Beheben Sie die Nextcloud-Warnung „Strict-Transport-Security (HSTS)-Header fehlt“.

Wenn Nextcloud die Meldung „Der HTTP-Header Strict-Transport-Security ist nicht konfiguriert“ meldet, muss die Korrektur auf der HTTPS-Antwortschicht vorgenommen werden: Apache, Nginx oder der öffentliche Reverse-Proxy, der TLS beendet. Das aktuelle Nextcloud-Administrationshandbuch weist auf einen fehlenden Header oder eine max-agezu geringe 15552000Wartezeit in Sekunden als Sicherheitswarnung hin. Sobald der Header am öffentlichen HTTPS-Endpunkt vorhanden ist, können Browser erkennen, dass der Host für den angegebenen Zeitraum HTTPS verwenden muss.

Die grundlegende Änderung ist klein, aber ihr Umfang ist wichtig. Wenden Sie HSTS nur auf funktionierende HTTPS-Endpunkte mit gültigem Zertifikat an. Beginnen Sie mit dem Hostnamen; fügen Sie weitere includeSubDomainsOptionen preloaderst hinzu, wenn alle betroffenen Hostnamen HTTPS-fähig sind. Diese Anleitung basiert auf der Nextcloud-Administrationsdokumentation vom Oktober 2026, einschließlich der Sicherheitswarnungen und Hinweise zur Serverhärtung .

Was die Warnung bedeutet

HTTP Strict Transport Security (HSTS) ist ein Antwortheader, der einen Browser anweist, für zukünftige Anfragen an einen Hostnamen HTTPS zu verwenden. Dadurch wird verhindert, dass ein Browser nach dem Empfang der Richtlinie über eine gültige HTTPS-Verbindung auf unverschlüsseltes HTTP zurückgreift. Nextcloud prüft die öffentliche Antwort und warnt, wenn keine Richtlinie mit der empfohlenen Mindestgültigkeitsdauer gefunden wird.

HSTS ist kein Ersatz für die Aktivierung von TLS oder die Weiterleitung von HTTP zu HTTPS. Der Browser akzeptiert HSTS-Richtlinien nur, wenn diese über HTTPS übermittelt werden. Beim ersten Besuch, bevor der Browser die Richtlinie gelernt hat, kann die Anfrage weiterhin angreifbar sein, es sei denn, der Hostname ist in der Browser-Preload-Liste enthalten. Eine normale HTTP-zu-HTTPS-Weiterleitung ist weiterhin sinnvoll, ersetzt aber nicht den Header.

Ermitteln Sie, welcher Server den Header senden soll.

Verfolgen Sie die öffentliche Anfrage, bevor Sie die Konfiguration ändern. Wenn Benutzer sich direkt über HTTPS mit Apache oder Nginx verbinden, konfigurieren Sie den TLS-Virtual-Host dieses Webservers. Falls ein Load Balancer, Ingress, CDN oder Reverse-Proxy die öffentliche TLS-Verbindung beendet, konfigurieren Sie die Schicht, die die Antwort an den Browser sendet. Das Hinzufügen des Headers nur zu einer internen HTTP-Verbindung hat möglicherweise keine Auswirkungen auf die öffentliche Antwort.

Nextcloud dokumentiert Reverse-Proxys als unterstütztes Bereitstellungsmuster und verlangt von Administratoren, gegebenenfalls vertrauenswürdige Proxys zu definieren. Die HSTS-Verantwortlichkeit des Proxys ist von der URL- und Client-IP-Verarbeitung von Nextcloud getrennt. Insbesondere overwriteprotocolhilft die HSTS-Konfiguration Nextcloud, das externe Schema in bestimmten Proxy-Konfigurationen zu erkennen; die Konfiguration selbst fügt jedoch keinen HSTS-Antwortheader hinzu. Lesen Sie die offizielle Nextcloud-Anleitung zur Reverse-Proxy-Konfiguration, wenn Ihre Anwendung HTTP-Links generiert oder andere Proxy-bezogene Warnungen ausgibt.

Bevor die Richtlinie geändert wird

• Die Bestätigung führt https://cloud.example.comzu Ladevorgängen ohne Zertifikatsfehler und verwendet die vorgesehene Zertifikatskette.
• Prüfen Sie, ob HTTP-Anfragen über HTTPS auf denselben Hostnamen umgeleitet werden.
• Bevor Sie weitere Dienste und Subdomains unter derselben übergeordneten Domain in Betracht ziehen, sollten Sie diese identifizieren includeSubDomains.
• Stellen Sie sicher, dass eine administrative Route oder Serverkonsole verfügbar ist. Ein Browser, der HSTS zwischengespeichert hat, verhindert, dass ein Benutzer Zertifikatfehler während des Richtlinienzeitraums umgeht.

