Pour chiffrer les documents au repos lors de l'utilisation de Collabora Online Development Edition (CODE), activez le chiffrement sur la plateforme de stockage de fichiers ou sur le disque sous-jacent, et non dans l'éditeur CODE. Collabora ouvre les documents fournis par un serveur de stockage WOPI, tandis que ce dernier est responsable de la protection des copies enregistrées. Le résultat : un stockage chiffré, des modifications en cours et des fichiers récupérables.
Un déploiement typique utilise Nextcloud ou un autre service compatible WOPI pour le stockage des fichiers et CODE pour l'édition via navigateur. Un document circule entre ces composants lors d'une session d'édition autorisée ; l'activation du protocole HTTPS sécurise cette connexion, mais ne chiffre pas la copie stockée. La présentation de la sécurité de Collabora indique que le stockage est contrôlé par l'intégration, tandis que son modèle de configuration serveur documente les paramètres WOPI, TLS, ainsi que les options de cache et de quarantaine.
Avant toute modification, notez l'emplacement où l'hôte WOPI écrit les fichiers de documents (disques locaux ou stockage objet externe) et où CODE s'exécute. Incluez les sauvegardes, les instantanés, les aperçus, le swap et les volumes de conteneurs : les copies situées en dehors du répertoire principal peuvent rester non protégées.
Pour les documents stockés sur le disque local d'un serveur Linux, le chiffrement de disque ou de volume, tel que LUKS, est généralement la solution la plus simple. Il protège le stockage sous-jacent lorsque le volume est verrouillé, y compris contre le vol d'un disque hors tension. La documentation d'Ubuntu sur le chiffrement complet du disque décrit LUKS comme un chiffrement au niveau bloc, et non comme un paramètre d'application. Utilisez un nouveau volume chiffré ou une migration testée : l'initialisation de LUKS peut effacer les données existantes.
Si Nextcloud stocke des fichiers sur un service de stockage tiers et que ce dernier ne doit pas en lire le contenu, le chiffrement côté serveur (SSE) de Nextcloud peut s'avérer plus approprié. Il chiffre le contenu des fichiers compatibles avant de les enregistrer sur le serveur. Les clés de chiffrement restent dans Nextcloud ; par conséquent, un serveur ou un administrateur compromis peut accéder aux fichiers déchiffrés. Nextcloud recommande d'envisager le chiffrement du disque pour le stockage local.
Si même l'administrateur de l'application ne doit pas pouvoir lire un document, ni le chiffrement de disque non verrouillé ni le chiffrement SSE classique ne répondent à cette exigence. Évaluez un flux de travail de chiffrement côté client ou de bout en bout compatible et vérifiez que l'édition dans le navigateur reste possible ; ne présumez pas que tous les documents chiffrés peuvent être ouverts en collaboration dans CODE.
Pour un nouveau déploiement Linux, provisionnez les données et les volumes de services associés sur un stockage chiffré avant d'importer les documents. Conservez le secret de déverrouillage et les informations de récupération hors du serveur, limitez l'accès administrateur et testez la procédure de redémarrage ou de déverrouillage. Pour les systèmes existants, vérifiez les sauvegardes et effectuez la migration pendant les interruptions de service. Configurez le chiffrement des volumes cloud ou du stockage objet avec votre fournisseur.
Utilisez cet outil lsblk -fpour identifier les types de périphériques de stockage par blocs et findmnt -T /path/to/document/datale système de fichiers sous-jacent à votre répertoire de données. Vérifiez le chemin d'accès entre le répertoire de données et le périphérique chiffré : l'installation cryptsetupseule ne chiffre pas le système de fichiers.
Lorsque Nextcloud SSE est approprié, suivez son guide de chiffrement côté serveur . Sauvegardez la configuration, la base de données, les fichiers et les clés de chiffrement de Nextcloud avant toute modification. Choisissez le mode de chiffrement avant de chiffrer le contenu ; le guide actuel recommande l’utilisation d’une clé maîtresse gérée par le serveur comme solution par défaut pour la plupart des déploiements.
occcommandes documentées.sudo -E -u www-data php occ app:enable encryption, puis `npm sudo -E -u www-data php occ encryption:enableinstall nextcloud`. Adaptez l'utilisateur et la méthode d'exécution à votre packaging ; les déploiements Docker utilisent les commandes à l'intérieur du conteneur approprié.sudo -E -u www-data php occ encryption:statuspour confirmer la fonctionnalité et le module sélectionné. L'activation de cette option ne signifie pas que tous les fichiers existants sont chiffrés.sudo -E -u www-data php occ encryption:encrypt-allpour traiter les fichiers existants. Cette opération peut prendre du temps ; la documentation officielle des commandes de chiffrement précise qu’elle gère le mode maintenance et nécessite un terminal interactif.SSE exclut les noms de fichiers, les dossiers, les fichiers de la corbeille, certaines anciennes versions, les miniatures, les aperçus, les index de recherche et certaines données d'application. Protégez les éléments exclus séparément si nécessaire. Protégez les sauvegardes des clés de chiffrement ; la perte de clés essentielles ou de secrets d'instance peut empêcher définitivement toute récupération.
