Adăugați antetul HSTS la endpoint-ul HTTPS care deservește Nextcloud

Avertismentul „Strict-Transport-Security” al Nextcloud înseamnă că verificarea nu a văzut un antet HSTS cu o durată max-agede cel puțin 15552000secunde (180 de zile) în răspunsul HTTPS public. Adăugați antetul la serverul web sau la proxy-ul invers care deservește HTTPS, apoi testați exact adresa URL publică. HSTS nu este o setare în config.php, iar un răspuns HTTP simplu nu poate stabili o politică HSTS în browsere.

Ce trebuie verificat înainte de a schimba configurația

• Confirmați că site-ul Nextcloud se încarcă corect prin HTTPS și prezintă un certificat valid pentru numele său de gazdă.
• Identificați ce serviciu termină TLS: Apache, NGINX, un echilibrator de încărcare, un ingress de container sau un proxy extern.
• Verificați dacă serviciul respectiv este deja setat Strict-Transport-Security. Trimiteți o politică deliberată de la endpoint-ul TLS orientat spre public; anteturile duplicate sau conflictuale fac verificarea confuză.
• Decideți dacă toate subdomeniile sunt pregătite pentru HTTPS înainte de adăugare includeSubDomains. Nu activați preloadca o modalitate rapidă de a șterge acest avertisment.

HSTS le spune browserelor că viitoarele conexiuni la un nume de gazdă trebuie să utilizeze HTTPS. Acesta ajută la prevenirea downgrade-ului la HTTP după ce un browser a primit politica. Nu înlocuiește TLS, nu remediază un certificat nevalid și nu redirecționează prima vizită HTTP; configurați și o redirecționare separată HTTP-to-HTTPS. Manualul de administrare al Nextcloud 35 identifică minimul de 15552000 de secunde și recomandă setarea antetului în serverul web. Punctul de implementare real într-o implementare proxy este componenta care returnează răspunsul vizitatorului.

Stabiliți o politică de bază

O politică inițială conservatoare pentru un nume de gazdă Nextcloud este:

Strict-Transport-Security: max-age=15552000

Aceasta îndeplinește durata minimă de viață a documentelor Nextcloud fără a aplica automat o politică fiecărui subdomeniu. După ce ați confirmat că toate subdomeniile relevante acceptă HTTPS în mod continuu, puteți lua în considerare adăugarea ; includeSubDomains[numărului de subdomeniu]. Un browser care a învățat această directivă va necesita și HTTPS pentru acele subdomenii. Un tablou de bord intern, o gazdă de e-mail sau un serviciu vechi care încă depinde de HTTP poate deveni inaccesibil în browserul respectiv până când este migrat sau politica expiră.

Apache

Pentru o gazdă virtuală Apache TLS, activați mod_headersși plasați directiva în interiorul gazdei virtuale HTTPS, nu doar în gazda de redirecționare a portului 80:

<VirtualHost *:443>
    ServerName cloud.example.com
    # Keep the existing TLS and Nextcloud configuration here.
    <IfModule mod_headers.c>
        Header always set Strict-Transport-Security "max-age=15552000"
    </IfModule>
</VirtualHost>

Înlocuiți numele de gazdă eșantion și păstrați certificatul și proxy-ul existente sau configurația PHP. Exemplul de consolidare Apache de la Nextcloud folosește Header always setpe gazda virtuală HTTPS. Validați configurația Apache cu comanda config-test acceptată de distribuția dvs., apoi reîncărcați Apache numai dacă testul trece.

NGINX

În NGINX, adăugați antetul în interiorul serverblocului care ascultă HTTPS pe numele public de gazdă Nextcloud:

server {
    listen 443 ssl;
    server_name cloud.example.com;
    # Keep your existing TLS and Nextcloud locations here.
    add_header Strict-Transport-Security "max-age=15552000" always;
}

Nu lipiți acest cod ca înlocuitor complet pentru configurația existentă a serverului. Moștenirea antetului NGINX poate depinde de dacă o locație imbricată își definește propriile add_headerdirective; inspectați configurația efectivă și testați răspunsurile reprezentative, inclusiv resursele statice și endpoint-urile DAV. Exemplul oficial Nextcloud NGINX include o setare HSTS în configurația HTTPS și avertizează administratorii cu privire la activarea preîncărcării.

Proxy invers sau intrare

Dacă un echilibrator de încărcare, un ingress sau un proxy găzduit termină HTTPS înainte de a redirecționa traficul către Nextcloud, setați HSTS la acel nivel public TLS, cu excepția cazului în care arhitectura dvs. îl adaugă în mod deliberat la un upstream de încredere. Un antet adăugat doar de backend poate fi eliminat sau înlocuit de proxy. În schimb, setarea acestuia la ambele niveluri poate produce valori duplicate. Verificați configurația antetului de răspuns al proxy-ului și asigurați-vă că ruta HTTPS este cea testată. Mențineți setările URL trusted-proxy și HTTPS ale Nextcloud în concordanță cu implementarea existentă, dar nu tratați aceste setări ca un substitut pentru emiterea antetului.

Validați răspunsul publicului

1. Folosește verificatorul de sintaxă al platformei pentru configurația modificată a serverului web sau a proxy-ului.
2. Reîncărcați sau implementați configurația validată.
3. Solicitați adresa HTTPS publică și verificați anteturile de răspuns:. curl -sSI https://cloud.example.com/Căutați o Strict-Transport-Securitylinie care max-agesă aibă cel puțin 15552000.
4. În instrumentele de dezvoltare ale unui browser, inspectați răspunsul de la același nume de gazdă public. Acest lucru poate dezvălui un proxy care modifică anteturile sau o rută care ocolește gazda virtuală așteptată.
5. Reîncărcați pagina Administrare → Prezentare generală a Nextcloud și permiteți actualizarea verificării de securitate.

Dacă curlnu afișează niciun antet HSTS, confirmați că DNS indică punctul final pe care l-ați editat, că solicitarea utilizează HTTPS și că proxy-ul nu elimină antetul. Dacă antetul apare pe pagina principală, dar nu și în alte răspunsuri, examinați directivele NGINX la nivel de locație sau regulile proxy pentru antetul de răspuns. Dacă răspunsul public este corect, dar Nextcloud încă avertizează, verificați dacă verificarea administratorului utilizează același nume de gazdă și aceeași schemă vizibile extern, apoi inspectați orice strat de cache sau proxy dintre server și verificare.

Folosește preîncărcarea numai după o revizuire la nivelul întregului domeniu

Preîncărcarea este o alegere separată, cu impact ridicat. Directiva de preîncărcare nu înregistrează în sine un domeniu; listele de preîncărcare ale browserelor au propriile cerințe de trimitere. Ghidul actual pentru browsere necesită o listă lungă max-ageși includeSubDomainspentru înscriere. Nextcloud avertizează că eliminarea dintr-o listă de preîncărcare livrată poate dura luni de zile pentru a ajunge la browserele instalate. Începeți cu politica de bază, inventariați fiecare nume de gazdă afectat, confirmați că HTTPS funcționează în întregul domeniu și examinați cerințele oficiale de preîncărcare înainte de a aplica. Majoritatea administratorilor Nextcloud pot rezolva acest avertisment specific fără a opta pentru preîncărcare.

Referință: Avertismente de securitate Nextcloud 35 , îndrumări privind consolidarea securității Nextcloud , configurația Nextcloud NGINX și referința antetului HSTS MDN .