Ersetzen Sie cloud.example.comin den Beispielen „Hostname“ durch Ihren tatsächlichen Nextcloud-Hostnamen. Kopieren Sie die Beispiel-Hostnamen nicht in die Produktionskonfiguration.

HSTS in Apache einrichten

Aktivieren Sie im Apache TLS Virtual Host, der Nextcloud bereitstellt, das Header-Modul und fügen Sie die Richtlinie hinzu. Die Nextcloud-Härtungsanleitung empfiehlt einen Wert von sechs Monaten und verwendet includeSubDomainsdie folgende Host-Only-Version als vorsichtigen Ausgangspunkt:

<VirtualHost *:443>
    ServerName cloud.example.com

    <IfModule mod_headers.c>
        Header always set Strict-Transport-Security "max-age=15552000"
    </IfModule>

    # Existing Nextcloud and TLS directives
</VirtualHost>

Stellen Sie sicher, mod_headersdass dies in der Apache-Konfiguration Ihrer Distribution aktiviert ist. Fügen Sie die Direktive dem HTTPS-Virtual-Host hinzu, nicht dem Port-80-Virtual-Host. Überprüfen Sie die Konfiguration mit dem für Ihre Distribution passenden Befehl und laden Sie Apache anschließend über den zugehörigen Service Manager neu. Viele systemd-basierte Distributionen unterstützen beispielsweise die Option `--apache-service` sudo apachectl configtestgefolgt von ` sudo systemctl reload apache2--apache-service`; bei manchen Distributionen heißt der Dienst ` --apache-service` httpd. Verwenden Sie den Befehl, der zu Ihren Paket- und Servicenamen passt.

HSTS in Nginx einrichten

Fügen Sie im Nginx- serverBlock, der auf HTTPS-Anfragen lauscht und den öffentlichen Nextcloud-Hostnamen bereitstellt, Folgendes hinzu:

server {
    listen 443 ssl;
    server_name cloud.example.com;

    add_header Strict-Transport-Security "max-age=15552000" always;

    # Existing certificate and Nextcloud configuration
}

Dieser alwaysParameter bewirkt, dass Nginx den Header unabhängig vom Antwortstatus hinzufügt. Nginx dokumentiert eine Vererbungsregel, die für Administratoren überraschend sein kann: add_headerDirektiven auf einer niedrigeren Konfigurationsebene ändern das normale Vererbungsverhalten. Wenn ein verschachtelter locationBlock eigene add_headerDirektiven definiert, wird der HSTS-Header auf Serverebene dort möglicherweise nicht mehr vererbt. Überprüfen Sie die aktive Konfiguration und testen Sie repräsentative URLs, darunter die Anmeldeseite und eine statische Ressource. Weitere Informationen finden Sie in der offiziellen Dokumentation des Nginx-Header-Moduls .

Führen Sie vor der Anwendung der Änderungen den Befehl aus sudo nginx -t. Wenn die Validierung erfolgreich ist, laden Sie Nginx mit dem entsprechenden Befehl für Ihr System neu (oftmals `nginx service`) sudo systemctl reload nginx. Ein fehlgeschlagener Syntaxtest sollte vor dem Neuladen behoben werden.

Konfigurieren Sie einen Reverse-Proxy oder TLS-Terminator

Wenn die öffentliche HTTPS-Verbindung an einem Reverse-Proxy endet, fügen Sie den HSTS-Header in die HTTPS-Antwort dieses Proxys ein. Ein Proxy kann den HSTS-Header beispielsweise auch dann senden, wenn seine Verbindung zum Nextcloud-Backend über HTTP läuft. Senden Sie HSTS nicht nur in der unverschlüsselten Backend-Antwort und gehen Sie nicht davon aus, dass der Browser ihn erkennt.

Prüfen Sie, ob Proxy und Backend denselben Header hinzufügen. Doppelte HSTS-Felder können die Diagnose erschweren, und ein Proxy kann einen Backend-Header überschreiben oder ausblenden. Legen Sie fest, dass eine der öffentlich zugänglichen Ebenen die Richtlinie verwalten soll, oder konfigurieren Sie die Ebenen so, dass der Browser einen eindeutigen Wert empfängt. Überprüfen Sie nach der Änderung des Proxys, ob dieser den erwarteten Host und das Schema an Nextcloud weiterleitet und ob HTTPS-Links weiterhin funktionieren.

