如何強化 Nextcloud 以獲得 A+ 安全標頭評級

安全標頭掃描器獲得的 A+ 評級是一個有用的配置目標，但它並非 Nextcloud 伺服器的完整安全認證。此評級反映的是特定掃描器在其測試的 URL 上檢查的 HTTP 回應標頭。它不會檢查您的資料庫、作業系統、備份、使用者帳戶、已安裝的應用程式或修補程式。因此，一個安全的加固計劃首先是使用 Nextcloud 自身的健康檢查，然後保護伺服器及其面向公眾的 Web 層，最後重新測試相同的公共 URL。

本指南遵循 2026 年 10 月發布的 Nextcloud 35 管理手冊。設定範例可能會因 Apache、NGINX、容器和反向代理部署的不同而有所差異。在套用任何變更之前，請務必對照您伺服器版本和部署方式的文件進行確認。

快速檢查清單

在進行變更或升級之前，請備份資料庫、資料目錄和設定。
安裝支援的 Nextcloud、PHP、資料庫、作業系統和應用程式更新。
所有公共連線均使用 HTTPS，並將 HTTP 重新導向至 HTTPS。
只有在 HTTPS 在整個網域及其所有受影響的子網域中都能正常運作後，才能啟用 HSTS。
盡可能將資料目錄和敏感配置放在網站根目錄之外。
對管理員啟用多因素身份驗證 (MFA)，並在適當情況下對所有使用者啟用多因素身份驗證 (MFA)。
對可信任代理程式進行嚴格設定；切勿信任任意轉送的客戶端 IP 標頭。
解決 Nextcloud 管理概覽中的警告和公共端點上的測試標頭。

1. 建立安全基線

在變更請求頭或 PHP 設定之前，請先確定請求到達 Nextcloud 的方式：直接透過 Apache 或 NGINX、透過容器代理，還是透過託管負載平衡器。記錄 Nextcloud 版本、PHP 版本、資料庫類型、啟用的應用程式以及 TLS 終止點。保留一份目前虛擬主機或代理程式配置的副本，以便在更改出錯時可以回滾。

建立資料庫、完整資料目錄和 Nextcloud 設定（包括所有檔案）的可還原備份config.php。僅複製檔案並非完整備份：請確認您知道如何同時還原這三個元件。 Nextcloud 的更新文件明確指出，其更新程式不會備份資料庫或資料目錄。請參閱Nextcloud 的升級和備份指南。

以管理員身份登錄，開啟“管理設定”，然後選擇“概覽”。查看安全性和設定警告，以及背景作業和資料庫警告。清晰的概覽是應用程式層級的有效檢查，但它不能取代作業系統修補程式或外部頭檔測試。在了解警告原因之前，請勿忽略任何警告。

2. 修補 Nextcloud 及其主機

執行支援的 Nextcloud 版本，並使用支援的 PHP 和資料庫組合。及時應用維護版本，並在升級到新的主要版本之前檢查應用程式的兼容性。透過支援的更新管道更新作業系統、Web 伺服器、PHP 運行時、資料庫伺服器和已安裝的 Nextcloud 應用程式。移除不再使用或不再維護的應用程序，因為每個已啟用的元件都會增加程式碼和維護工作量。

更新前，請先驗證備份並閱讀目標版本的發行說明。使用適用於您安裝類型的支援更新程序，然後完成任何必要的資料庫遷移，並檢查管理概覽和日誌。切勿透過將舊應用程式檔案複製到已遷移的實例上來降級；Nextcloud 文件指出降級不受支持，並建議在必要時從相容的備份進行還原。

3. 保護憑證和帳戶

使用多因素身份驗證 (MFA) 並降低管理員風險

啟用一個維護良好的雙重認證提供者，並要求管理員帳戶啟用多因素身份驗證 (MFA)。 Nextcloud 的雙重認證支援是透過應用程式實現的，因此在強制執行之前，請確認所選提供者與您的版本相容，並確保使用者擁有復原路徑。請將緊急恢復代碼離線妥善保管。不要為了解決登入延遲問題而停用暴力破解保護；而應該調查來源 IP 位址和代理配置。

日常工作應使用獨立的管理員帳戶，僅在必要時授予管理員權限。選擇唯一且長度足夠長的密碼，並使用密碼管理器。及時撤銷遺失裝置後的會話和應用程式密碼。定期審查帳戶、群組、公共共享和外部存儲，移除不再需要的存取權限。

保持強力防護的有效性

Nextcloud 預設啟用暴力破解防護。其有效性取決於伺服器能否看到客戶端的真實 IP 位址。如果 Nextcloud 位於代理伺服器之後，請僅在配置中指定實際的代理位址或網絡trusted_proxies，並且forwarded_for_headers僅將 `<header_name>` 設定為代理伺服器控制的標頭。信任客戶端可以偽造的標頭可能會破壞基於 IP 的防護。避免使用過於寬泛的白名單條目：被排除的地址可以不受限制地進行身份驗證嘗試。請參閱暴力破解防護文件和反向代理配置指南。

