Hoe stel je tweefactorauthenticatie (2FA) in en hoe schakel je het uit in Nextcloud?

Een Nextcloud-gebruiker komt op de inlogpagina terecht, voert het juiste wachtwoord in, maar loopt vervolgens vast omdat de server een tweede authenticatiefactor vereist die niet is geconfigureerd. Dit gebeurt meestal wanneer een beheerder verplichte tweefactorauthenticatie (2FA) inschakelt voordat een provider is geactiveerd, het registratieproces is getest en gebruikers zijn voorbereid op herstel. De veiligere oplossing is om eerst een ondersteunde provider te activeren, deze te testen met een kleine groep en pas daarna 2FA af te dwingen voor de beoogde accounts.

De onderstaande stappen volgen de handleidingen voor beheer en gebruik van de stabiele Nextcloud 35-versie, die beschikbaar zijn vanaf 6 oktober 2026. De interface van Nextcloud en de beschikbare provider-apps kunnen variëren afhankelijk van de serverrelease en implementatie. Controleer daarom de documentatie voor uw geïnstalleerde versie voordat u een productieomgeving wijzigt.

Waarom veroorzaakt het verplichten van tweefactorauthenticatie (2FA) inlogproblemen?

Nextcloud behandelt 2FA als een pluggable functie: een beheerder activeert een of meer provider-apps en gebruikers configureren een authenticatiefactor in hun persoonlijke instellingen, tenzij de beheerder dit expliciet afdwingt. Een beleid zonder beschikbare provider, een gebruiker die zich niet heeft aangemeld of een verloren authenticatie-apparaat kan het aanmeldingsproces verstoren. Herstelcodes en een geteste herstelprocedure voor beheerders verminderen dit risico.

Het afdwingen van tweefactorauthenticatie (2FA) heeft ook gevolgen voor applicaties die verbinding maken met Nextcloud. In Nextcloud 35 hebben clientapplicaties die de tweefactorauthenticatie niet kunnen voltooien, apparaatspecifieke app-wachtwoorden nodig. Houd rekening met desktopsynchronisatieclients, mobiele apps en integraties vóór de uitrol.

1. Bepaal wie 2FA moet gebruiken.

Begin met het koppelen van het beleid aan Nextcloud-groepen. Bepaal of de regel van toepassing is op iedereen, geselecteerde afdelingen of alle gebruikers, met uitzondering van een kleine, gedocumenteerde set serviceaccounts. Zorg ervoor dat de relevante accounts daadwerkelijk tot de groepen behoren die u wilt targeten. Vermijd brede uitsluitingen: een uitgesloten account krijgt niet dezelfde inlogbeveiliging als een account waarvoor de regel wel van toepassing is.

De groepslogica van Nextcloud is belangrijk. Als er geen groepen zijn geselecteerd voor handhaving, is de regel van toepassing op iedereen behalve leden van uitgesloten groepen. Als u groepen selecteert, is de regel van toepassing op leden van die groepen; lidmaatschap van een geselecteerde groep heeft voorrang als die gebruiker ook lid is van een uitgesloten groep. Controleer deze regels in de officiële Nextcloud 35-documentatie over tweefactorauthenticatie voordat u een beleid met uitzonderingen opslaat.

2. Schakel ten minste één provider in en test de inschrijving.

Open in het beheerdersaccount de app 'Apps' en controleer bij 'Uitgeschakelde apps' of er een provider zoals de Two-Factor TOTP Provider aanwezig is. In de handleiding van Nextcloud 35 staat dat TOTP mogelijk wel geïnstalleerd is, maar standaard is uitgeschakeld; de op meldingen gebaseerde provider moet mogelijk ook worden ingeschakeld. De ingebouwde back-upcode-provider is beschikbaar voor accountherstel. Andere provider-apps kunnen worden aangeboden in de Nextcloud App Store, maar controleer of een app compatibel is met uw geïnstalleerde serverversie voordat u deze gebruikt.

Schakel voor een kleinschalige pilot TOTP in en vraag een testgebruiker om de persoonlijke instellingen te openen, 'Tweefactorauthenticatie' te zoeken , de weergegeven QR-code te scannen met een compatibele authenticatie-app en de registratie te bevestigen. Doe dit met een account dat u veilig kunt resetten. Houd tijdens het testen een aparte beheerderssessie open. Voer de regel pas in voor de gehele instantie nadat zowel een gewone gebruiker als een beheerder zich opnieuw hebben aangemeld met de tweefactorauthenticatie.

Gebruikers moeten eenmalige back-upcodes genereren vanuit hun persoonlijke tweefactorauthenticatie-instellingen en deze apart bewaren van de telefoon of beveiligingssleutel die ze gebruiken om in te loggen. De officiële Nextcloud-gebruikershandleiding voor 2FA legt de TOTP-configuratie, herstelcodes, inlogprompts en apparaatspecifieke wachtwoorden uit.

3. Dwing de vereiste af in de beheerdersinstellingen.

Wanneer de piloot zich kan aanmelden en de toegang kan herstellen, opent u de beheerdersinstellingen > Beveiliging en zoekt u het gedeelte voor tweefactorauthenticatie. Schakel de instelling voor het afdwingen van tweefactorauthenticatie in. Als slechts enkele gebruikers zijn inbegrepen, selecteert u de groepen die u in stap 1 hebt gekozen en controleert u de lijst met uitgesloten groepen zorgvuldig. Als u van iedereen tweefactorauthenticatie wilt vereisen, laat u de limiet voor geselecteerde groepen leeg; gebruik uitsluitingen alleen wanneer er een specifieke operationele reden en een alternatieve beveiligingsmaatregel is.

