Saltar al contenido principal

Uso del Panel de administración de ONLYOFFICE Docs

Descripción general​

A partir de la versión 9.1, el Panel de administración de ONLYOFFICE ofrece una interfaz web segura para gestionar la configuración del servidor y supervisarlo. En esta guía se explica cómo configurar y utilizar el sistema de autenticación.

Configuración inicial​

De forma predeterminada, el Panel de administración está desactivado. Siga las instrucciones de la página http://example.com/welcome para iniciarlo.

example.com es el nombre del servidor en el que está instalado ONLYOFFICE Docs.

Primera instalación​

Cuando inicia el Panel de administración por primera vez, es necesario realizar una configuración inicial:

  1. Abra la interfaz web del Panel de administración.

    En la página http://example.com/welcome, haga clic en Admin Panel. En el cuadro de diálogo que aparece, haga clic en Open Admin Panel.

  2. Cree el primer administrador.

    El servidor detecta automáticamente que no hay ninguna contraseña de administrador configurada. Se abre una página con los comandos para crear el primer administrador. El primer administrador solo se puede crear desde el host.

    Panel de administración - Crear el primer administrador

    Utilice el comando que corresponda a su instalación:

    Linux:

    sudo documentserver-admin create-admin

    Docker:

    docker exec -it <container> documentserver-admin create-admin

    Sustituya <container> por el ID o el nombre del contenedor. Para encontrarlo, ejecute docker ps.

    Kubernetes:

    kubectl exec -it <pod> -- documentserver-admin create-admin

    Sustituya <pod> por el nombre del pod. Para encontrarlo, ejecute kubectl get pods.

    Windows:

    "%ProgramFiles%\ONLYOFFICE\DocumentServer\bin\documentserver-admin.bat" create-admin

    Siga las indicaciones de la línea de comandos para establecer la contraseña de administrador.

  3. Vuelva a cargar la página e inicie sesión.

    Vuelva a cargar la página del Panel de administración, introduzca la contraseña que ha creado y haga clic en Iniciar sesión.

    Panel de control del Panel de administración tras una configuración correcta

    Se creará el archivo runtime.json, que contendrá los ajustes modificados en el Panel de administración. Este archivo tiene prioridad sobre otros archivos de configuración, como local.json, default.json, production.json, etc.

    El archivo runtime.json se encuentra aquí:

    • Para Linux - /var/www/onlyoffice/Data/runtime.json

    • Para Docker - /var/www/onlyoffice/Data/runtime.json (primero, acceda al contenedor de ONLYOFFICE Docs con el comando docker exec -it <containerid> bash)

    • Para Windows - %ProgramData%/ONLYOFFICE/Data/runtime.json

      De forma predeterminada, ProgramData es una carpeta oculta en Windows Server; puede activar la visualización de elementos ocultos en las opciones del Explorador de archivos para verla.

Notas de seguridad​

  • El primer administrador solo se puede crear desde el host mediante documentserver-admin create-admin.
  • La contraseña de administrador se almacena como passwordHash en runtime.json.
  • No se transmite ni se registra ninguna contraseña: solo se almacenan hashes seguros.

Inicio de sesión habitual​

Una vez completada la configuración inicial:

  1. Vaya a http://example.com/admin.

  2. Introduzca su contraseña de administrador.

  3. Haga clic en Iniciar sesión.

    Página habitual de inicio de sesión en el Panel de administración

  4. Su sesión es válida durante 1 hora.

Detalles de la sesión​

  • Las sesiones utilizan cookies seguras HTTP-only.
  • Caducan automáticamente tras 1 hora de inactividad.
  • Se aplica la protección SameSite=Strict contra ataques CSRF.

Cambiar la contraseña​

Para cambiar su contraseña de administrador:

  1. Inicie sesión en el Panel de administración.
  2. Vaya a la página Cambiar contraseña.
  3. Introduzca su contraseña actual.
  4. Introduzca su nueva contraseña.
  5. Confirme la nueva contraseña.
  6. Haga clic en Guardar cambios.

