Napraw ostrzeżenie o braku nagłówka Nextcloud Strict-Transport-Security (HSTS)

Gdy Nextcloud zgłasza komunikat „Nagłówek HTTP Strict-Transport-Security nie jest skonfigurowany”, poprawka powinna zostać zastosowana w warstwie obsługi odpowiedzi HTTPS: Apache, Nginx lub publicznym odwrotnym serwerze proxy, który kończy TLS. Aktualny podręcznik administracyjny Nextcloud identyfikuje brak nagłówka lub opóźnienie max-ageponiżej 15552000kilku sekund jako ostrzeżenie bezpieczeństwa. Po pojawieniu się nagłówka w publicznym punkcie końcowym HTTPS przeglądarki mogą zapamiętać, że host musi używać HTTPS przez zadeklarowany okres.

Podstawowa zmiana jest niewielka, ale jej zakres ma znaczenie. Zastosuj HSTS tylko do działającego punktu końcowego HTTPS z ważnym certyfikatem. Zacznij tylko od hosta; dodaj includeSubDomainslub preloadtylko wtedy, gdy każda nazwa hosta będzie gotowa na HTTPS. Niniejszy przewodnik odzwierciedla dokumentację administracyjną Nextcloud, dostępną w październiku 2026 r., w tym wskazówki dotyczące ostrzeżeń o bezpieczeństwie i wzmacniania serwerów .

Co oznacza ostrzeżenie

HTTP Strict Transport Security (HSTS) to nagłówek odpowiedzi, który nakazuje przeglądarce używanie protokołu HTTPS w przyszłych żądaniach do nazwy hosta. Zapobiega to przełączeniu przeglądarki na zwykły tekst HTTP po otrzymaniu polityki przez prawidłowe połączenie HTTPS. Nextcloud sprawdza publiczną odpowiedź i ostrzega, gdy nie znajdzie polityki o zalecanym minimalnym okresie ważności.

HSTS nie zastępuje włączenia protokołu TLS ani przekierowania HTTP na HTTPS. Przeglądarka akceptuje jedynie politykę HSTS dostarczoną przez HTTPS. Podczas pierwszej wizyty, zanim przeglądarka pozna tę politykę, początkowe żądanie może być nadal podatne na ataki, chyba że nazwa hosta znajduje się na liście preloadu przeglądarki. Standardowe przekierowanie HTTP na HTTPS pozostaje przydatne, ale nie zastępuje nagłówka.

Znajdź serwer, który powinien wysłać nagłówek

Prześledź żądanie publiczne przed zmianą konfiguracji. Jeśli użytkownicy łączą się bezpośrednio z Apache lub Nginx przez HTTPS, skonfiguruj wirtualny host TLS tego serwera WWW. Jeśli moduł równoważenia obciążenia, serwer przychodzący, CDN lub odwrotny serwer proxy kończy publiczny protokół TLS, skonfiguruj warstwę wysyłającą odpowiedź do przeglądarki. Dodanie nagłówka tylko do wewnętrznego połączenia HTTP może nie wpłynąć na odpowiedź publiczną.

Nextcloud dokumentuje odwrotne serwery proxy jako obsługiwany wzorzec wdrożenia i wymaga od administratorów zdefiniowania zaufanych serwerów proxy, jeśli ma to zastosowanie. Odpowiedzialność serwera proxy za HSTS jest niezależna od obsługi adresów URL i adresów IP klienta przez Nextcloud. W szczególności overwriteprotocolpomaga to Nextcloud rozpoznać schemat zewnętrzny w niektórych układach serwerów proxy; jego ustawienie samo w sobie nie dodaje nagłówka odpowiedzi HSTS. Zapoznaj się z oficjalnym przewodnikiem konfiguracji odwrotnego serwera proxy Nextcloud, jeśli aplikacja generuje łącza HTTP lub zgłasza inne ostrzeżenia związane z serwerem proxy.

Przed zmianą polityki

• Potwierdź https://cloud.example.comzaładowanie bez błędu certyfikatu i użyj zamierzonego łańcucha certyfikatów.
• Sprawdź, czy żądania HTTP przekierowują do tej samej nazwy hosta przez HTTPS.
• Przed rozważeniem domeny .me zidentyfikuj inne usługi i subdomeny w ramach tej samej domeny nadrzędnej includeSubDomains.
• Utrzymuj dostępną ścieżkę administracyjną lub konsolę serwera. Przeglądarka z buforowanym HSTS nie pozwoli użytkownikowi na ominięcie błędów certyfikatu przez okres obowiązywania polityki.

