات التطبيق القديمة فوق نسخة مُرحّلة؛ إذ تُوثّق Nextcloud أن الرجوع إلى إصدار أقدم غير مدعوم، وتوصي بالاستعادة من نسخة احتياطية متوافقة عند الحاجة إلى التراجع.
فعّل موفر مصادقة ثنائية مُحدّث، واشترط المصادقة متعددة العوامل لحسابات المسؤولين. يُقدّم Nextcloud دعم المصادقة الثنائية عبر التطبيقات، لذا تأكد من توافق الموفر المُختار مع إصدارك، ومن وجود آلية استعادة للمستخدمين قبل تفعيله. احتفظ برموز الاستعادة الطارئة في مكان آمن بعيدًا عن الإنترنت. لا تُعطّل الحماية من هجمات التخمين العشوائي لحلّ مشكلة تأخير تسجيل الدخول؛ بل تحقّق من عناوين IP المصدر وإعدادات الخادم الوكيل.
استخدم حسابات المسؤولين الفردية للأعمال الروتينية، وامنح صلاحيات المسؤول فقط عند الحاجة. اختر كلمات مرور فريدة وطويلة، واستخدم مدير كلمات مرور. ألغِ جلسات استعادة الأجهزة المفقودة وكلمات مرور التطبيقات فورًا. راجع الحسابات والمجموعات والمجلدات المشتركة العامة ووحدات التخزين الخارجية دوريًا، وأزل الوصول الذي لم يعد ضروريًا للعمل.
حماية Nextcloud من هجمات التخمين العشوائي مُفعّلة افتراضيًا. وتعتمد فعاليتها على رؤية الخادم لعنوان IP الحقيقي للعميل. إذا كان Nextcloud يعمل خلف خادم وكيل، فقم بتكوين عنوان الوكيل أو الشبكة الفعليين فقط trusted_proxies، واضبط forwarded_for_headersرأس الطلب الذي يتحكم به خادم الوكيل فقط. إن الوثوق برأس طلب يمكن للعميل تزويره قد يُضعف الحماية القائمة على عنوان IP. تجنب إدخال عناوين واسعة في القائمة البيضاء: حيث يمكن للعناوين المستبعدة إجراء محاولات مصادقة دون تقييد. راجع وثائق حماية التخمين العشوائي ودليل تكوين الوكيل العكسي .
ضع مجلد بيانات Nextcloud خارج جذر الموقع الإلكتروني لتقليل احتمالية كشف الملفات المخزنة في حال حدوث خطأ في خادم الويب. قيّد ملكية نظام الملفات وصلاحياته لحساب الخدمة والمسؤولين الذين يحتاجون إلى الوصول إليه؛ ولا تجعل المجلد قابلاً للقراءة أو الكتابة من قِبل أي شخص. احمِ المجلد config.phpالذي يحتوي على بيانات اعتماد قاعدة البيانات وأسرار المثيل. كما يوثّق دليل تأمين Nextcloud 35 نقل مجلد التكوين خارج جذر الموقع الإلكتروني NEXTCLOUD_CONFIG_DIR؛ اضبطه بشكل متسق لعملية الويب ومهام سطر الأوامر، ثم تحقق من أن المثيل لا يزال يحمّل التكوين المقصود.
أبقِ وضع تصحيح الأخطاء في بيئة الإنتاج مُعطَّلاً. فعِّل إجراءات حماية نظام التشغيل، مثل SELinux، حيثما كان ذلك مدعومًا ومُتَّفقًا عليه من قِبل فريقك. إذا كنت تُشغِّل التطبيق داخل حاوية، فاحمِ المضيف، ووحدات التخزين الدائمة، وبيانات اعتماد سجل الحاويات، وواجهة الإدارة، بالإضافة إلى تطبيق Nextcloud. قيِّد الوصول إلى الشبكة الواردة للخدمات التي يجب أن تكون عامة؛ ولا تُعرِّض منفذ قاعدة البيانات أو واجهة سطر الأوامر الإدارية للإنترنت.
يدعم Nextcloud ميزات تُنشئ اتصالات خارجية مع أنظمة أخرى، لذا فإن تجزئة الشبكة وسياسة جدار الحماية أمران بالغا الأهمية. ضع المثيل في منطقة شبكة مقيدة بشكل مناسب، واسمح فقط بالوجهات الخارجية التي تتطلبها الميزات المُفعّلة. وتختلف قائمة السماح الدقيقة باختلاف التطبيقات وخيارات النشر.