Panel de administración - Página Cambiar contraseña

Su sesión permanece activa después de cambiar la contraseña.

Detalles del hash de la contraseña​

  • Algoritmo: PBKDF2-SHA256 (600 000 iteraciones, OWASP 2023).
  • Multiplataforma: El hash se puede generar con Python o Node.js.

Generar el hash de la contraseña externamente​

OpenSSL 3.0+ (recomendado - formato MCF):

PASSWORD="YourPassword"; I=600000; S=$(openssl rand -base64 16 | tr -d '\n'); H=$(openssl kdf -binary -keylen 32 -kdfopt digest:SHA256 -kdfopt pass:UTF8:"$PASSWORD" -kdfopt salt:base64:"$S" -kdfopt iter:$I PBKDF2 | base64 | tr -d '\n'); echo "\$pbkdf2-sha256\$$I\$$S\$$H"

Node.js:

node -e "const crypto=require('crypto');const p=process.argv[1];const s=crypto.randomBytes(16);const sb=s.toString('base64').replace(/\+/g,'.').replace(/=/g,'');crypto.pbkdf2(p,s,600000,32,'sha256',(e,k)=>{const h=k.toString('base64').replace(/\+/g,'.').replace(/=/g,'');console.log('\$pbkdf2-sha256\$600000\$'+sb+'\$'+h)})" "YourPassword"

Compruebe la versión de OpenSSL:

openssl version
# OpenSSL 3.0.0 or newer - ✓ Use openssl kdf command
# OpenSSL 1.x - ✓ Use openssl keyutl command

Añada el hash resultante al archivo runtime.json:

{
  "adminPanel": {
    "passwordHash": "$pbkdf2-sha256$600000$..."
  }
}

Restablecimiento / recuperación de la contraseña​

Si conoce su contraseña actual, utilice la página Cambiar contraseña del Panel de administración.

Si olvida su contraseña de administrador, ejecute el siguiente comando en el servidor:

Linux:

sudo documentserver-admin reset-admin-password

Docker:

docker exec -it <container> documentserver-admin reset-admin-password

Sustituya <container> por el ID o el nombre del contenedor. Para encontrarlo, ejecute docker ps.

Kubernetes:

kubectl exec -it <pod> -- documentserver-admin reset-admin-password

Sustituya <pod> por el nombre del pod. Para encontrarlo, ejecute kubectl get pods.

Windows:

"%ProgramFiles%\ONLYOFFICE\DocumentServer\bin\documentserver-admin.bat" reset-admin-password

Siga las indicaciones de la línea de comandos para establecer una nueva contraseña de administrador.

Solución de problemas​

El Panel de administración aún no está configurado​

Problema: La página del Panel de administración sigue indicando que no existe ninguna cuenta de administrador.

Soluciones:

  • Cree el primer administrador desde el host con documentserver-admin create-admin.
  • Para Docker, ejecute el comando dentro del contenedor de ONLYOFFICE Docs: docker exec -it <container> documentserver-admin create-admin. Sustituya <container> por el ID o el nombre del contenedor que muestra docker ps.
  • Cuando finalice la línea de comandos, vuelva a cargar la página del Panel de administración e inicie sesión con la contraseña que ha creado.

Ajustes​

La página Ajustes del Panel de administración de ONLYOFFICE ofrece un conjunto de herramientas para supervisar la configuración del servidor, gestionar certificados, fuentes personalizadas, etc. A continuación se describen brevemente las posibilidades de esta sección.

Panel de administración - Página Ajustes

Configuración​

Con esta pestaña, puede:

  • Ver la configuración del servidor. Aquí se muestra la configuración final con todos los parámetros redefinidos en todos los archivos de configuración. Los parámetros confidenciales (contraseñas, claves, secretos) se muestran como REDACTED.
  • Copiar el contenido del archivo de configuración.
  • Restablecer todos los ajustes de configuración a sus valores predeterminados. Esta acción no se puede deshacer.