Zastąp cloud.example.comw przykładach swoją prawdziwą nazwą hosta Nextcloud. Nie kopiuj przykładowych nazw hostów do konfiguracji produkcyjnej.

Ustaw HSTS w Apache

Na wirtualnym hoście Apache TLS obsługującym NextCloud włącz moduł nagłówków i dodaj politykę. Przewodnik po zabezpieczaniu NextCloud pokazuje wartość sześciomiesięczną i używa includeSubDomains; poniższa wersja tylko dla hosta stanowi ostrożny punkt wyjścia:

<VirtualHost *:443>
    ServerName cloud.example.com

    <IfModule mod_headers.c>
        Header always set Strict-Transport-Security "max-age=15552000"
    </IfModule>

    # Existing Nextcloud and TLS directives
</VirtualHost>

Upewnij się, że mod_headersta opcja jest włączona w konfiguracji Apache'a w Twojej dystrybucji. Dodaj dyrektywę do wirtualnego hosta HTTPS, a nie do wirtualnego hosta na porcie 80. Sprawdź poprawność konfiguracji za pomocą polecenia odpowiedniego dla zainstalowanej dystrybucji, a następnie przeładuj Apache'a za pomocą jego menedżera usług. Na przykład wiele dystrybucji opartych na SystemD obsługuje sudo apachectl configtestpo sudo systemctl reload apache2; w niektórych dystrybucjach usługa ma nazwę httpd. Użyj polecenia, które pasuje do nazw Twoich pakietów i usług.

Ustaw HSTS w Nginx

W bloku Nginx server, który nasłuchuje protokołu HTTPS i obsługuje publiczną nazwę hosta Nextcloud, dodaj:

server {
    listen 443 ssl;
    server_name cloud.example.com;

    add_header Strict-Transport-Security "max-age=15552000" always;

    # Existing certificate and Nextcloud configuration
}

Parametr alwayspowoduje, że Nginx dodaje nagłówek niezależnie od statusu odpowiedzi. Nginx dokumentuje regułę dziedziczenia, która może zaskoczyć operatorów: add_headerdyrektywy na niższym poziomie konfiguracji zmieniają normalne zachowanie dziedziczenia. Jeśli zagnieżdżony locationblok definiuje własne add_headerdyrektywy, nagłówek HSTS na poziomie serwera może nie być już tam dziedziczony. Sprawdź aktywną konfigurację i przetestuj reprezentatywne adresy URL, w tym stronę logowania i zasób statyczny. Zapoznaj się z oficjalną dokumentacją modułu nagłówków Nginx .

Przed zastosowaniem zmian uruchom sudo nginx -t. Jeśli walidacja zakończy się powodzeniem, często przeładuj Nginx za pomocą polecenia service dla swojego systemu sudo systemctl reload nginx. Nieudany test składniowy należy poprawić przed ponownym załadowaniem.

Skonfiguruj odwrotny serwer proxy lub terminator TLS

Jeśli publiczny protokół HTTPS kończy się na odwrotnym serwerze proxy, należy umieścić nagłówek HSTS w odpowiedzi HTTPS tego serwera proxy. Na przykład serwer proxy może go wysłać nawet wtedy, gdy jego połączenie z serwerem backendowym Nextcloud korzysta z protokołu HTTP. Nie należy wysyłać nagłówka HSTS tylko w niezaszyfrowanej odpowiedzi serwera backendowego, zakładając, że przeglądarka ją zobaczy.

Sprawdź, czy zarówno serwer proxy, jak i serwer zaplecza dodają już ten sam nagłówek. Zduplikowane pola HSTS mogą być trudne do zdiagnozowania, a serwer proxy może nadpisać lub ukryć nagłówek serwera zaplecza. Wybierz jedną warstwę publiczną, która będzie właścicielem polityki, lub celowo skonfiguruj warstwy tak, aby przeglądarka otrzymywała jedną, jasną wartość. Po zmianie serwera proxy sprawdź, czy przekazuje on oczekiwanego hosta i schemat do NextCloud oraz czy łącza HTTPS nadal działają.

