Wynik A+ ze skanera nagłówków bezpieczeństwa jest przydatnym celem konfiguracji, ale nie stanowi pełnego certyfikatu bezpieczeństwa dla serwera Nextcloud. Ocena odzwierciedla nagłówki odpowiedzi HTTP, które dany skaner sprawdza pod testowanym adresem URL. Nie inspekcjonuje on bazy danych, systemu operacyjnego, kopii zapasowych, kont użytkowników, zainstalowanych aplikacji ani procesu aktualizacji. Dlatego bezpieczny plan wzmacniania zabezpieczeń zaczyna się od kontroli stanu technicznego przeprowadzanych przez Nextcloud, następnie zabezpiecza serwer i jego publiczną warstwę internetową, a na koniec ponownie testuje dokładny publiczny adres URL.
Niniejszy przewodnik jest zgodny z aktualnym podręcznikiem administratora NextCloud 35, który będzie dostępny od października 2026 r. Przykłady konfiguracji mogą się różnić w zależności od wdrożeń Apache, NGINX, kontenerów i odwrotnego serwera proxy. Przed wprowadzeniem każdej zmiany należy ją sprawdzić w dokumentacji dotyczącej wersji serwera i wdrożenia.
Przed zmianą nagłówków lub ustawień PHP należy określić, w jaki sposób żądanie dociera do NextCloud: bezpośrednio przez Apache lub NGINX, przez proxy kontenera czy przez zarządzany moduł równoważenia obciążenia. Należy zapisać wersję NextCloud, wersję PHP, typ bazy danych, włączone aplikacje i punkt końcowy TLS. Należy zachować kopię aktywnej konfiguracji hosta wirtualnego lub proxy, aby móc cofnąć nieprawidłową zmianę.
Utwórz odzyskiwalną kopię zapasową bazy danych, całego katalogu danych oraz konfiguracji Nextcloud, w tym plików config.php. Sama kopia pliku nie jest kompletną kopią zapasową: upewnij się, że wiesz, jak przywrócić wszystkie trzy komponenty jednocześnie. Dokumentacja aktualizacji Nextcloud wyraźnie ostrzega, że program aktualizujący nie tworzy kopii zapasowej bazy danych ani katalogu danych. Zapoznaj się z instrukcjami aktualizacji i tworzenia kopii zapasowych Nextcloud .
Zaloguj się jako administrator i otwórz Ustawienia administracyjne, a następnie Przegląd. Przejrzyj ostrzeżenia dotyczące zabezpieczeń i konfiguracji, a także ostrzeżenia dotyczące zadań w tle i bazy danych. Przejrzysty przegląd jest przydatnym narzędziem kontroli na poziomie aplikacji, ale nie zastępuje poprawek systemu operacyjnego ani zewnętrznego testu nagłówka. Unikaj pomijania ostrzeżenia, dopóki nie poznasz jego przyczyny.
Uruchom obsługiwaną wersję Nextcloud z obsługiwaną kombinacją PHP i bazy danych. Szybko wdrażaj wersje konserwacyjne i sprawdzaj zgodność aplikacji przed przejściem na nową wersję główną. Aktualizuj system operacyjny, serwer WWW, środowisko wykonawcze PHP, serwer bazy danych i zainstalowane aplikacje Nextcloud za pośrednictwem obsługiwanych kanałów aktualizacji. Usuń aplikacje, które nie są używane lub nie są już utrzymywane, ponieważ każdy włączony komponent dodaje kod i wymaga prac konserwacyjnych.
Przed aktualizacją zweryfikuj kopię zapasową i przeczytaj informacje o wydaniu dla wersji docelowej. Użyj programu do aktualizacji obsługiwanego przez Twój typ instalacji, a następnie wykonaj wymaganą migrację bazy danych i sprawdź przegląd administracyjny oraz logi. Nie obniżaj wersji, kopiując starsze pliki aplikacji na zmigrowaną instancję; Nextcloud traktuje obniżenie wersji jako nieobsługiwane i zaleca przywrócenie z kompatybilnej kopii zapasowej, gdy konieczne jest wycofanie.