Überprüfen Sie die öffentliche Reaktion

Verwenden Sie eine Anfrage an den öffentlichen HTTPS-Hostnamen, nicht nur an localhost oder eine Backend-Adresse:

curl -sSI https://cloud.example.com
curl -sSIL http://cloud.example.com

Suchen Sie in der ersten Antwort nach genau einer Überschrift, die folgendermaßen aussieht:

Strict-Transport-Security: max-age=15552000

Der zweite Befehl folgt den Weiterleitungen. Stellen Sie sicher, dass die HTTP-URL den gewünschten HTTPS-Hostnamen erreicht, und prüfen Sie anschließend die HTTPS-Antwort auf HSTS. Browser ignorieren HSTS-Header, die über unverschlüsseltes HTTP empfangen werden; daher muss der Header bei der ersten Port-80-Weiterleitung nicht vorhanden sein. Alternativ können Sie die Entwicklertools Ihres Browsers verwenden: Öffnen Sie das Netzwerk-Panel, laden Sie die HTTPS-Seite neu, wählen Sie die Dokumentantwort aus und prüfen Sie die Antwortheader.

Prüfen Sie mehrere Antwortpfade, wenn Ihre Konfiguration verschachtelte Speicherorte, mehrere Proxy-Ebenen oder eine separate Verarbeitung statischer Assets umfasst. Rufen Sie anschließend die Nextcloud-Administrationseinstellungen auf und aktualisieren Sie die Sicherheitsübersicht. Das Aktualisieren einer Warnung kann einige Zeit dauern oder die exakte öffentliche URL anzeigen, die Nextcloud prüft. Vergleichen Sie daher diese URL mit der von Ihnen getesteten.

Wählen Sie Umfang und Lebensdauer sorgfältig aus.

Die max-ageGültigkeitsdauer 15552000beträgt sechs Monate und entspricht damit dem dokumentierten Warnschwellenwert von Nextcloud. Die Richtlinie wird erneuert, sobald ein Browser einen neuen gültigen HSTS-Header empfängt. Eine spätere Kürzung oder Entfernung erfordert die Bereitstellung max-age=0von HTTPS an jeden betroffenen Hostnamen. Browser, die während der Änderung nicht erneut zugreifen, behalten ihre zwischengespeicherte Richtlinie bis zum Ablauf ihrer aktuellen Gültigkeitsdauer.

includeSubDomainsDiese Richtlinie gilt für alle Subdomains unterhalb des Hostnamens. Verwenden Sie sie nur, wenn alle aktuellen und geplanten Subdomains HTTPS mit gültigen Zertifikaten unterstützen. Ein separater Dienst wie beispielsweise [Name des Dienstes einfügen] mail.example.comkann legacy.example.comfür Browser nicht mehr erreichbar sein, wenn er nicht bereit ist.

Das preloadToken ist eine separate Entscheidung mit weitreichenden Folgen. Die Sicherheitsrichtlinien von Nextcloud beschreiben das Hinzufügen eines Hostnamens zu Browser-Preload-Listen und warnen davor, dass die Entfernung Monate dauern kann, bis sie alle installierten Browser erreicht. Fügen Sie es nicht hinzu, um schnell einen Scanner-Eintrag zu beheben. Prüfen Sie zunächst alle erforderlichen Preload-Bedingungen und die Auswirkungen auf jede Subdomain. Befolgen Sie die offiziellen Richtlinien des HSTS-Preload-Dienstes, wenn Sie die Aufnahme beantragen möchten.

Wenn die Warnung weiterhin angezeigt wird

• Der Header fehlt in curl: Möglicherweise haben Sie den falschen virtuellen Host, Proxy oder Nginx-Speicherort bearbeitet. Überprüfen Sie das öffentliche DNS-Ziel und die Konfiguration des aktiven Servers.
• Der Header erscheint nur auf einigen Seiten: Überprüfen Sie verschachtelte Nginx add_header-Direktiven, Fehlerbehandlung, Pfade zu statischen Assets und Proxy-Regeln.
• Die Antwort umfasst mehrere Richtlinien: Ermitteln, welche Ebenen das Feld hinzufügen, und diese zu einem einheitlichen Wert zusammenführen.
• Der Header ist vorhanden, aber die Warnung bleibt bestehen: Überprüfen Sie, ob die extern konfigurierte URL von Nextcloud auf denselben HTTPS-Endpunkt aufgelöst wird, überprüfen Sie die Proxy-Schema-Behandlung und laden Sie dann die Admin-Übersicht neu.
• HTTPS oder das Zertifikat ist noch nicht bereit: Beheben Sie zuerst das Problem mit TLS und dem HTTP-zu-HTTPS-Routing. HSTS kann ein beschädigtes Zertifikat nicht reparieren oder HTTPS selbstständig aktivieren.

Die Fehlerbehebung ist abgeschlossen, wenn die öffentliche HTTPS-Antwort durchgehend den vorgesehenen HSTS-Wert enthält, Nextcloud seine öffentliche HTTPS-URL korrekt erreichen kann und der Browser die Instanz ohne Zertifikats- oder Weiterleitungsfehler laden kann. HSTS verbessert die Durchsetzung der Transportrichtlinien für zurückkehrende Browser; es ersetzt jedoch weder die Zertifikatsverwaltung noch die Konfiguration eines sicheren Proxys oder einen getesteten Wiederherstellungspfad.