Remediați avertismentul privind lipsa antetului Nextcloud Strict-Transport-Security (HSTS)

Când Nextcloud raportează „Antetul HTTP Strict-Transport-Security nu este configurat”, remedierea aparține stratului de servire a răspunsurilor HTTPS: Apache, Nginx sau proxy-ul public invers care termină TLS. Manualul de administrare actual al Nextcloud identifică un antet lipsă sau un max-agenumăr sub 15552000secunde ca un avertisment de securitate. Odată ce antetul este prezent pe endpoint-ul public HTTPS, browserele își pot aminti că gazda trebuie să utilizeze HTTPS pentru perioada declarată.

Schimbarea de bază este mică, dar domeniul său de aplicare contează. Aplicați HSTS doar la un endpoint HTTPS funcțional cu un certificat valid. Începeți doar cu gazda; adăugați includeSubDomainssau preloadnumai atunci când fiecare nume de gazdă afectat este gata pentru HTTPS. Acest ghid reflectă documentația de administrare Nextcloud disponibilă în octombrie 2026, inclusiv îndrumările privind avertismentele de securitate și îndrumările privind consolidarea serverului .

Ce înseamnă avertismentul

HTTP Strict Transport Security (HSTS) este un antet de răspuns care indică unui browser să utilizeze HTTPS pentru viitoarele solicitări către un nume de gazdă. Acesta ajută la prevenirea revenirii browserului la HTTP în text simplu după ce a primit politica printr-o conexiune HTTPS validă. Nextcloud verifică răspunsul public și avertizează atunci când nu vede o politică cu durata de viață minimă recomandată.

HSTS nu înlocuiește activarea TLS sau redirecționarea HTTP către HTTPS. Browserul acceptă doar o politică HSTS livrată prin HTTPS. La prima vizită, înainte ca browserul să fi învățat politica, solicitarea inițială poate fi încă vulnerabilă, cu excepția cazului în care numele de gazdă este acoperit de o listă de preîncărcare a browserului. O redirecționare normală HTTP-către-HTTPS rămâne utilă, dar nu înlocuiește antetul.

Găsiți care server ar trebui să trimită antetul

Urmăriți cererea publică înainte de a modifica configurația. Dacă utilizatorii se conectează direct la Apache sau Nginx prin HTTPS, configurați gazda virtuală TLS a serverului web respectiv. Dacă un echilibrator de încărcare, un ingress, o CDN sau un proxy invers termină TLS-ul public, configurați stratul care trimite răspunsul către browser. Adăugarea doar a antetului la o conexiune HTTP internă poate să nu afecteze răspunsul public.

Nextcloud documentează proxy-urile inverse ca model de implementare acceptat și solicită administratorilor să definească proxy-uri de încredere, atunci când este cazul. Responsabilitatea HSTS a proxy-ului este separată de gestionarea URL-urilor și a IP-ului clientului de către Nextcloud. În special, overwriteprotocolajută Nextcloud să recunoască schema externă în unele machete de proxy; setarea sa nu adaugă în sine antetul de răspuns HSTS. Consultați ghidul oficial de configurare a proxy-ului invers Nextcloud dacă aplicația generează link-uri HTTP sau raportează alte avertismente legate de proxy.

Înainte de a schimba politica

• Confirmă https://cloud.example.comîncărcările fără o eroare de certificat și utilizează lanțul de certificate prevăzut.
• Verificați dacă cererile HTTP redirecționează către același nume de gazdă prin HTTPS.
• Identificați alte servicii și subdomenii din același domeniu părinte înainte de a lua în considerare includeSubDomains.
• Păstrați disponibilă o rută administrativă sau o consolă de server. Un browser care are HSTS în cache va refuza să permită unui utilizator să ocolească erorile de certificat pe perioada politicii.

Înlocuiți cloud.example.comîn exemple cu numele dvs. real de gazdă Nextcloud. Nu copiați nume de gazdă exemplu în configurația de producție.

Setează HSTS în Apache

În gazda virtuală Apache TLS care deservește Nextcloud, activați modulul headers și adăugați politica. Ghidul de consolidare Nextcloud arată o valoare de șase luni și utilizează includeSubDomains; următoarea versiune doar pentru gazdă este un punct de plecare precaut:

<VirtualHost *:443>
    ServerName cloud.example.com

    <IfModule mod_headers.c>
        Header always set Strict-Transport-Security "max-age=15552000"
    </IfModule>

    # Existing Nextcloud and TLS directives
</VirtualHost>

Asigurați-vă mod_headerscă este activată în configurarea Apache a distribuției dvs. Adăugați directiva la gazda virtuală HTTPS, nu la gazda virtuală a portului 80. Validați configurația folosind comanda corespunzătoare distribuției instalate, apoi reîncărcați Apache folosind managerul său de servicii. De exemplu, multe distribuții bazate pe systemd acceptă comanda , sudo apachectl configtesturmată de sudo systemctl reload apache2; pe unele distribuții, serviciul este numit httpd. Folosiți comanda care corespunde cu numele pachetului și serviciului dvs.

Setează HSTS în Nginx

În blocul Nginx servercare ascultă HTTPS și deservește numele public de gazdă Nextcloud, adăugați:

server {
    listen 443 ssl;
    server_name cloud.example.com;

    add_header Strict-Transport-Security "max-age=15552000" always;

    # Existing certificate and Nextcloud configuration
}

Parametrul alwaysface ca Nginx să adauge antetul indiferent de starea răspunsului. Nginx documentează o regulă de moștenire care poate surprinde operatorii: add_headerdirectivele la un nivel de configurare inferior modifică comportamentul normal de moștenire. Dacă un locationbloc imbricat își definește propriile add_headerdirective, este posibil ca antetul HSTS la nivel de server să nu mai fie moștenit acolo. Verificați configurația activă și testați adresele URL reprezentative, inclusiv pagina de conectare și o resursă statică. Consultați documentația oficială a modulului Nginx headers .