Włącz obsługiwanego dostawcę uwierzytelniania dwuskładnikowego i wymagaj uwierzytelniania wieloskładnikowego (MFA) dla kont administratorów. Obsługa uwierzytelniania dwuskładnikowego (2FA) w NextCloud jest zapewniana za pośrednictwem aplikacji, dlatego przed jej wymuszeniem upewnij się, że wybrany dostawca jest zgodny z Twoją wersją i że użytkownicy mają dostęp do ścieżki odzyskiwania. Przechowuj awaryjne kody odzyskiwania w trybie offline i w bezpiecznym miejscu. Nie wyłączaj ochrony przed atakami siłowymi, aby rozwiązać problemy z opóźnieniami logowania; zamiast tego sprawdź źródłowe adresy IP i konfigurację serwera proxy.
Używaj indywidualnych kont administratorów do rutynowych zadań i przyznawaj uprawnienia administratora tylko wtedy, gdy jest to konieczne. Wybieraj unikalne, długie hasła i korzystaj z menedżera haseł. Szybko cofaj hasła do sesji i aplikacji w przypadku utraty urządzenia. Regularnie przeglądaj konta, grupy, udziały publiczne i zewnętrzne pamięci masowe, usuwając dostęp, który nie jest już potrzebny firmie.
Ochrona przed atakami bruteforce w Nextcloud jest domyślnie włączona. Jej skuteczność zależy od tego, czy serwer widzi rzeczywisty adres IP klienta. Jeśli Nextcloud znajduje się za serwerem proxy, skonfiguruj tylko rzeczywisty adres proxy lub sieć w [ usunięto adres/sieć trusted_proxies] i ustaw forwarded_for_headerstylko nagłówek kontrolowany przez serwer proxy. Zaufanie do nagłówka, który klient może sfałszować, może osłabić zabezpieczenia oparte na adresach IP. Unikaj wpisów na szerokiej białej liście: wykluczone adresy mogą podejmować próby uwierzytelnienia bez ograniczania przepustowości. Zapoznaj się z dokumentacją ochrony przed atakami bruteforce oraz przewodnikiem konfiguracji odwrotnego serwera proxy .
Umieść katalog danych Nextcloud poza katalogiem głównym, aby zmniejszyć ryzyko ujawnienia przechowywanych plików w wyniku błędu serwera WWW. Ogranicz prawa własności i uprawnienia systemu plików do konta usługi i administratorów, którzy potrzebują dostępu; nie ustawiaj katalogu z dostępem do odczytu i zapisu dla wszystkich użytkowników. Włącz opcję Protect config.php, która zawiera poświadczenia bazy danych i tajne klucze instancji. W podręczniku „Hardening” Nextcloud 35 opisano również przeniesienie katalogu konfiguracyjnego poza katalog główny za pomocą opcji NEXTCLOUD_CONFIG_DIR; ustaw go spójnie dla procesu WWW i zadań wiersza poleceń, a następnie sprawdź, czy instancja nadal ładuje odpowiednią konfigurację.
Wyłącz tryb debugowania produkcyjnego. Włącz funkcje wzmacniania systemu operacyjnego, takie jak SELinux, tam gdzie są one obsługiwane i zrozumiałe dla Twojego zespołu. Jeśli korzystasz z kontenera, chroń hosta, woluminy trwałe, poświadczenia rejestru kontenerów i interfejs zarządzania, a także aplikację NextCloud. Ogranicz przychodzący dostęp sieciowy do usług, które muszą być publiczne; nie udostępniaj portu bazy danych ani powłoki administracyjnej w internecie.
NextCloud obsługuje funkcje nawiązywania połączeń wychodzących z innymi systemami, dlatego segmentacja sieci i polityka zapory sieciowej mają znaczenie. Umieść instancję w odpowiednio ograniczonej strefie sieciowej i zezwól tylko na połączenia wychodzące, których wymagają włączone funkcje. Dokładna lista dozwolonych połączeń zależy od aplikacji i wybranych opcji wdrożenia.