Informe gebruikers wanneer het beleid van kracht wordt, welke provider ze moeten configureren, waar ze back-upcodes kunnen genereren en hoe ze hulp kunnen aanvragen. Bij een grote implementatie is het raadzaam de uitrol per groep te spreiden in plaats van de hele server in één keer te wijzigen. Zo krijgen beheerders de kans om ontbrekende groepslidmaatschappen, niet-ondersteunde clients en providerspecifieke problemen op te sporen voordat ze iedereen treffen.

4. Gebruik occ wanneer je een herhaalbare wijziging aan de serverzijde nodig hebt.

Beheerders kunnen ook tweefactorauthenticatie (2FA) afdwingen met een Nextcloud- occopdracht. Voer deze opdracht uit vanuit de Nextcloud-installatiemap als het webserveraccount; de accountnaam, de PHP-opdracht en het installatiepad variëren per host of container. De volgende voorbeelden gebruiken de standaard Linux-webgebruiker www-datazoals beschreven in de Nextcloud-handleiding:

sudo -E -u www-data php occ twofactorauth:enforce --on

Om tweefactorauthenticatie (2FA) te vereisen voor bepaalde groepen, eventueel met uitzondering van een serviceaccountgroep, gebruikt u:

sudo -E -u www-data php occ twofactorauth:enforce --on \
  --group=staff --group=admins --exclude=service-accounts

Vervang de voorbeeld-groeps-ID's en het webserveraccount door de waarden van uw instantie. Met deze opdracht kunt u de handhaving uitschakelen als een uitrol moet worden gepauzeerd.

sudo -E -u www-data php occ twofactorauth:enforce --off

Gebruik de huidige Nextcloud occ-referentie om de syntaxis voor uw release te bevestigen. Voor Docker of een andere beheerde implementatie moet u de code uitvoeren occin de juiste applicatieomgeving met de gedocumenteerde gebruiker en opdracht van die implementatie; voer geen voorbeeld op hostniveau blindelings uit.

5. Bereid je voor op het verlies van apparaten en client-apps.

Als een gebruiker zijn telefoon of sleutel met de authenticatiegegevens kwijtraakt en ook zijn back-upcodes verliest, kan hij mogelijk niet meer inloggen. Test de herstelprocedure daarom eerst met een niet-kritiek account voordat u deze implementeert. Nextcloud biedt providerspecifieke commando occ twofactorauth:disable's aan twofactorauth:enablewanneer de provider deze ondersteunt; niet elke provider ondersteunt wijzigingen per gebruiker. De Two-Factor Admin Support-app is een andere hersteloptie voor ondersteunde Nextcloud-versies. Controleer de compatibiliteit en de installatiestatus voordat u erop vertrouwt.

Schakel een provider die gebruikers al hebben geconfigureerd niet uit of verwijder deze niet zonder de overgang te plannen. Nextcloud kan providerkoppelingen behouden nadat een app is verwijderd, wat authenticatiefouten kan veroorzaken. In de beheerdershandleiding staat een opschoonopdracht beschreven voor providers die permanent worden verwijderd; deze opschoning is onomkeerbaar, dus gebruik deze alleen als u niet van plan bent die provider opnieuw in te schakelen.

Voor desktop- en mobiele clients die niet kunnen reageren op een interactieve 2FA-prompt, moeten gebruikers app-wachtwoorden aanmaken via hun Nextcloud-accountinstellingen en de clientgegevens bijwerken. De Nextcloud 35-documentatie vermeldt dat app-wachtwoorden verplicht zijn voor accounts met 2FA ingeschakeld. Een inlogtest via de browser alleen is niet voldoende om te bevestigen dat synchronisatieclients en -integraties nog steeds werken.

Controleer of de handhaving effectief is.

Test met een proefgebruiker in een privévenster van de browser of na het uitloggen. Voer de gebruikelijke gebruikersnaam en het wachtwoord in en bevestig dat Nextcloud om de geconfigureerde tweede authenticatiefactor vraagt ​​en een geldige code accepteert. Test een back-upcode eenmaal als uw herstelprocedure dit toestaat, en houd er rekening mee dat back-upcodes slechts eenmalig gebruikt kunnen worden. Test vervolgens de client-apps en integraties waar uw organisatie van afhankelijk is.

Voor een specifiek account kunt u de statusopdracht uitvoeren vanuit de Nextcloud-directory:

sudo -E -u www-data php occ twofactorauth:state username

Controleer of het account onder het beoogde handhavingsbeleid valt en of de gekozen provider actief is. Als een geselecteerde gebruiker geen tweefactorauthenticatie (2FA) hoeft te gebruiken, controleer dan het groepslidmaatschap en de uitsluitingen voordat u de algemene regel wijzigt. De configuratie is voltooid wanneer de beoogde gebruikers bij het inloggen worden gevraagd om authenticatie, uitgesloten accounts beperkt zijn tot de gedocumenteerde uitzonderingen, herstel is getest en ondersteunde clients opnieuw verbinding kunnen maken met hun app-wachtwoorden.

Officiële referenties

• Nextcloud 35 Beheerhandleiding: Tweefactorauthenticatie
• Nextcloud 35 Beheerhandleiding: 2FA occ-opdrachten
• Nextcloud 35 Gebruikershandleiding: Tweefactorauthenticatie gebruiken
• Nextcloud 35 Beheerhandleiding: App-wachtwoorden
• Nextcloud App Store: Ondersteuning voor beheerders met tweefactorauthenticatie