Ihre Nextcloud-Website kann normal funktionieren und dennoch bei einem externen Sicherheits-Scan eine schlechte Bewertung erhalten. Häufige Ursachen sind eine veraltete oder nicht mehr unterstützte Serverversion, ein fehlender HSTS-Header oder ein Reverse-Proxy, der HTTPS vor Nextcloud verbirgt. Aktualisieren Sie zunächst Nextcloud, erzwingen Sie HTTPS am öffentlichen Webserver, konfigurieren Sie die Proxy-Vertrauenswürdigkeit restriktiv und beheben Sie die Warnungen, die auf der Nextcloud-Administrationsseite angezeigt werden.
Es gibt keinen einheitlichen, allgemein gültigen „A+“-Standard. Nextclouds offizieller Sicherheits-Scan bewertet einen öffentlich sichtbaren Nextcloud-Server anhand bekannter Sicherheitswarnungen und externer Sicherheitsprüfungen; SSL Labs bewertet die TLS-Konfiguration. Jede Bewertung ist als Momentaufnahme zu verstehen und kein Beweis für die Sicherheit des Servers oder eine Garantie gegen unbekannte Sicherheitslücken.
Notieren Sie sich, welcher Scanner die Bewertung ermittelt hat, bevor Sie die Einstellungen ändern. Der offizielle Scan von Nextcloud meldet bekannte Sicherheitslücken, veraltete Versionen und sichtbare Härtungsprobleme. Eine Bewertung, die ausschließlich TLS betrifft, kann stattdessen von SSL Labs stammen. Beheben Sie die Warnungen des verwendeten Scanners und führen Sie denselben Scan erneut aus; verschiedene Dienste verwenden unterschiedliche Kriterien.
Überprüfen Sie in den Nextcloud-Administrationseinstellungen die Serverversion und etwaige Sicherheits- oder Einrichtungswarnungen. Aktualisieren Sie auf eine unterstützte Nextcloud-Version und installieren Sie die aktuellen Sicherheitsupdates, bevor Sie die Header anpassen. Eine ältere Version kann weiterhin Sicherheitslücken aufweisen, selbst wenn ein Header-Scanner A+ zurückgibt. Falls für Ihr Installationspaket kein Upgrade verfügbar ist, folgen Sie dem unterstützten Upgrade-Pfad des Pakets, anstatt Dateien manuell zu ersetzen.
Stellen Sie die öffentliche Nextcloud-URL über HTTPS mit einem gültigen Zertifikat bereit und leiten Sie unverschlüsselten HTTP-Verkehr auf HTTPS um. Nextclouds Sicherheitsleitfaden empfiehlt HTTPS auf Produktionsservern. Fügen Sie anschließend HTTP Strict Transport Security (HSTS) auf dem Server oder Proxy hinzu, der die öffentliche HTTPS-Antwort sendet. Nextcloud empfiehlt in seinem Administratorhinweis eine Strict-Transport-Securitymaximale Gültigkeitsdauer von mindestens 15.552.000 Sekunden.
Fügen Sie für Nginx eine Direktive wie diese zum aktiven TLS-Serverblock hinzu, wobei Sie den Hostnamen ersetzen und den Rest Ihrer bekannten, funktionierenden Nextcloud-Konfiguration beibehalten:
add_header Strict-Transport-Security "max-age=15552000; includeSubDomains" always;
Verwenden Sie diese Option includeSubDomainsnur, wenn jede Subdomain auch über HTTPS erreichbar ist. Setzen Sie das optionale preloadFlag nicht leichtfertig ein: Es kann Monate dauern, bis eine Domain nach der Anmeldung aus den Browser-Preload-Listen entfernt wird. Wenn ein Reverse-Proxy TLS verarbeitet, konfigurieren Sie HSTS auf diesem öffentlich zugänglichen Proxy. Die Konfiguration nur auf einem internen Nextcloud-Host ändert möglicherweise nichts an dem Header, den der Scanner sieht.
Nextcloud sendet in einer Standardumgebung bereits grundlegende Header wie X-Content-Type-Options`<header>`, X-Frame-Options`<header>` Referrer-Policy, `<header>` und ` X-Robots-Tag<header>`. Vermeiden Sie das Hinzufügen doppelter oder in Konflikt stehender Versionen, bevor Sie die Antwort überprüfen. Die Beispielkonfiguration von Nextcloud für Nginx zeigt, wie diese Header mit Nginx bereitgestellt werden.
Wenn ein Reverse-Proxy vor Nextcloud geschaltet ist, tragen Sie unter „Proxys“ nur dessen tatsächliche IP-Adresse oder privaten Netzwerkbereich ein trusted_proxies. Nextcloud verwendet weitergeleitete Client-IP-Header nur für vertrauenswürdige Proxys. Das Vertrauen in falsche Adressen kann dazu führen, dass Clients ihre IP-Adresse fälschen und Zugriffskontrollen oder Protokolle umgehen.
Wenn sich der TLS-Terminierungsproxy beispielsweise unter befindet 10.0.0.10, fügen Sie die entsprechenden Einträge in das bestehende $CONFIGArray in ein config/config.php:
'trusted_proxies' => ['10.0.0.10'],
'overwriteprotocol' => 'https',
Legen Sie overwriteprotocolfest, httpswann TLS am Proxy endet und Nextcloud die interne HTTP-Verbindung andernfalls als öffentliche HTTP-Verbindung erkennt. Wenn Ihr Proxy einen nicht standardmäßigen Forwarded-IP-Header verwendet, konfigurieren Sie forwarded_for_headersihn entsprechend. Legen Sie keinen zu großen vertrauenswürdigen Bereich fest 0.0.0.0/0. Überprüfen Sie nach der Bearbeitung der Datei die zusammengeführte Konfiguration und testen Sie Anmeldung, Freigabe und generierte Links.
