Dezactivați verificările de actualizare a CODE-ului Collabora și conexiunile nedorite

Pentru a împiedica Collabora Online Development Edition (CODE) să efectueze verificarea programată a versiunii, setați fetch_update_checkla 0și allow_update_popupla false. Pentru o implementare care nu trebuie să contacteze servicii externe neaprobate, dezactivați și integrările neutilizate și impuneți o listă de permisiuni pentru ieșire la limita rețelei; ascunderea notificărilor de actualizare în sine nu blochează traficul de rețea.

Știți ce dezactivați

Începând cu octombrie 2026, coolwsd.xml.indocumentele menținute de Collabora prezintă un interval de verificare a actualizărilor de 10 ore și un control separat pentru notificările de actualizare. Nu documentează o singură opțiune universală etichetată „dezactivarea telemetriei”. O solicitare de actualizare, editarea opțională asistată de cloud, jurnalele de diagnosticare locale și conexiunea WOPI esențială la un server de stocare a documentelor sunt lucruri diferite. Tratarea lor ca o singură setare poate fie să lase conexiunile active, fie să întrerupă editarea documentelor.

Aceste instrucțiuni se aplică în principal unei collabora/codeimplementări Docker independente. Instalările de pachete utilizează aceleași concepte de configurare, dar de obicei editează /etc/coolwsd/coolwsd.xmlși repornesc coolwsdserviciul. Instalările CODE încorporate gestionate de un alt produs pot regenera opțiunile de lansare; modificați-le în produsul de gestionare, în loc să aplicați corecții la fișierele tranzitorii.

1. Identificați setările de rulare și păstrați o versiune anterioară

Mai întâi, stabiliți dacă serviciul CODE este configurat prin Docker Compose, o docker runcomandă sau un pachet nativ. Pentru Docker, inspectați containerul și mediul său curent fără a posta public rezultatul, deoarece variabilele de mediu pot conține acreditări:

docker ps --format 'table {{.Names}}	{{.Image}}'
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code

Înlocuiți codecu numele real al containerului. Salvați o copie securizată a fișierului de implementare sau a celei existente coolwsd.xmlînainte de a o modifica. Dacă configurația Compose include deja terminarea TLS, permisiunile pentru gazdă WOPI sau parametrii de autentificare, păstrați aceste valori.

2. Dezactivați conexiunea de actualizare periodică

Pentru Docker Compose

Adăugați aceste opțiuni la extra_paramsvaloarea existentă din blocul serviciului CODE environment. Acesta este un fragment, nu un fișier Compose complet de înlocuire:

services:
  code:
    environment:
      extra_params: >-
        --o:fetch_update_check=0
        --o:allow_update_popup=false

Îmbinați cele două steaguri cu orice extra_paramssteaguri existente în loc să le suprascrieți. Apoi recreați doar serviciul CODE cu docker compose up -d --no-deps --force-recreate code, folosind numele real al serviciului Compose. Într-o docker runimplementare, includeți aceleași opțiuni în extra_paramsvariabila de mediu atunci când recreați containerul.

Pentru pachete Linux

Editare /etc/coolwsd/coolwsd.xml. Localizați elementele existente și modificați valorile acestora, păstrând atributele lor originale:

<fetch_update_check>0</fetch_update_check>
<allow_update_popup>false</allow_update_popup>

Dacă elementele existente conțin atribute, păstrați-le și modificați doar valorile text. Verificați dacă fișierul este XML valid înainte de a reporni; de exemplu, utilizați xmllint --noout /etc/coolwsd/coolwsd.xmldacă xmllinteste instalat. Reporniți folosind sudo systemctl restart coolwsd.

Important: allow_update_popup=false suprimă notificarea de actualizare a editorului; nu este în sine un control de ieșire. Setarea fetch_update_check=0se adresează verificării programate. Organizația dvs. trebuie să urmărească în continuare actualizările de securitate prin procesul său normal de întreținere.

3. Dezactivați serviciile opționale care pot contacta alte gazde

Verificați configurația activă pentru integrări la distanță. În configurația curentă upstream, corectura la distanță LanguageTool sau Duden este dezactivată în mod implicit, iar comutatoarele AI și DeepL la nivel de server sunt, de asemenea, documentate ca fiind dezactivate în mod implicit. Este posibil ca un administrator sau o integrare să le fi activat. În cazul în care aceste opțiuni există în versiunea CODE instalată, păstrați-le dezactivate dacă nu aveți nevoie de ele:

--o:languagetool.enabled=false
--o:ai.enabled=false
--o:deepl.enabled=false

Includeți doar opțiunile acceptate de versiunea instalată și îmbinați-le extra_paramsîn loc să creați o a doua valoare conflictuală. Aceleași efecte pot fi configurate în secțiunile , și corespondente <languagetool>ale <ai>unei <deepl>instalări XML native.

