Como reforçar a segurança do Nextcloud para obter uma classificação A+ nos cabeçalhos de segurança.

Uma classificação A+ em um verificador de cabeçalhos de segurança é uma meta de configuração útil, mas não constitui uma certificação de segurança completa para um servidor Nextcloud. A classificação reflete os cabeçalhos de resposta HTTP que um determinado verificador analisa na URL testada. Ele não inspeciona seu banco de dados, sistema operacional, backups, contas de usuário, aplicativos instalados ou processos de aplicação de patches. Portanto, um plano de segurança eficaz começa com as próprias verificações de integridade do Nextcloud, depois protege o servidor e sua camada web pública e, por fim, testa novamente a URL pública em questão.

Este guia segue o Manual de Administração do Nextcloud 35, disponível em outubro de 2026. Os exemplos de configuração podem variar entre implantações com Apache, NGINX, contêineres e proxy reverso. Confirme cada alteração consultando a documentação da sua versão de servidor e implantação antes de aplicá-la.

Lista de verificação rápida

• Faça backup do banco de dados, do diretório de dados e da configuração antes de realizar alterações ou atualizações.
• Instale as atualizações compatíveis do Nextcloud, PHP, banco de dados, sistema operacional e aplicativos.
• Use HTTPS para todas as conexões públicas e redirecione HTTP para HTTPS.
• Habilite o HSTS somente depois que o HTTPS estiver funcionando em todo o domínio e em todos os subdomínios afetados.
• Mantenha o diretório de dados e as configurações sensíveis fora da raiz do servidor web, sempre que possível.
• Utilize a autenticação multifator (MFA) para administradores e, quando apropriado, para todos os usuários.
• Configure proxies confiáveis ​​de forma restrita; nunca confie em cabeçalhos de IP de cliente encaminhados arbitrariamente.
• Resolver avisos e cabeçalhos de teste da Visão Geral da Administração do Nextcloud no endpoint público.

1. Estabeleça uma linha de base segura.

Antes de alterar cabeçalhos ou configurações do PHP, identifique como a solicitação chega ao Nextcloud: diretamente pelo Apache ou NGINX, por meio de um proxy de contêiner ou por meio de um balanceador de carga gerenciado. Registre a versão do Nextcloud, a versão do PHP, o tipo de banco de dados, os aplicativos habilitados e o ponto de terminação TLS. Mantenha uma cópia da configuração ativa do host virtual ou do proxy para que você possa reverter uma alteração com problemas.

Faça um backup restaurável do banco de dados, do diretório de dados completo e da configuração do Nextcloud, incluindo o arquivo config.php. Uma simples cópia de arquivos não é um backup completo: certifique-se de saber como restaurar os três componentes juntos. A documentação de atualização do Nextcloud alerta especificamente que seu atualizador não faz backup do banco de dados ou do diretório de dados. Consulte as orientações de atualização e backup do Nextcloud .

Faça login como administrador e abra as configurações de Administração e, em seguida, Visão Geral. Analise os avisos de segurança e configuração, bem como os avisos de tarefas em segundo plano e de banco de dados. Uma visão geral limpa é uma verificação útil no nível do aplicativo, mas não substitui a aplicação de patches no sistema operacional ou um teste de cabeçalho externo. Evite suprimir um aviso até entender sua causa.

2. Corrija o Nextcloud e seu host.

Utilize uma versão compatível do Nextcloud com uma combinação compatível de PHP e banco de dados. Aplique as atualizações de manutenção prontamente e verifique a compatibilidade dos aplicativos antes de migrar para uma nova versão principal. Atualize o sistema operacional, o servidor web, o ambiente de execução do PHP, o servidor de banco de dados e os aplicativos Nextcloud instalados por meio dos canais de atualização compatíveis. Remova os aplicativos que não são utilizados ou que não recebem mais manutenção, pois cada componente habilitado adiciona código e trabalho de manutenção.

Antes de atualizar, verifique o backup e leia as notas de versão da versão de destino. Use o atualizador compatível com seu tipo de instalação e, em seguida, conclua qualquer migração de banco de dados necessária e verifique a visão geral da administração e os registros. Não faça downgrade copiando arquivos de aplicativos antigos para uma instância migrada; a documentação do Nextcloud indica que o downgrade não é compatível e recomenda a restauração a partir de um backup compatível quando for necessário reverter a operação.

3. Proteja as credenciais e as contas.

Use a autenticação multifator (MFA) e reduza a exposição do administrador.