Licencia​

Con esta pestaña, puede cargar la licencia de su producto y ver la información de la licencia:

  • Compilación: tipo (Enterprise Edition, Developer Edition), modo (prueba, producción), fecha de lanzamiento.
  • Licencia: fecha de inicio, fecha hasta la que es válida la licencia.
  • Límite de conexiones para los editores y el visor en vivo.

Haga clic en el botón Comprar ahora para adquirir una licencia. Se le redirigirá a la página correspondiente del sitio web oficial de ONLYOFFICE.

Para cargar la licencia:

  1. Haga clic en el botón Examinar para seleccionar el archivo de licencia.
  2. Haga clic en el botón Aplicar licencia.

Firma de PDF​

Con esta pestaña, puede añadir un certificado PKCS#12 (.p12/.pfx) para firmar los formularios PDF enviados. Los formularios PDF rellenados se firmarán al enviarlos haciendo clic en el botón Completar y enviar.

Para crear un certificado .p12/.pfx a partir de archivos existentes (una clave privada y un certificado .crt / .pem), puede usar openssl desde la línea de comandos:

openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt

Para crear un certificado desde cero:

  1. Genere una clave privada:

    openssl genrsa -out privatekey.key 2048

  2. Cree una solicitud de firma de certificado (CSR):

    openssl req -new -key privatekey.key -out request.csr

  3. Genere un certificado autofirmado:

    openssl x509 -req -days 365 -in request.csr -signkey privatekey.key -out certificate.crt

  4. Cree el archivo PKCS#12:

    openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt

Una vez obtenido el certificado .p12/.pfx, puede cargarlo en el campo 'Archivo de certificado' del Panel de administración. Si el certificado está protegido con contraseña, introdúzcala en el campo 'Frase de contraseña del certificado'. A continuación, guarde los ajustes.

HTTPS / SSL​

Con esta pestaña, puede instalar un nuevo certificado firmado por una autoridad de certificación del servicio letsencrypt.org para habilitar el protocolo seguro HTTPS.

nota

Los puertos 80 y 443 deben estar abiertos para generar correctamente los certificados de Let's Encrypt. Un registro A de sus entradas DNS debe apuntar su nombre de dominio a la dirección IP del servidor en el que está instalado ONLYOFFICE Docs.

  1. Especifique su nombre de dominio en el campo Dominio.
  2. Especifique su dirección de correo electrónico en el campo Correo electrónico.
  3. Haga clic en el botón Instalar certificado.

Fuentes​

Con esta pestaña, puede añadir nuevas fuentes personalizadas:

  1. Haga clic en el botón Examinar para seleccionar los archivos de fuentes o arrástrelos y suéltelos aquí.
  2. Haga clic en el botón Generar.

Gestione las fuentes personalizadas añadidas:

  • Filtre todas las fuentes por nombre para encontrar la que necesita.
  • Marque la opción 'Mostrar solo personalizadas' para mostrar solo las fuentes personalizadas en la lista.
  • Marque la opción 'Marcar todas las personalizadas para eliminar' y haga clic en el botón Generar para eliminar las fuentes personalizadas seleccionadas.

Servicios​

Con esta pestaña, puede activar o desactivar los puntos de conexión de la API pública de servicios específicos.

nota

Al desactivar un servicio, sus solicitudes a la API pública se rechazan inmediatamente con HTTP 403. Las integraciones que dependen de los puntos de conexión desactivados dejarán de funcionar hasta que se vuelva a activar el servicio.