Même si l'hôte WOPI chiffre les documents stockés, il est recommandé d'évaluer la machine CODE indépendamment. Collabora décrit la gestion active des documents comme étant axée sur la mémoire et ne considère pas CODE comme le référentiel permanent des documents. Cependant, le coolwsd.xmlmodèle publié inclut des paramètres pour la mise en quarantaine et la mise en cache des fichiers (optionnels). Il est donc conseillé d'examiner le déploiement réel plutôt que de supposer l'absence de tout artefact temporaire. Il est essentiel de protéger le stockage d'exécution des conteneurs, les volumes montés, l'espace d'échange système, les vidages sur incident et les sauvegardes par des mesures de chiffrement ou de conservation appropriées.
Utilisez le protocole HTTPS entre les navigateurs, CODE et le service WOPI, et limitez les hôtes WOPI autorisés à se connecter. La documentation de configuration Office de Nextcloud recommande de limiter les requêtes WOPI aux adresses IP attendues du serveur Collabora. Ces contrôles d'accès ne remplacent pas le chiffrement des données au repos, mais ils contribuent à empêcher que le système de stockage chiffré ne transmette du texte en clair à un utilisateur non autorisé.
N’activez pas le mode de stockage local de Collabora en production par souci de simplicité ; son SDK officiel le décrit comme une option réservée aux tests et recommande WOPI. Conservez l’intégration de stockage standard afin de garantir la cohérence des comportements d’autorisation et de sauvegarde.
Utilisez un fichier d'exemple non sensible pour le test d'acceptation. Téléversez-le via le service de stockage, ouvrez-le dans CODE, modifiez une ligne, enregistrez, fermez l'éditeur, puis rouvrez le fichier. Un aller-retour réussi confirme que la modification fonctionne toujours ; cela ne prouve pas le chiffrement au repos.
encryption:encrypt-allson achèvement réussi ; ne pas tester uniquement un fichier nouvellement téléchargé.Changez d'approche si le fournisseur de stockage ou l'application ne doit pas pouvoir déchiffrer le contenu, si une catégorie de données protégées se trouve en dehors du périmètre de chiffrement, ou si la récupération de la clé est impossible. Le chiffrement au repos limite principalement les risques liés à la perte de données stockées et aux accès non autorisés au système ; il ne peut à lui seul empêcher la compromission d'un serveur en production, le téléchargement d'un fichier par un utilisateur autorisé ou la lecture d'un document ouvert par un compte volé.
Sécurisez les fichiers modifiés dans Collabora CODE en chiffrant la couche de stockage, en protégeant les données temporaires et en vérifiant le chiffrement et la récupération.
Vérifiez l'architecture de votre hôte, assurez-vous que la balise CODE publie ARM64, supprimez les paramètres AMD64 forcés et distinguez les erreurs d'image des problèmes d'autorisation ou de mémoire.
Configurez la connexion WOPI entre Collabora Online et ownCloud Infinite Scale, configurez les URL de service appropriées et vérifiez que les modifications apportées aux documents sont enregistrées.
Empêchez l'exportation de documents dans Collabora Online CODE en définissant l'autorisation WOPI DisableExport, puis vérifiez que l'hôte et l'éditeur l'appliquent.
Configurez la terminaison TLS Nginx, les routes Collabora et les en-têtes WebSocket, puis testez les points de terminaison publics avant d'ouvrir les documents réels.
Identifiez la cause d'une déconnexion CODE de 10 minutes : proxy, équilibreur de charge ou chemin WebSocket, puis corrigez le délai d'expiration et vérifiez que la session reste connectée.
Installez le graphique Helm officiel de Collabora, configurez l'accès WOPI et l'affinité d'entrée, et vérifiez le déploiement sans erreurs de configuration courantes.
Utilisez les requêtes du navigateur, les journaux WOPI et les vérifications de proxy ciblées pour déterminer pourquoi Collabora ouvre un document vierge et choisissez une solution adaptée aux éléments de preuve.
Configurez correctement les dictionnaires Docker de CODE et les passages de documents étiquetés afin que l'anglais, le français et les autres langues prises en charge bénéficient d'une correction orthographique appropriée.
Ajustez le seuil d'inactivité par vue dans coolwsd et distinguez-le de l'assombrissement des onglets en arrière-plan, du déchargement des documents, de la sauvegarde automatique et de l'expiration de la connexion.