Öffnen Sie die Administrationseinstellungen und überprüfen Sie die Übersicht oder die Sicherheits- und Einrichtungswarnungen. Beheben Sie die angezeigte Warnung, anstatt irrelevante Härtungsmaßnahmen anzuwenden, nur um eine bessere Bewertung zu erzielen.
overwriteprotocolfür die Einrichtung des vertrauenswürdigen Proxys aktiviert ist.debug; nur für gezielte Fehlerbehebung aktivieren und anschließend wieder deaktivieren.Beschränken Sie Administratoraktionen nur dann, allowed_admin_rangeswenn Administratoren über stabile und bekannte Management-IP-Adressbereiche verfügen. Ein falscher Bereich kann dazu führen, dass legitime Administratoren keinen Zugriff auf administrative Funktionen haben. Der Nextcloud-Sicherheitsleitfaden empfiehlt außerdem, die HTTP-Komprimierung zu deaktivieren, um Sicherheitslücken zu vermeiden. Überprüfen Sie die Konfiguration Ihres Webservers oder Proxys, falls die Komprimierung für authentifizierte Seiten aktiviert ist.
Prüfen Sie, was ein externer Client tatsächlich empfängt, nicht nur, was die Konfigurationsdatei enthält:
curl -I https://cloud.example.comPrüfen Sie, ob die Antwort einen HSTS-Header mit dem gewünschten Wert für max-age enthält und ob die grundlegenden Nextcloud-Sicherheitsheader vorhanden sind. Die Entwicklertools Ihres Browsers können dieselben Antwortheader anzeigen. Falls die Werte von Ihrer Konfiguration abweichen, überprüfen Sie den TLS-Terminator, den Proxy und alle zwischengespeicherten oder verschachtelten Nginx-Instanzen.
Führen Sie anschließend den offiziellen Nextcloud-Sicherheitsscan für den öffentlichen Hostnamen durch und überprüfen Sie dann die Administrationseinstellungen erneut. Verwenden Sie Qualys SSL Labs, wenn Sie eine separate TLS-Bewertung und weitere Details benötigen. Der offizielle Scan erfordert einen erreichbaren Nextcloud-Hostnamen; er kann eine rein private Instanz nicht aus dem öffentlichen Internet heraus prüfen.
Bleibt die Bewertung unter A+, nutzen Sie den jeweiligen Befund, um die verantwortliche Ebene zu identifizieren. Beheben Sie jeweils ein Problem, prüfen Sie, ob Nextcloud weiterhin über die öffentliche URL erreichbar ist, und führen Sie einen erneuten Scan durch. A+ ist ein hilfreiches Signal für eine optimierte Konfiguration, jedoch sind Patches, Backups, Zugriffskontrollen und die kontinuierliche Überwachung auch nach einem erfolgreichen Scan weiterhin erforderlich.
Aktivieren Sie die zuverlässige Nextcloud-Dateisperrung, wählen Sie das richtige Redis- oder Valkey-Backend und überprüfen Sie, ob die Warnung verschwindet, ohne dass gleichzeitige Dateiänderungen riskiert werden.
Behebt häufige Nextcloud-Scan-Fehler durch aktuelle Updates, HTTPS und HSTS, präzises Reverse-Proxy-Trust und Überprüfungen gegen den öffentlichen Server.
Konfigurieren Sie Nextcloud SSE für den Speicher, der es benötigt, schützen Sie die Verschlüsselungsschlüssel und messen Sie die Übertragungs- und CPU-Auswirkungen, bevor Sie vorhandene Dateien verschlüsseln.
Verbinden Sie die Dateisuche von Nextcloud mit Elasticsearch, indizieren Sie Dokumentinhalte und wählen Sie eine Konfiguration, die Ihren Server- und Sicherheitsanforderungen entspricht.
Konfigurieren Sie Nextcloud so, dass gelöschte Dateien nach einer festgelegten Aufbewahrungsfrist entfernt werden, Hintergrundprozesse zuverlässig geplant werden und Befehle vermieden werden, die den Papierkorb aller Benutzer leeren.
Führen Sie die OCC-Reparatur von Nextcloud sicher durch, sehen Sie sich die Datenbankänderungen in der Vorschau an und prüfen Sie, warum die Warnung möglicherweise weiterhin angezeigt wird.
Ermöglichen Sie größere Nextcloud-Browser-Uploads, indem Sie die Einstellungen für PHP, Nginx oder Apache, temporären Speicher und Timeout aufeinander abstimmen – und überprüfen Sie, welches Limit die Datei blockiert.
Stellen Sie das PHP-Speicherlimit ein, das Nextcloud tatsächlich verwendet, starten Sie den richtigen Dienst neu und bestätigen Sie die Einstellung von 512 MB in der Admin-Übersicht.
Binden Sie einen kompatiblen Objektspeicher-Bucket in Nextcloud mithilfe des S3-Backends ein, und zwar mit dem richtigen Endpunkt, den richtigen Anmeldeinformationen, dem richtigen Zugriffsbereich und den richtigen Verifizierungsschritten.
Sicheres Verschieben eines Linux Nextcloud-Datenverzeichnisses auf ein externes Laufwerk mithilfe einer persistenten UUID-Einbindung, des Wartungsmodus, einer verifizierten Kopie und des Symlinks des ursprünglichen Pfads.
