ما يلزم للحصول على تصنيف أمان A+ من Nextcloud

قد يعمل موقع Nextcloud الخاص بك بشكل طبيعي، ومع ذلك يحصل على تقييم ضعيف من فحص أمني خارجي. تشمل الأسباب الشائعة استخدام إصدار خادم قديم أو منتهي الصلاحية، أو عدم وجود رأس HSTS، أو وجود خادم وكيل عكسي يخفي HTTPS عن Nextcloud. ابدأ بتحديث Nextcloud، وفرض استخدام HTTPS على حافة خادم الويب العام، وضبط مستوى ثقة الوكيل بدقة، ومسح التحذيرات التي تظهر في صفحة إدارة Nextcloud نفسها.

لا يوجد معيار عالمي موحد لتصنيف "A+". يقوم فحص الأمان الرسمي من Nextcloud بتقييم خادم Nextcloud المتاح للعامة باستخدام التوصيات المعروفة وفحوصات التحصين التي يمكن إجراؤها من الخارج؛ بينما يقوم مختبر SSL Labs بتقييم إعدادات TLS. يُرجى اعتبار أي تقييم بمثابة نتيجة لحظية، وليس دليلاً على أمان الخادم أو ضمانًا ضد الثغرات الأمنية غير المعروفة.

1. تحديد الماسح الضوئي وتحديث الخادم

سجّل نوع الماسح الضوئي الذي أصدر التقييم قبل تغيير الإعدادات. يُبلغ الفحص الرسمي لـ Nextcloud عن الثغرات الأمنية المعروفة، والإصدارات التي انتهى دعمها، ومشاكل التحصين الظاهرة. قد يأتي تقييم TLS فقط من SSL Labs. أصلح التحذيرات من الماسح الضوئي الذي تستخدمه، ثم أعد تشغيل الفحص نفسه؛ إذ تستخدم الخدمات المختلفة معايير مختلفة.

في إعدادات إدارة Nextcloud، تحقق من إصدار الخادم وأي تحذيرات أمنية أو متعلقة بالإعداد. قم بالترقية إلى إصدار Nextcloud مدعوم، وثبّت آخر التحديثات الأمنية قبل تعديل ملفات الرأس. قد يظل الإصدار القديم عرضةً للاختراق حتى لو أظهر فحص ملفات الرأس علامة A+. إذا لم تكن الترقية متاحة لحزمة التثبيت الخاصة بك، فاتبع مسار الترقية المدعوم لتلك الحزمة بدلاً من استبدال الملفات يدويًا.

2. اشتراط استخدام HTTPS وإضافة HSTS

قم بتوفير عنوان URL العام لـ Nextcloud عبر HTTPS باستخدام شهادة صالحة، وأعد توجيه حركة مرور HTTP غير المشفرة إلى HTTPS. يوصي دليل تحسين أمان Nextcloud باستخدام HTTPS على خوادم الإنتاج. ثم أضف بروتوكول أمان النقل الصارم لـ HTTP (HSTS) على الخادم أو الوكيل الذي يرسل استجابة HTTPS العامة. يحذر مسؤول Nextcloud من ضرورة ألا يقل Strict-Transport-Securityعمر الشهادة عن 15,552,000 ثانية.

بالنسبة لـ Nginx، أضف توجيهًا كهذا إلى كتلة خادم TLS النشط، مع استبدال اسم المضيف والحفاظ على بقية إعدادات Nextcloud المعروفة لديك:

add_header Strict-Transport-Security "max-age=15552000; includeSubDomains" always;

استخدم هذه الميزة includeSubDomainsفقط إذا كان كل نطاق فرعي متاحًا عبر HTTPS. لا تُضِف الخيار الاختياري preloadبشكل عشوائي: قد تستغرق قوائم التحميل المسبق للمتصفح شهورًا لإزالة نطاق بعد إرساله. إذا كان خادم وكيل عكسي يدعم TLS، فقم بتكوين HSTS على هذا الخادم الوكيل العام؛ فتعيينه على مضيف Nextcloud داخلي فقط قد لا يُغيّر العنوان الذي يراه الماسح الضوئي.

يُرسل Nextcloud تلقائيًا رؤوسًا أساسية مثل X-Content-Type-Options<header> X-Frame-Optionsو <header> Referrer-Policyو <header> X-Robots-Tagفي بيئة افتراضية. تجنب إضافة نسخ مكررة أو متضاربة قبل التحقق من الاستجابة. يُوضح مثال تكوين Nginx الخاص بـ Nextcloud كيفية تقديم هذه الرؤوس من Nginx.

3. قم بتهيئة خادم وكيل عكسي دون الوثوق بكل عميل

إذا كان هناك خادم وكيل عكسي أمام Nextcloud، فاذكر فقط عنوان IP الفعلي لهذا الخادم أو نطاق شبكته الخاصة trusted_proxies. يستخدم Nextcloud رؤوس عناوين IP الخاصة بالعميل المُعاد توجيهها فقط للخوادم الوكيلة الموثوقة؛ إذ أن الوثوق بالعناوين الخاطئة قد يسمح للعملاء بانتحال عناوين IP الخاصة بهم وتقويض ضوابط الوصول أو سجلات النظام.