Inspectați remote_config.remote_urlși remote_font_config.urlînainte de a le șterge. O adresă URL de configurare la distanță goală evită acea preluare opțională a configurației; o adresă URL de font la distanță poate indica în mod legitim propria instalare Nextcloud. Eliminarea acesteia poate afecta tipografia documentului, așa că păstrați-o dacă serviciul de fonturi este aprobat și necesar. De asemenea, examinați orice adrese WebSocket de monitorizare configurate și pluginuri suplimentare, cum ar fi un manager de citări, în funcție de nevoile implementării dvs.

Înregistrarea în jurnal este o problemă separată de confidențialitate, nu o dovadă a telemetriei externe. Consultați logging.docstats, logging.userstatsși logging.anonymize.anonymize_user_datadacă doriți să limitați identificatorii locali în diagnosticare. Păstrați suficiente înregistrări de securitate și operaționale pentru a depana incidentele; modificarea nivelului de detalii al jurnalului nu blochează socketurile de ieșire.

4. Restricționați traficul de ieșire fără a încălca WOPI

O modificare exclusivă a configurației nu poate garanta zero conexiuni de ieșire neașteptate. Plasați CODE în spatele unui firewall sau a unui proxy de ieșire care permite destinațiile și porturile specifice de care are nevoie implementarea. De obicei, aceasta înseamnă gazda de stocare WOPI aprobată, orice font intern sau servicii de identitate pe care le utilizați efectiv și infrastructura necesară, cum ar fi DNS-ul intern. Blocați alte destinații de internet, inclusiv punctele finale de actualizare neaprobate, din sarcina de lucru CODE.

Nu dezactivați orbește conexiunea la rețea și nu setați rețeaua Docker la internal: true:, în funcție de arhitectura dvs., acest lucru poate împiedica CODE să ajungă la serverul său WOPI sau poate împiedica funcționarea integrărilor necesare. De asemenea, rețineți că browserul utilizatorului încarcă resursele editorului și poate face solicitări independent de serverul CODE; regulile firewall-ului serverului nu guvernează browserul.

Pentru instalările Docker Engine care utilizează backend-ul iptables, Docker documentează DOCKER-USERlanțul ca locul destinat regulilor de redirecționare ale administratorului. Cu backend-ul nftables, implementați un lanț de bază separat, în loc să presupuneți că DOCKER-USERexistă. Proiectați reguli pentru rețeaua dvs. reală de bridge sau container, IPv4 și IPv6, DNS, starea conexiunii și traficul WOPI legitim; o DROPregulă generică lipită poate muta editarea offline. Consultați ghidul Docker pentru iptables și ghidul Docker pentru nftables înainte de a aplica politica.

5. Verificați modificările, inclusiv activitatea reală a rețelei

După o repornire sau o recreare a containerului, inspectați jurnalele de pornire pentru erori de configurare și testați deschiderea, editarea și salvarea unui document prin integrarea normală a spațiului de stocare. Un editor receptiv nu este o dovadă că toate solicitările neaprobate s-au oprit. Verificați parametrii de pornire în execuție, apoi examinați jurnalele DNS și de conexiuni de ieșire din firewall, proxy-ul de ieșire sau rețeaua de containere în timpul pornirii și editării documentelor.

docker logs --since 10m code
# Check configured flags without exposing unrelated environment secrets:
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code | grep '^extra_params='

În instalările native, utilizați sudo journalctl -u coolwsd --since '10 minutes ago'și inspectați XML-ul local. Pentru partea de browser, deschideți instrumentele pentru dezvoltatori ale browserului și examinați fila Rețea în timp ce deschideți un document. Distingeți solicitările către propriile gazde CODE și WOPI de destinațiile terțe.

Criterii de succes: CODE încarcă și salvează documentele normal; opțiunea de verificare a actualizărilor este setată la zero; integrările opționale în cloud rămân dezactivate, cu excepția cazului în care sunt aprobate explicit; iar monitorizarea rețelei afișează doar destinațiile permise în perioada de observare. Dacă încărcarea documentelor eșuează după filtrarea traficului, verificați temporar destinațiile refuzate în raport cu WOPI-ul aprobat și lista de infrastructură, în loc să dezactivați verificarea certificatului TLS sau să deschideți ieșirea nerestricționată.

Referințe principale: șablonul de configurare a serverului întreținut de Collabora , configurația containerului CODE All-in-One Nextcloud și descrierea oficială a imaginii CODE Docker . Acestea documentează setările și modelele de implementare relevante; nu înlocuiesc un audit de rețea al instalației dvs. specifice.