قم بتشغيل الموقع باستخدام شهادة TLS صالحة، وأعد توجيه جميع طلبات HTTP العادية إلى HTTPS. اختبر سلسلة الشهادات، وعملية التجديد، وكل اسم مضيف يصل إليه المستخدمون فعليًا. يوصي دليل تأمين Nextcloud باستخدام HTTPS ويوثق HSTS. يُخبر HSTS المتصفحات بالاستمرار في استخدام HTTPS لفترة محددة بعد تلقيها السياسة، لذا فعّله فقط بعد التأكد من عمل HTTPS بشكل موثوق.
ابدأ بسياسة HSTS مناسبة لبيئتك، Strict-Transport-Security: max-age=15552000ثم زد مدة صلاحيتها بعد المراقبة. أضفها includeSubDomainsفقط إذا كان كل نطاق فرعي متأثر يدعم HTTPS. تعامل preloadمع هذا كقرار منفصل وذو تأثير كبير: قد تحتفظ المتصفحات بنطاق مُحمّل مسبقًا لفترة طويلة، وقد يستغرق إزالته شهورًا حتى يصل إلى المستخدمين. لا تنسخ مثالًا للتحميل المسبق دون التحقق من جميع النطاقات الفرعية والمتطلبات الحالية. تختلف خيارات TLS باختلاف احتياجات الخادم والعميل؛ استخدم إرشادات TLS المرفقة من Nextcloud واختبر نقطة النهاية الناتجة.
يُوفّر Nextcloud بالفعل العديد من رؤوس الأمان، بما في ذلك <header> X-Content-Type-Optionsو X-Frame-Options<header> X-Robots-Tagو <header> و Referrer-Policy<header>. وتوصي وثائقه بالتأكد من أن خادم الويب يُقدّم رؤوس الأمان أيضًا، لضمان استمرار فعاليتها في الاستجابات الثابتة. يجب على مُستخدمي Apache التأكد من .htaccessتفعيل الوحدات النمطية ذات الصلة وقواعد Nextcloud. أما مُستخدمو NGINX، فيجب عليهم استخدام إعدادات Nextcloud NGINX الحالية بدلاً من افتراض تطبيق قواعد Apache. راجع دليل تحسين أمان Nextcloud وإعدادات NGINX الخاصة به .
من الأسباب الشائعة لنتائج غير متوقعة استخدام نفس ترويسة الطلب في Nextcloud وخادم الويب وشبكة توصيل المحتوى (CDN) أو خادم وكيل عكسي. قد تحتوي الاستجابة حينها على قيم مكررة أو متضاربة. لذا، اختر الطبقة المسؤولة عن كل ترويسة، وتحقق من الاستجابة النهائية التي يراها المتصفح، وتجنب استبدال سياسة أمان المحتوى (CSP) الخاصة بـ Nextcloud بسياسة عامة منسوخة من موقع آخر. قد يؤدي تطبيق سياسة أمان محتوى صارمة إلى تعطيل البرامج النصية أو الميزات التي يحتاجها Nextcloud وتطبيقاته. اختبر تغييرات السياسة على بيئة تجريبية، وتحقق من أخطاء المتصفح قبل إطلاقها في بيئة الإنتاج.
لضمان دقة تقرير الماسح الضوئي، اختبر عنوان URL النهائي لبروتوكول HTTPS الذي يزوره المستخدمون، بما في ذلك عمليات إعادة التوجيه وأي قفزة عبر شبكة توصيل المحتوى (CDN) أو خادم وكيل. تحقق من كلٍ من الصفحة المقصودة وملف ثابت، لأن الطبقات المختلفة قد تُرجع رؤوسًا مختلفة. تأكد من أن عمليات إعادة التوجيه من HTTP إلى HTTPS وأن الاستجابة النهائية تحتوي على قيمة واحدة متسقة لكل رأس. استخدم curl -I https://your-cloud.exampleهذا كفحص سريع، ثم استخدم أدوات مطوري المتصفح أو ماسحًا ضوئيًا خارجيًا للاستجابة العامة الفعلية. استبدل اسم المضيف المذكور في المثال باسمك الخاص؛ لا تنشر أسماء مضيفين أو بيانات اعتماد خاصة في تقارير الفحص.