4. 減少檔案和伺服器配置的風險

將 Nextcloud 資料目錄放置在 Web 根目錄之外，這可以降低 Web 伺服器錯誤導致儲存檔案外洩的風險。限製檔案系統的所有權和權限，僅允許服務帳戶和需要存取權限的管理員存取；不要將該目錄設定為全域可讀或全域可寫。保護config.php包含資料庫憑證和執行個體金鑰的目錄。 Nextcloud 35 安全加強指南也介紹如何使用 `--configuration` 命令將設定目錄移至 Web 根目錄之外NEXTCLOUD_CONFIG_DIR；對 Web 進程和命令列作業進行一致的配置，然後驗證實例是否仍載入預期的設定。

保持生產調試模式禁用。在團隊支援且了解的情況下，啟用作業系統加固措施，例如 SELinux。如果運行在容器中，請保護主機、持久磁碟區、容器登錄憑證、管理介面以及 Nextcloud 應用程式。限制入站網路訪問，僅允許對必須公開的服務進行存取；切勿將資料庫連接埠或管理 shell 暴露在互聯網上。

Nextcloud 支援與其他系統建立出站連線的功能，因此網路分段和防火牆策略至關重要。請將實例放置在適當受限的網路區域中，並僅允許已啟用功能所需的出站目標。具體的允許清單取決於應用程式和部署選項。

5. 仔細設定 HTTPS 和 HSTS。

使用有效的 TLS 憑證為網站提供服務，並將所有純 HTTP 請求重新導向到 HTTPS。測試憑證鏈、續約流程以及使用者實際存取的每個主機名稱。 Nextcloud 安全加固指南推薦使用 HTTPS，並介紹了 HSTS。 HSTS 指示瀏覽器在收到政策後的一段時間內繼續使用 HTTPS，因此僅在 HTTPS 運行穩定可靠後才啟用它。

首先，根據您的環境選擇合適的 HSTS 策略，例如Strict-Transport-Security: max-age=15552000，然後在監控後增加策略的有效期限。includeSubDomains僅當所有受影響的子網域都支援 HTTPS 時才新增。請將其preload視為一項獨立的、影響重大的決策：瀏覽器可能會長時間保留預先載入的域名，而移除該域名可能需要數月才能影響到用戶。切勿在未檢查所有子網域和目前要求的情況下直接複製預載範例。 TLS 選項會因伺服器和用戶端的需求而異；請參考 Nextcloud 提供的 TLS 指南並測試產生的端點。

6. 在正確的圖層設定響應頭

Nextcloud 已提供多個安全標頭，包括` X-Content-Type-Options<security-headers>`、X-Frame-Options` <security-headers>`、`<security-headers>` 和 `<security-headers>`。其文件建議確保 Web 伺服器也提供這些安全相關的標頭，以便它們對靜態回應仍然有效。 Apache 部署應確認相關模組和 Nextcloud 的規則已啟動。 NGINX 部署必須使用目前的 Nextcloud NGINX 配置，而不能假設 Apache 規則適用。請參閱Nextcloud 安全加固指南及其NGINX 配置。X-Robots-TagReferrer-Policy.htaccess

造成結果混亂的一個常見原因是，在 Nextcloud、Web 伺服器以及 CDN 或反向代理程式中設定了相同的標頭。這樣一來，回應中可能包含重複或衝突的值。請選擇每個標頭所屬的層級，檢查瀏覽器看到的最終回應，並避免使用從其他網站複製的通用策略來取代 Nextcloud 的內容安全策略 (CSP)。嚴格的 CSP 可能會導致 Nextcloud 及其應用程式所需的腳本或功能故障。在正式部署之前，請在測試主機上測試策略變更並檢查瀏覽器錯誤。

為了確保掃描器能夠報告預期結果，請測試使用者最終造訪的 HTTPS URL，包括重定向以及任何 CDN 或代理跳轉。同時檢查目標網頁和靜態資源，因為不同的層級可能會傳回不同的標頭。確認 HTTP 重新導向到 HTTPS，並且最終回應中每個標頭的值都一致。先進行curl -I https://your-cloud.example快速檢查，然後使用瀏覽器的開發者工具或外部掃描器查看實際的公開回應。將範例主機名稱替換為您自己的主機名稱；請勿在掃描報告中發布私有主機名稱或憑證。

7. 核實結果，不要將分數誤認為安全問題

使用SecurityHeaders.com 對公共 HTTPS URL 進行測試，並仔細閱讀每項結果，而不僅僅是字母。其常見問題中將評級描述為對其服務檢查的安全相關回應頭的評估。因此，A+ 表示被測回應符合該服務目前的評分規則；但這並不表示 Nextcloud 沒有漏洞，也不代表整個伺服器都通過了滲透測試。不同的掃描器可能會對相同的配置給予不同的評級，評分標準也可能會改變。

如果結果低於 A+，請找出缺失或衝突的特定標頭，確定應在哪個層設定該標頭，並逐項變更。每次更改後都要重新測試，並檢查登入、檔案上傳和下載、桌面和行動裝置同步、WebDAV、共享以及任何關鍵應用程式。如果出現異常，請回滾上次標頭更改，並檢查伺服器和瀏覽器日誌。切勿為了滿足評分要求而隨意添加廣泛的內容安全策略，而應先檢查應用程式的文件要求。