Habilite um provedor de autenticação de dois fatores com suporte e exija MFA para contas de administrador. O suporte a 2FA do Nextcloud é fornecido por meio de aplicativos, portanto, confirme se o provedor selecionado é compatível com a sua versão e se os usuários têm um caminho de recuperação antes de implementá-lo. Mantenha os códigos de recuperação de emergência offline e em segurança. Não desabilite a proteção contra ataques de força bruta para resolver atrasos no login; investigue os IPs de origem e a configuração do proxy.

Use contas de administrador individuais para tarefas rotineiras e conceda direitos de administrador somente quando necessário. Escolha senhas longas e exclusivas e utilize um gerenciador de senhas. Revogue sessões de dispositivos perdidos e senhas de aplicativos imediatamente. Revise contas, grupos, compartilhamentos públicos e armazenamento externo periodicamente, removendo o acesso que não for mais necessário para o negócio.

Mantenha a proteção contra ataques de força bruta eficaz.

A proteção contra ataques de força bruta do Nextcloud está ativada por padrão. Sua eficácia depende do servidor visualizar o endereço IP real do cliente. Se o Nextcloud estiver atrás de um proxy, configure apenas o endereço ou a rede do proxy em `<caminho_para_o_proxy>` trusted_proxiese defina forwarded_for_headersapenas o cabeçalho que seu proxy controla. Confiar em um cabeçalho que um cliente pode falsificar pode comprometer as proteções baseadas em IP. Evite entradas amplas na lista de permissões: endereços excluídos podem fazer tentativas de autenticação sem limitação de taxa. Consulte a documentação sobre proteção contra ataques de força bruta e o guia de configuração de proxy reverso .

4. Reduzir a exposição a riscos provenientes de arquivos e configurações de servidor.

Coloque o diretório de dados do Nextcloud fora da raiz da web para que um erro do servidor web tenha menos probabilidade de expor arquivos armazenados. Restrinja a propriedade e as permissões do sistema de arquivos à conta de serviço e aos administradores que precisam de acesso; não torne o diretório legível ou gravável por todos. Proteja o diretório config.php, que contém as credenciais do banco de dados e os segredos da instância. O guia de segurança do Nextcloud 35 também documenta a movimentação do diretório de configuração para fora da raiz da web com o comando `nextcloud --force-directory` NEXTCLOUD_CONFIG_DIR; defina-o de forma consistente para o processo web e para os jobs de linha de comando e, em seguida, verifique se a instância ainda carrega a configuração desejada.

Mantenha o modo de depuração de produção desativado. Habilite o reforço de segurança do sistema operacional, como o SELinux, onde for compatível e compreendido pela sua equipe. Se estiver executando em um contêiner, proteja o host, os volumes persistentes, as credenciais do registro do contêiner e a interface de gerenciamento, bem como o aplicativo Nextcloud. Restrinja o acesso de entrada à rede aos serviços que precisam ser públicos; não exponha uma porta de banco de dados ou o shell administrativo à internet.

O Nextcloud suporta funcionalidades que estabelecem conexões de saída com outros sistemas, portanto, a segmentação de rede e as políticas de firewall são importantes. Coloque a instância em uma zona de rede adequadamente restrita e permita apenas os destinos de saída necessários para as funcionalidades habilitadas. A lista de permissões exata depende dos aplicativos e das opções de implantação.

5. Configure HTTPS e HSTS cuidadosamente.

Forneça ao site um certificado TLS válido e redirecione todas as solicitações HTTP simples para HTTPS. Teste a cadeia de certificados, o processo de renovação e todos os nomes de host acessados ​​pelos usuários. O guia de segurança do Nextcloud recomenda HTTPS e documenta o HSTS. O HSTS instrui os navegadores a continuarem usando HTTPS por um período após receberem a política, portanto, habilite-o somente depois que o HTTPS estiver funcionando de forma confiável.

Comece com uma política HSTS adequada ao seu ambiente, por exemplo Strict-Transport-Security: max-age=15552000, e aumente a duração após o monitoramento. Adicione includeSubDomainssomente se todos os subdomínios afetados suportarem HTTPS. Trate isso preloadcomo uma decisão separada e de alto impacto: os navegadores podem reter um domínio pré-carregado por um longo período, e a remoção pode levar meses para chegar aos usuários. Não copie um exemplo de pré-carregamento sem verificar todos os subdomínios e os requisitos atuais. As opções de TLS variam de acordo com as necessidades do servidor e do cliente; use as orientações de TLS do Nextcloud e teste o endpoint resultante.