Obsługuj witrynę z prawidłowym certyfikatem TLS i przekierowuj wszystkie zwykłe żądania HTTP do HTTPS. Przetestuj łańcuch certyfikatów, proces odnawiania i każdą nazwę hosta, z której faktycznie korzystają użytkownicy. Przewodnik Nextcloud dotyczący wzmacniania zabezpieczeń zaleca HTTPS i dokumentuje HSTS. HSTS nakazuje przeglądarkom korzystanie z HTTPS przez pewien czas po otrzymaniu polityki, więc włącz go dopiero po tym, jak HTTPS będzie działać niezawodnie.
Zacznij od polityki HSTS odpowiedniej dla Twojego środowiska, na przykład Strict-Transport-Security: max-age=15552000, a następnie zwiększ czas trwania po monitorowaniu. Dodaj ją includeSubDomainstylko wtedy, gdy każda objęta kontrolą subdomena obsługuje protokół HTTPS. Potraktuj ją preloadjako osobną, istotną decyzję: przeglądarki mogą przechowywać wstępnie załadowaną domenę przez długi czas, a usunięcie jej może zająć miesiące, zanim dotrze do użytkowników. Nie kopiuj przykładu wstępnie załadowanej domeny bez sprawdzenia wszystkich subdomen i aktualnych wymagań. Opcje TLS różnią się w zależności od potrzeb serwera i klienta; skorzystaj z powiązanych wskazówek dotyczących TLS firmy Nextcloud i przetestuj powstały punkt końcowy.
Nextcloud dostarcza już kilka nagłówków bezpieczeństwa, w tym X-Content-Type-Options, X-Frame-Options, X-Robots-Tagi Referrer-Policy. Dokumentacja zaleca zapewnienie, aby nagłówki związane z bezpieczeństwem były również obsługiwane przez serwer WWW, aby zachowały skuteczność w przypadku odpowiedzi statycznych. Wdrożenia Apache powinny potwierdzać, że odpowiednie moduły i .htaccessreguły Nextcloud są aktywne. Wdrożenia NGINX muszą korzystać z bieżącej konfiguracji NGINX Nextcloud, a nie zakładać, że reguły Apache mają zastosowanie. Zapoznaj się z przewodnikiem dotyczącym wzmacniania zabezpieczeń Nextcloud i jego konfiguracją NGINX .
Częstym źródłem mylących wyników jest ustawienie tego samego nagłówka w NextCloud, serwerze WWW oraz CDN lub odwrotnym proxy. Odpowiedź może wtedy zawierać zduplikowane lub sprzeczne wartości. Wybierz warstwę, do której należy każdy nagłówek, sprawdź ostateczną odpowiedź widoczną w przeglądarce i unikaj zastępowania polityki bezpieczeństwa treści NextCloud ogólną polityką skopiowaną z innej witryny. Ścisły dostawca usług w chmurze (CSP) może uszkodzić skrypty lub funkcje potrzebne NextCloud i jego aplikacjom. Przetestuj zmiany polityki na hoście przejściowym i sprawdź błędy przeglądarki przed wdrożeniem produkcyjnym.
Aby skaner raportował zamierzony wynik, przetestuj końcowy adres URL HTTPS odwiedzany przez użytkowników, w tym przekierowania oraz wszelkie przeskoki CDN lub proxy. Sprawdź zarówno stronę docelową, jak i zasób statyczny, ponieważ różne warstwy mogą zwracać różne nagłówki. Upewnij się, że HTTP przekierowuje do HTTPS i że ostateczna odpowiedź zawiera jedną spójną wartość dla każdego nagłówka. Użyj tego curl -I https://your-cloud.examplejako szybkiego sprawdzenia, a następnie użyj narzędzi programistycznych przeglądarki lub zewnętrznego skanera, aby uzyskać rzeczywistą publiczną odpowiedź. Zastąp przykładową nazwę hosta własną; nie publikuj prywatnych nazw hostów ani danych uwierzytelniających w raportach skanowania.
Uruchom test SecurityHeaders.com na publicznym adresie URL HTTPS i przeczytaj wszystkie wyniki, a nie tylko list. W FAQ ocena jest opisana jako ocena nagłówków odpowiedzi dotyczących bezpieczeństwa, sprawdzanych przez usługę. Ocena A+ oznacza zatem, że przetestowana odpowiedź spełniła aktualne zasady punktacji danej usługi; nie oznacza to jednak, że NextCloud jest wolny od luk w zabezpieczeniach ani że cały serwer przeszedł test penetracyjny. Różne skanery mogą oceniać tę samą konfigurację inaczej, a kryteria punktacji mogą się zmieniać.