Înainte de a aplica modificările, executați comanda sudo nginx -t. Dacă validarea reușește, reîncărcați Nginx folosind comanda service pentru sistemul dvs., adesea sudo systemctl reload nginx. Un test de sintaxă eșuat trebuie corectat înainte de reîncărcare.

Configurați un proxy invers sau un terminator TLS

Dacă HTTPS-ul public se termină la un proxy invers, plasați antetul HSTS în răspunsul HTTPS al proxy-ului respectiv. De exemplu, un proxy îl poate trimite chiar și atunci când conexiunea sa la backend-ul Nextcloud utilizează HTTP. Nu trimiteți HSTS doar pe răspunsul backend-ului necriptat și presupuneți că browserul îl va vedea.

Verificați dacă atât proxy-ul, cât și backend-ul adaugă deja același antet. Câmpurile HSTS duplicate pot fi confuze de diagnosticat, iar un proxy poate suprascrie sau ascunde un antet backend. Alegeți un strat public care să dețină politica sau configurați în mod deliberat straturile astfel încât browserul să primească o singură valoare clară. După schimbarea proxy-ului, confirmați că acesta redirecționează gazda și schema așteptate către Nextcloud și că linkurile HTTPS funcționează în continuare.

Verificați răspunsul publicului

Folosește o cerere către numele public de gazdă HTTPS, nu doar către o adresă localhost sau backend:

curl -sSI https://cloud.example.com
curl -sSIL http://cloud.example.com

În primul răspuns, căutați exact un antet similar cu:

Strict-Transport-Security: max-age=15552000

A doua comandă urmează după redirecționări. Confirmați că adresa URL HTTP ajunge la numele de gazdă HTTPS dorit, apoi inspectați răspunsul HTTPS pentru HSTS. Browserele ignoră HSTS primit prin HTTP simplu, deci nu este necesar ca antetul să apară pe redirecționarea inițială a portului 80. De asemenea, puteți utiliza instrumentele pentru dezvoltatorii de browsere: deschideți panoul Rețea, reîncărcați pagina HTTPS, selectați răspunsul documentului și inspectați anteturile de răspuns.

Verificați mai multe căi de răspuns dacă configurația dvs. are locații imbricate, niveluri proxy multiple sau gestionarea separată a activelor statice. Apoi, revedeți setările de administrare ale Nextcloud și actualizați prezentarea generală de securitate. O avertizare poate dura ceva timp pentru a fi actualizată sau poate reflecta adresa URL publică exactă a probelor Nextcloud, așa că comparați adresa URL respectivă cu cea pe care ați testat-o.

Alegeți cu atenție domeniul de aplicare și durata de viață

Un max-agenumăr de 15552000secunde este de șase luni, corespunzând pragului de avertizare documentat de Nextcloud. Politica este reînnoită atunci când un browser primește un nou antet HSTS valid. Scurtarea sau eliminarea ulterioară a acestuia necesită livrarea max-age=0prin HTTPS către fiecare nume de gazdă afectat; browserele care nu revin în timpul modificării își vor păstra politica din cache până la expirarea duratei de viață curente.

includeSubDomainsaplică politica fiecărui subdomeniu de sub numele de gazdă. Folosește-o numai dacă toate subdomeniile actuale și planificate acceptă HTTPS cu certificate valide. Un serviciu separat, cum ar fi mail.example.comsau legacy.example.compoate deveni inaccesibil browserelor dacă nu este pregătit.

Jetonul preloadeste o decizie separată, cu impact ridicat. Ghidul de consolidare Nextcloud descrie adăugarea unui nume de gazdă la listele de preîncărcare a browserului și avertizează că eliminarea poate dura luni de zile pentru a ajunge la browserele instalate. Nu îl adăugați ca o modalitate rapidă de a șterge o constatare a scanerului. Confirmați mai întâi toate condițiile de preîncărcare necesare și impactul asupra fiecărui subdomeniu; urmați ghidul oficial al serviciului de preîncărcare HSTS dacă intenționați să solicitați includerea.

Dacă avertismentul persistă

• Antetul lipsește în curl: este posibil să fi editat greșit gazda virtuală, proxy-ul sau locația Nginx. Verificați configurația DNS-ului public țintă și a serverului activ.
• Antetul apare doar pe anumite pagini: verificați add_headerdirectivele Nginx imbricate, gestionarea erorilor, căile statice ale resurselor și regulile proxy.
• Răspunsul are mai multe politici: găsiți straturile care adaugă câmpul și consolidați-le într-o singură valoare consistentă.
• Antetul este prezent, dar avertismentul persistă: verificați dacă URL-ul configurat extern al Nextcloud se rezolvă la același endpoint HTTPS, verificați gestionarea schemei proxy, apoi reîncărcați prezentarea generală a administratorului.
• HTTPS sau certificatul nu este gata: remediați mai întâi rutarea TLS și HTTP-to-HTTPS. HSTS nu poate repara un certificat defect sau activa HTTPS de unul singur.

Remedierea este completă atunci când răspunsul HTTPS public transmite în mod constant valoarea HSTS dorită, Nextcloud poate accesa corect adresa URL HTTPS publică, iar browserul poate încărca instanța fără erori de certificat sau redirecționare. HSTS îmbunătățește aplicarea politicii de transport pentru browserele care revin; nu înlocuiește întreținerea certificatelor, configurarea proxy-ului securizat sau o cale de recuperare testată.