6. Defina os cabeçalhos de resposta na camada correta.

O Nextcloud já fornece diversos cabeçalhos de segurança, incluindo X-Content-Type-Options` security-headers`, X-Frame-Options` X-Robots-Tagsecurity-headers`, `security-headers` e ` Referrer-Policysecurity-headers`. Sua documentação recomenda garantir que os cabeçalhos relacionados à segurança também sejam fornecidos pelo servidor web, para que permaneçam eficazes para respostas estáticas. Em implantações com Apache, deve-se confirmar se os módulos relevantes e .htaccessas regras do Nextcloud estão ativos. Em implantações com NGINX, deve-se usar a configuração atual do Nextcloud para NGINX, em vez de presumir que as regras do Apache se aplicam. Consulte o guia de segurança do Nextcloud e sua configuração para NGINX .

Uma fonte comum de resultados confusos é a configuração do mesmo cabeçalho no Nextcloud, no servidor web e em uma CDN ou proxy reverso. A resposta pode, então, conter valores duplicados ou conflitantes. Escolha a camada responsável por cada cabeçalho, verifique a resposta final exibida no navegador e evite substituir a Política de Segurança de Conteúdo (CSP) do Nextcloud por uma política genérica copiada de outro site. Uma CSP rigorosa pode quebrar scripts ou recursos necessários para o Nextcloud e seus aplicativos. Teste as alterações de política em um ambiente de teste e inspecione os erros do navegador antes de implementá-las em produção.

Para que um scanner reporte o resultado esperado, teste a URL HTTPS final que os usuários visitam, incluindo redirecionamentos e qualquer salto de CDN ou proxy. Verifique tanto a página de destino quanto um recurso estático, pois diferentes camadas podem retornar cabeçalhos diferentes. Confirme se o HTTP redireciona para HTTPS e se a resposta final contém um valor consistente para cada cabeçalho. Use curl -I https://your-cloud.examplecomo uma verificação rápida e, em seguida, utilize as ferramentas de desenvolvedor do navegador ou um scanner externo para a resposta pública real. Substitua o nome de host de exemplo pelo seu próprio; não publique nomes de host privados ou credenciais em relatórios de varredura.

7. Verifique o resultado sem confundir uma nota com segurança.

Execute o teste do SecurityHeaders.com no URL HTTPS público e leia todos os resultados, não apenas a nota. As perguntas frequentes descrevem a classificação como uma avaliação dos cabeçalhos de resposta relacionados à segurança que o serviço verifica. Portanto, A+ significa que a resposta testada atendeu às regras de pontuação atuais do serviço; não significa que o Nextcloud esteja livre de vulnerabilidades ou que todo o servidor tenha passado por um teste de penetração. Diferentes scanners podem classificar a mesma configuração de forma diferente, e os critérios de pontuação podem mudar.

Se o resultado for inferior a A+, identifique o cabeçalho ausente ou conflitante exato, determine qual camada deve defini-lo e altere um item por vez. Teste novamente após cada alteração e verifique o login, o upload e download de arquivos, a sincronização entre desktop e dispositivos móveis, o WebDAV, o compartilhamento e quaisquer aplicativos críticos. Se o comportamento for interrompido, reverta a última alteração de cabeçalho e inspecione os logs do servidor e do navegador. Nunca adicione uma Política de Segurança de Conteúdo ampla apenas para atingir uma nota sem verificar os requisitos documentados do aplicativo.

Revisão final de endurecimento

• É possível restaurar o banco de dados, o diretório de dados e a configuração a partir de um backup recente?
• O Nextcloud, o host, o PHP, o banco de dados, o servidor web e os aplicativos habilitados estão dentro dos canais de atualização suportados?
• Todos os nomes de host públicos usam HTTPS, com HSTS restrito apenas aos domínios que estão preparados?
• Os arquivos de dados e configuração estão fora do alcance público e possuem permissões restritivas?
• As contas de administrador usam MFA (autenticação multifator)? Contas, sessões e senhas de aplicativos inativas são removidas?
• O Nextcloud consegue ver os IPs reais dos clientes através de uma configuração de proxy com nível de confiança restrito?
• Os avisos da Visão Geral da Administração foram compreendidos e resolvidos quando aplicável?
• O teste de cabeçalho externo mostra um resultado consistente para a resposta pública final, e os fluxos de trabalho normais do Nextcloud ainda funcionam?

Para instruções específicas da versão, consulte o guia de segurança e reforço de segurança do Nextcloud 35 , o guia de atualização e a documentação do seu servidor web ou plataforma de hospedagem. O resultado mais útil é um servidor que se mantém atualizado, é recuperável, limita a exposição a vulnerabilidades e continua funcionando após cada alteração de segurança — e não uma nota por si só.