Panel de administración - Pestaña Servicios

Están disponibles las siguientes opciones:

  • API pública de conversión. Active o desactive los puntos de conexión de conversión. Desactivarla puede afectar a los conectores que utilizan el servicio de conversión. Las conversiones iniciadas por los editores no se ven afectadas.
  • API pública de Document Builder. Active o desactive los puntos de conexión de generación de documentos.
  • Funciones de IA. Active o desactive las herramientas de IA en los editores y el punto de conexión /ai-proxy. Al desactivarlas, las herramientas de IA se eliminan de la lista de plugins que se envía a los editores y se rechazan las solicitudes a /ai-proxy.

Apagado​

Con esta pestaña, puede desconectar de forma forzada a los usuarios de ONLYOFFICE Docs para evitar la pérdida de datos cuando necesite detener ONLYOFFICE Docs por motivos como actualizaciones de la aplicación o reinicios del servidor.

  1. Haga clic en el botón Apagar para bloquear las nuevas conexiones a los editores y cerrar las sesiones existentes. Al detener el servidor de esta forma, los usuarios se desconectarán correctamente de los editores y se guardarán sus cambios.
  2. Haga clic en el botón Reanudar para devolver el servidor al modo normal y permitir nuevas conexiones a los editores.

Opciones avanzadas​

Con esta pestaña, puede configurar opciones avanzadas de seguridad y de ensamblaje de documentos.

nota

Desactivar la verificación hace que el servidor sea vulnerable a ataques de intermediario (man-in-the-middle). Úselo solo como solución temporal al integrarse con servicios que tienen certificados autofirmados o que no son de confianza. Vuelva a activarla una vez instalados los certificados adecuados.

Panel de administración - Pestaña Avanzado

Están disponibles las siguientes opciones:

  • Verificar certificados TLS/SSL (rejectUnauthorized). Validar los certificados remotos de las solicitudes HTTPS salientes.
  • Verificar la integridad de los archivos descargados (checksumVerification). Comprobar el contenido descargado con los encabezados de integridad.
  • Ensamblar el documento en el formato original (assemblyFormatAsOrigin). Conservar el formato original del documento durante el ensamblaje final.

Filtrado de IP​

La página Filtrado de IP le permite definir con qué hosts puede comunicarse este servidor. Añada una regla que indique un host para permitir que el servidor se comunique con él. La regla comodín * coincide con cualquier host.

Requerir hosts WOPI de confianza determina si la regla comodín * es suficiente para confiar en un host. Cuando está activada (de forma predeterminada), solo cuenta una regla que indique explícitamente el host; la regla comodín no.

Las reglas se evalúan de arriba abajo y se aplica la primera regla que coincida. Añada la regla para su host de almacenamiento WOPI por encima de la regla comodín *.

Panel de administración - Página Filtrado de IP

Solicitudes de red​

La pestaña Solicitudes de red controla qué clientes pueden acceder a este servidor y cómo se filtran las conexiones salientes.

Panel de administración - Pestaña Solicitudes de red

Están disponibles las siguientes opciones:

  • Usar el filtrado de IP para las solicitudes. Aplicar las reglas de IP a las solicitudes entrantes. Cuando está desactivada, no se comprueban las direcciones de los clientes; los destinos WOPI salientes siguen autorizándose con las mismas reglas.
  • Permitir direcciones IP privadas. Permitir solicitudes salientes a rangos privados y a la interfaz de bucle invertido. Esto no convierte un host WOPI en un host de confianza.
  • Permitir direcciones IP meta. Permitir solicitudes salientes a 0.0.0.0 y ::. Las direcciones de metadatos de la nube y las de enlace local siguen bloqueadas para WOPI.

Ajustes de WOPI​

La página Ajustes de WOPI le permite configurar la compatibilidad con WOPI para la edición de documentos, incluidos los hosts WOPI de confianza, los ajustes de compatibilidad para las integraciones con SharePoint, el comportamiento del bloqueo de documentos y la gestión de las claves de cifrado.

Utilice el interruptor WOPI de la parte superior de la página para activar o desactivar por completo la compatibilidad con WOPI.