Sprawdź odpowiedź publiczną

Użyj żądania do publicznej nazwy hosta HTTPS, a nie tylko do adresu lokalnego lub adresu zaplecza:

curl -sSI https://cloud.example.com
curl -sSIL http://cloud.example.com

W pierwszej odpowiedzi poszukaj dokładnie jednego nagłówka podobnego do:

Strict-Transport-Security: max-age=15552000

Drugie polecenie następuje po przekierowaniach. Upewnij się, że adres URL HTTP dociera do docelowej nazwy hosta HTTPS, a następnie sprawdź odpowiedź HTTPS pod kątem HSTS. Przeglądarki ignorują HSTS otrzymany przez zwykły protokół HTTP, więc nagłówek nie musi pojawiać się w początkowym przekierowaniu na port 80. Możesz również skorzystać z narzędzi programistycznych przeglądarki: otwórz panel Sieć, przeładuj stronę HTTPS, wybierz odpowiedź dokumentu i sprawdź nagłówki odpowiedzi.

Sprawdź więcej niż jedną ścieżkę odpowiedzi, jeśli Twoja konfiguracja ma zagnieżdżone lokalizacje, wiele poziomów proxy lub osobne zarządzanie zasobami statycznymi. Następnie ponownie przejrzyj ustawienia administracyjne Nextcloud i odśwież przegląd zabezpieczeń. Odświeżenie ostrzeżenia może zająć trochę czasu lub może ono odzwierciedlać dokładny publiczny adres URL, który jest sprawdzany przez Nextcloud, dlatego porównaj ten adres z tym, który testowałeś.

Wybierz zakres i żywotność ostrożnie

Czas max-agetrwania jednej 15552000sekundy wynosi sześć miesięcy, co odpowiada udokumentowanemu progowi ostrzegawczemu Nextcloud. Polityka jest odnawiana, gdy przeglądarka otrzyma nowy, prawidłowy nagłówek HSTS. Skrócenie lub usunięcie jej później wymaga dostarczenia danych max-age=0przez HTTPS do każdej nazwy hosta, której dotyczy zmiana; przeglądarki, które nie odwiedzą jej ponownie podczas zmiany, zachowają zapisaną w pamięci podręcznej politykę do momentu wygaśnięcia jej bieżącego okresu obowiązywania.

includeSubDomainsStosuje tę politykę do każdej subdomeny pod nazwą hosta. Używaj jej tylko wtedy, gdy wszystkie obecne i planowane subdomeny obsługują protokół HTTPS z ważnymi certyfikatami. Oddzielna usługa, taka jak mail.example.comlub , legacy.example.commoże stać się niedostępna dla przeglądarek, jeśli nie będzie gotowa.

Token preloadto osobna, istotna decyzja. Wskazówki Nextcloud dotyczące wzmacniania zabezpieczeń opisują dodawanie nazwy hosta do list preloadu przeglądarek i ostrzegają, że usunięcie może potrwać miesiące, zanim dotrze do zainstalowanych przeglądarek. Nie dodawaj go jako szybkiego sposobu na usunięcie wyników skanowania. Najpierw sprawdź wszystkie wymagane warunki preloadu i wpływ na każdą subdomenę; postępuj zgodnie z oficjalnymi wskazówkami dotyczącymi usługi preloadu HSTS, jeśli zamierzasz poprosić o dodanie.

Jeśli ostrzeżenie nadal występuje

• Nagłówek nie występuje w curl: być może zmieniłeś lokalizację hosta wirtualnego, serwera proxy lub Nginx. Sprawdź publiczny adres docelowy DNS i aktywną konfigurację serwera.
• Nagłówek pojawia się tylko na niektórych stronach: sprawdź zagnieżdżone add_headerdyrektywy Nginx, obsługę błędów, ścieżki do zasobów statycznych i reguły proxy.
• Odpowiedź ma wiele zasad: znajdź warstwy, które dodają pole i skonsoliduj je w jedną spójną wartość.
• Nagłówek jest obecny, ale ostrzeżenie nadal występuje: sprawdź, czy zewnętrznie skonfigurowany adres URL Nextcloud wskazuje na ten sam punkt końcowy HTTPS, sprawdź obsługę schematu proxy, a następnie ponownie załaduj przegląd administracyjny.
• HTTPS lub certyfikat nie jest gotowy: najpierw napraw TLS i routing HTTP-HTTPS. HSTS nie jest w stanie samodzielnie naprawić uszkodzonego certyfikatu ani włączyć HTTPS.

Naprawa jest zakończona, gdy publiczna odpowiedź HTTPS konsekwentnie zawiera zamierzoną wartość HSTS, Nextcloud może poprawnie dotrzeć do swojego publicznego adresu URL HTTPS, a przeglądarka może załadować instancję bez błędów certyfikatu lub przekierowania. HSTS usprawnia egzekwowanie zasad transportu w przeglądarkach powracających; nie zastępuje on jednak konserwacji certyfikatów, bezpiecznej konfiguracji serwera proxy ani przetestowanej ścieżki odzyskiwania.