على سبيل المثال، إذا كان وكيل إنهاء TLS موجودًا بالفعل في 10.0.0.10، فقم بدمج الإدخالات ذات الصلة في $CONFIGالمصفوفة الموجودة في config/config.php:

'trusted_proxies' => ['10.0.0.10'],
'overwriteprotocol' => 'https',

اضبط overwriteprotocolهذا الخيار httpsعندما ينتهي بروتوكول TLS عند الخادم الوكيل، وإلا سيكتشف Nextcloud اتصال HTTP الداخلي على أنه اتصال HTTP عام. إذا كان الخادم الوكيل يستخدم رأس IP مُعاد توجيهه غير قياسي، فقم بضبطه forwarded_for_headersليطابقه تمامًا. لا تُعيّن نطاقًا واسعًا من عناوين IP الموثوقة 0.0.0.0/0. بعد تعديل الملف، تحقق من التكوين المدمج واختبر تسجيل الدخول والمشاركة والروابط المُنشأة.

4. قم بإزالة تحذيرات Nextcloud المتبقية

افتح إعدادات الإدارة وراجع نظرة عامة على قسم "الأمان" وتحذيرات الإعداد. عالج التحذير الذي يظهر بدلاً من تطبيق توجيهات أمنية غير ذات صلة لمجرد الحصول على تقييم.

• HSTS مفقود: تحقق من الاستجابة من نقطة نهاية HTTPS العامة، خاصة عندما يقوم وكيل أو موازن تحميل بإنهاء TLS.
• يبدو أن الخادم يستخدم HTTP: تأكد من تكوين HTTPS على الحافة، وعند الحاجة، قم بتعيينه overwriteprotocolلإعداد الوكيل الموثوق.
• تم تفعيل وضع التصحيح: أبقه debugمعطلاً في بيئة الإنتاج؛ قم بتفعيله فقط لاستكشاف الأخطاء وإصلاحها بشكل مستهدف ثم قم بإيقاف تشغيله مرة أخرى.
• تحذير بشأن الوكيل أو عنوان IP الخاص بالعميل: تحقق من عنوان المصدر الفعلي للوكيل والرأس المُعاد توجيهه قبل تغيير إعدادات الوكيل الموثوق به.
• في حال وجود إصدار معروف بأنه معرض للخطر أو انتهى عمره الافتراضي: قم بتحديث Nextcloud وحزم الخادم المتأثرة من خلال عملية الترقية المدعومة.

لا تقيّد صلاحيات المسؤولين إلا allowed_admin_rangesإذا كانت لديهم نطاقات عناوين IP إدارية ثابتة ومعروفة. قد يؤدي استخدام نطاق خاطئ إلى إخفاء وظائف الإدارة عن المسؤولين المصرح لهم. كما يوصي دليل تحسين أمان Nextcloud بتعطيل ضغط HTTP للحد من مخاطر الاختراق؛ تحقق من إعدادات خادم الويب أو الخادم الوكيل للتأكد من تفعيل الضغط للصفحات التي تتطلب مصادقة.

5. تحقق من ردود فعل الجمهور وأعد تشغيل عمليات المسح مرة أخرى

تحقق مما يتلقاه العميل الخارجي فعلياً، وليس فقط ما يحتويه ملف التكوين:

curl -I https://cloud.example.com

تأكد من أن الاستجابة تتضمن ترويسة HSTS بقيمة max-age المطلوبة، وأن ترويسات الأمان الأساسية لـ Nextcloud موجودة. يمكن لأدوات مطوري المتصفح عرض ترويسات الاستجابة نفسها. إذا كانت القيم مختلفة عن إعداداتك، فافحص مُنهي TLS، والوكيل، وأي مواقع Nginx مخزنة مؤقتًا أو متداخلة.

بعد ذلك، قم بتشغيل فحص الأمان الرسمي لـ Nextcloud على اسم المضيف العام، ثم راجع إعدادات الإدارة مرة أخرى. استخدم Qualys SSL Labs عندما تحتاج إلى درجة TLS وتفاصيلها بشكل منفصل. يتطلب الفحص الرسمي اسم مضيف Nextcloud يمكن الوصول إليه؛ ولا يمكنه تقييم مثيل خاص فقط من الإنترنت العام.

إذا بقي التقييم أقل من A+، فاستخدم النتيجة المحددة لتحديد الطبقة المسؤولة. أصلح مشكلة واحدة في كل مرة، وتأكد من أن Nextcloud لا يزال يعمل عبر عنوان URL العام الخاص به، ثم أعد الفحص. يُعدّ التقييم A+ مؤشرًا مفيدًا لتكوين النظام، ولكن تظل التحديثات والنسخ الاحتياطية وضوابط الوصول والمراقبة المستمرة ضرورية حتى بعد اجتياز الفحص.

الوثائق الرسمية

• نيكست كلاود 35: إرشادات التحصين والأمان
• Nextcloud 35: تحذيرات الأمان والإعداد
• Nextcloud 35: تهيئة الخادم الوكيل العكسي
• فحص أمان Nextcloud