Panel de administración - Página Ajustes de WOPI

Hosts WOPI de confianza​

Esta sección le permite decidir con qué hosts de almacenamiento de documentos puede comunicarse este servidor. La lista de hosts de confianza se gestiona en la página Filtrado de IP, no en la página Ajustes de WOPI.

Requerir hosts WOPI de confianza determina si la regla comodín * de la página Filtrado de IP es suficiente para confiar en un host. Cuando está activada (de forma predeterminada), solo cuenta una regla que indique explícitamente el host; la regla comodín no. Las reglas de Filtrado de IP siempre se utilizan para los destinos WOPI; esta opción no desactiva ese filtrado.

Si no hay ningún host WOPI de confianza configurado, se muestra una advertencia y no se pueden abrir documentos hasta que añada una regla que indique su host de almacenamiento.

Panel de administración - Sección Hosts WOPI de confianza

Para añadir un host WOPI a la lista de permitidos:

  1. En la página Ajustes de WOPI, abra la sección Hosts WOPI de confianza. En el mensaje de advertencia, haga clic en el enlace Filtrado de IP.
  2. En la página Filtrado de IP, añada una regla que indique su host de almacenamiento WOPI. Una vez guardada la regla, ese host pasa a ser de confianza para WOPI.
nota

Cuando Requerir hosts WOPI de confianza está activada, la regla comodín * de Filtrado de IP no convierte un host en un host de confianza. Añada una regla que indique explícitamente el host de almacenamiento.

Compatibilidad​

Esta sección configura los ajustes de detección (discovery) de WOPI y de compatibilidad de las solicitudes para SharePoint y otras integraciones de almacenamiento compatibles con WOPI.

Zona WOPI

Especifica la zona de detección que anuncia ONLYOFFICE Docs. Este valor debe coincidir con la zona configurada en SharePoint con el comando de PowerShell Set-SPWOPIZone. Valores disponibles:

  • external-https
  • external-http (predeterminado)
  • internal-https
  • internal-http

Para comprobar la zona configurada actualmente en SharePoint, utilice el siguiente comando de PowerShell:

Get-SPWOPIZone

Para cambiar la zona en SharePoint, utilice el siguiente comando de PowerShell:

Set-SPWOPIZone -Zone "external-http"

Enviar encabezado de autorización

Cuando está activada, añade el encabezado Authorization: Bearer <access_token> a las solicitudes WOPI. Es opcional según la especificación WOPI, pero necesario para algunas configuraciones de SharePoint:

  • SharePoint Subscription Edition: esta opción debe estar activada. Sin el encabezado Authorization, se produce el error Invalid access token y la edición del documento falla.
  • SharePoint 2019: esta opción es opcional. La conexión funciona con el token que se pasa en el URI, pero activar el encabezado no causa ningún problema.

Corresponde al parámetro de configuración wopi.sendAuthorizationHeader (false de forma predeterminada).

Ajustes de bloqueo​

Esta sección configura el intervalo de actualización del bloqueo de documentos para las sesiones WOPI.

Intervalo de actualización del bloqueo

Especifica con qué frecuencia se actualizan los bloqueos de los documentos. Utilice el formato <number><unit>, donde la unidad es s (segundos), m (minutos) o h (horas). Ejemplos: 10m, 1h, 30s. El valor predeterminado es 10m.

Gestión de claves​

Esta sección le permite rotar las claves de cifrado WOPI. El campo Clave pública actual muestra la clave pública activa que se utiliza para autenticar las solicitudes WOPI.

Para rotar las claves, marque la casilla Rotar claves y haga clic en Guardar cambios. Las claves actuales se moverán a "Antiguas" y se generarán claves nuevas.

nota

No rote las claves más de una vez cada 24 horas. Es posible que el almacenamiento no se actualice a tiempo, lo que puede provocar errores de autenticación.