Jeśli wynik jest niższy niż A+, zidentyfikuj brakujący lub powodujący konflikt nagłówek, określ, która warstwa powinna go ustawić i zmieniaj po kolei wszystkie elementy. Po każdej zmianie i ćwiczeniu logowanie, przesyłanie i pobieranie plików, synchronizację pulpitu i urządzenia mobilnego, WebDAV, udostępnianie oraz wszelkie krytyczne aplikacje należy ponownie przetestować. Jeśli działanie jest nieprawidłowe, wycofaj ostatnią zmianę nagłówka i sprawdź logi serwera i przeglądarki. Nigdy nie dodawaj szerokiej polityki bezpieczeństwa treści wyłącznie po to, aby spełnić wymagania, bez sprawdzenia udokumentowanych wymagań aplikacji.
Aby zapoznać się z instrukcjami dotyczącymi konkretnej wersji, zapoznaj się z poradnikiem Nextcloud 35 dotyczącym wzmacniania zabezpieczeń i zabezpieczeń , przewodnikiem aktualizacji oraz dokumentacją serwera WWW lub platformy hostingowej. Najlepszym rozwiązaniem jest serwer, który jest stale aktualizowany, odzyskiwalny, ogranicza ryzyko i działa nadal po każdej zmianie zabezpieczeń – a nie tylko ocena.
Porównaj 10 narzędzi do pingowania, które umożliwiają szybkie wykrywanie sieci LAN, skanowanie międzyplatformowe i zarządzanie adresami IP. Dowiedz się, co narzędzie pingujące może Ci powiedzieć, a czego nie.
Porównaj sześć narzędzi do zarządzania siecią służących do monitorowania wydajności, obejmujących zasięg SNMP, mapowanie, alerty, modele wdrażania i kompromisy kosztów.
Porównaj siedem darmowych i otwartych monitorów pingów — od kompletnych pakietów sieciowych po ukierunkowane sondy opóźnień — i wybierz odpowiedni monitor pod kątem dostępności, utraty pakietów i historii.
Dowiedz się, co oznacza QoS w sieciach, w jaki sposób oznaczenia DSCP i kolejki ruchu nadają priorytet aplikacjom głosowym, wideo i biznesowym oraz czego QoS nie jest w stanie naprawić.
Porównaj niezawodne oprogramowanie serwera SFTP dla systemów Windows i Linux, w tym OpenSSH, Bitvise, SolarWinds i SFTPGo. Znajdź rozwiązanie odpowiednie dla swoich potrzeb w zakresie bezpieczeństwa i transferu plików.
Porównaj siedem narzędzi do zarządzania adresami IP służących do wykrywania podsieci, koordynacji DNS i DHCP, inwentaryzacji sieci i otwartego oprogramowania IPAM.
Porównaj sześć narzędzi do monitorowania systemu Windows Server pod kątem zbierania danych systemu Windows, widoczności aplikacji, modelu wdrażania i licencjonowania, aby znaleźć odpowiednie rozwiązanie.
Porównaj narzędzia do skanowania sieciowego umożliwiające szybkie wykrywanie urządzeń, skanowanie adresów IP na wielu platformach oraz zarządzanie IPAM w przedsiębiorstwie. Znajdziesz tu wskazówki dotyczące dopasowania każdej opcji do swojej sieci.
Zbuduj praktyczny monitoring sieci z przejrzystym zakresem urządzeń, przydatnymi wskaźnikami wydajności, przydatnymi alertami oraz porównaniem SolarWinds NPM, PRTG i OpManager.
Użyj opcji --traceroute programu Nmap, aby mapować przeskoki do autoryzowanego hosta, zrozumieć dane wyjściowe dotyczące przeskoków i czasu RTT oraz rozwiązywać problemy z brakującymi odpowiedziami bez nadmiernego skanowania.