قم بإجراء اختبار SecurityHeaders.com على عنوان URL العام لبروتوكول HTTPS واقرأ جميع النتائج، وليس فقط الحرف. تشرح الأسئلة الشائعة أن الدرجة هي تقييم لرؤوس الاستجابة المتعلقة بالأمان التي تتحقق منها الخدمة. لذا، فإن A+ تعني أن الاستجابة المختبرة استوفت قواعد التقييم الحالية للخدمة؛ ولا تعني أن Nextcloud خالٍ من الثغرات الأمنية أو أن الخادم بأكمله قد اجتاز اختبار الاختراق. قد تُقيّم الماسحات الضوئية المختلفة نفس التكوين بشكل مختلف، وقد تتغير معايير التقييم.
إذا كانت النتيجة أقل من A+، فحدد بدقة الترويسة المفقودة أو المتضاربة، وحدد الطبقة التي يجب أن تُعيّنها، ثم غيّر عنصرًا واحدًا في كل مرة. أعد الاختبار بعد كل تغيير، وجرّب تسجيل الدخول، وتحميل الملفات وتنزيلها، ومزامنة سطح المكتب والهاتف المحمول، وWebDAV، والمشاركة، وأي تطبيقات حيوية. إذا حدث خلل في الأداء، فارجع إلى آخر تغيير طرأ على الترويسة، وافحص سجلات الخادم والمتصفح. لا تُضف سياسة أمان محتوى عامة لمجرد استيفاء درجة معينة دون التحقق من متطلبات التطبيق الموثقة.
للحصول على خطوات خاصة بكل إصدار، راجع إرشادات تعزيز الأمان والحماية لـ Nextcloud 35 ، ودليل الترقية ، ووثائق خادم الويب أو منصة الاستضافة. والنتيجة الأهم هي خادم مُحدَّث باستمرار، وقابل للاستعادة، ويُقلل من المخاطر، ويستمر في العمل بعد كل تغيير أمني - وليس مجرد تقييم شكلي.
قارن بين 10 أدوات مسح الشبكة المحلية (Ping) لاكتشاف الشبكات المحلية بسرعة، وإجراء مسح شامل للأنظمة الأساسية المختلفة، وإدارة عناوين IP. تعرّف على ما يمكن أن يكشفه لك المسح وما لا يمكنه كشفه.
قارن بين ست أدوات لإدارة الشبكة لمراقبة الأداء، بما في ذلك تغطية SNMP، ورسم الخرائط، والتنبيهات، ونماذج النشر، والمفاضلات المتعلقة بالتكلفة.
قارن بين أفضل برامج تحليل شبكة Wi-Fi لأنظمة Windows و iPhone و Android، بما في ذلك أدوات ازدحام القنوات وتغطية الإشارة والخرائط الحرارية واستكشاف أخطاء الشبكة وإصلاحها.
قارن بين سبعة برامج مراقبة زمن الاستجابة المجانية والمفتوحة المصدر، بدءًا من مجموعات الشبكة الكاملة وحتى مجسات زمن الاستجابة المركزة، واختر البرنامج المناسب من حيث التوافر وفقدان الحزم والسجل.
تعرف على معنى جودة الخدمة في الشبكات، وكيف تحدد علامات DSCP وقوائم انتظار حركة المرور أولويات تطبيقات الصوت والفيديو والأعمال، وما لا تستطيع جودة الخدمة إصلاحه.
قم ببناء نظام مراقبة شبكة عملي مع تغطية واضحة للأجهزة، ومقاييس أداء مفيدة، وتنبيهات قابلة للتنفيذ، ومقارنة بين SolarWinds NPM وPRTG وOpManager.
قارن بين برامج خوادم SFTP الموثوقة لأنظمة ويندوز ولينكس، بما في ذلك OpenSSH وBitvise وSolarWinds وSFTPGo. اعثر على الخيار الأمثل الذي يلبي احتياجاتك الأمنية واحتياجات نقل الملفات.
قارن بين سبع أدوات لإدارة عناوين IP لاكتشاف الشبكات الفرعية، وتنسيق DNS وDHCP، وجرد الشبكة، وIPAM مفتوح المصدر.
قارن بين أدوات فحص الشبكة لاكتشاف الأجهزة بسرعة، وعمليات فحص IP عبر الأنظمة الأساسية، وإدارة عناوين IP للمؤسسات، مع إرشادات حول مطابقة كل خيار مع شبكتك.
استخدم خيار --traceroute في Nmap لرسم خرائط القفزات إلى مضيف مصرح به، وفهم مخرجات القفزة وRTT، واستكشاف الأخطاء وإصلاحها في الاستجابات المفقودة دون الإفراط في المسح.
