Guía de Seguridad de Workspace Enterprise

Introducción

ONLYOFFICE ofrece muchas formas de asegurar que tu portal esté debidamente protegido. En esta guía, se presentan todas las características y herramientas que pueden mejorar el nivel de seguridad de un portal, datos sensibles y trabajo en la nube y editores de escritorio.

Certificado SSL

El certificado SSL es un certificado digital que autentica la identidad de un sitio web y permite una conexión encriptada. Puedes generar un certificado SSL o subir uno de terceros usando el Panel de Control.

Generación de Certificado

El servicio Let's Encrypt se utiliza para proporcionar certificados firmados por CA.

Para generar un nuevo certificado,

1. abre la página HTTPS en la sección AJUSTES COMUNES en la barra lateral izquierda,
2. haz clic en el botón GENERAR Y APLICAR. Aparecerá un cuadro de mensaje emergente informando que el certificado y la clave privada se han generado con éxito.

El Panel de Control y el portal se reiniciarán y estarán inaccesibles durante este proceso. Puede tardar hasta 5 minutos. Una vez finalizado el proceso de instalación del certificado, tu portal estará disponible a través de HTTPS.

Carga de Certificado

Para subir un certificado de terceros (por ejemplo, Amazon o GoDaddy),

1. abre la página HTTPS en la sección AJUSTES COMUNES en la barra lateral izquierda,
2. haz clic en el botón Más junto al campo Certificado CRT y selecciona tu certificado .crt para subirlo,
3. haz clic en el botón Más junto al campo Clave HTTPS y selecciona tu clave privada .key para subirla,
   Antes de subirla, asegúrate de que la clave privada no esté encriptada. Si tienes un archivo .key protegido con contraseña, necesitarás desencriptarlo primero.
4. una vez que los archivos .crt y .key estén subidos, haz clic en el botón APLICAR al final de la página.

Después de eso, tu Panel de Control y portal se reiniciarán y estarán inaccesibles durante este proceso. Puede tardar hasta 5 minutos. Una vez finalizado el proceso de instalación del certificado, tu portal estará disponible a través de HTTPS. El nombre de dominio para el cual se emitió tu certificado ahora se muestra en la sección Generado en el dominio de la página HTTPS en el Panel de Control.

Una vez que hayas generado un certificado o comprado uno y lo hayas subido, puedes verificar tu nivel de seguridad utilizando el servicio SSL Labs o algún otro servicio similar. Tu nivel de seguridad no debe ser inferior a A.

Para obtener más información sobre cómo cambiar a HTTPS, por favor lee este artículo.

Respaldo automático

El respaldo automático se puede habilitar en el Panel de Control. También puede ser una buena decisión hacer copias del portal utilizando servicios de terceros de vez en cuando.

Para activar el Respaldo automático,

1. cambia a la página de Respaldo en la sección AJUSTES COMUNES en la barra lateral izquierda y encuentra la sección Respaldo automático,
2. haz clic en el interruptor Desactivado para habilitar la función,
   
3. selecciona el Almacenamiento necesario para los archivos de respaldo (las opciones disponibles son Amazon AWS S3, Google, Rackspace y servicios de almacenamiento en la nube de Selectel u otros servicios WebDAV, excepto el almacenamiento Temporal, que solo está disponible en la sección Respaldo de Datos),
4. especifica el intervalo de tiempo en el que deben crearse los respaldos: Todos los días, Todas las semanas o Todos los meses con una indicación de la parte necesaria del período de tiempo,
5. establece El número máximo de copias de respaldo a almacenar seleccionando el valor necesario (de 1 a 30) de la lista desplegable correspondiente,
6. marca la casilla Incluir Correo en el respaldo si deseas respaldar también los datos de Correo,
7. haz clic en el botón GUARDAR.

Los respaldos se crearán automáticamente con la periodicidad especificada.

Para obtener más información sobre las opciones de respaldo y restauración, por favor lee este artículo.

Ajuste de configuraciones de seguridad del portal

Las reglas de acceso al portal deben configurarse antes de agregar usuarios al portal. Se puede hacer a través de la página Acceso al Portal del portal. Puedes acceder a la página de la siguiente manera: Configuración > Seguridad > Acceso al portal.

Puedes restringir el acceso al portal determinando las configuraciones de contraseña: Ajuste del número de caracteres de la contraseña, Requiriendo la inclusión de letras mayúsculas, y Dígitos y caracteres especiales en las contraseñas de los usuarios.

La autenticación de dos factores está disponible para el inicio de sesión en el portal. Se puede configurar para usar una aplicación - Authy o Google Authenticator; se recomienda encarecidamente este último. La otra forma es el 2FA a través de SMS. Para usarlo, necesitas usar SMC, Clickatell o Twilio (puedes activar estas opciones en la página de Servicios de Terceros de la Pestaña de Integración, utilizando la clave API del servicio correspondiente).

Dado que algunos de los dominios de correo masivo tienen problemas de seguridad conocidos, puedes especificar los dominios de correo confiables que se pueden usar para el registro. Para activar esta función, en la configuración de Dominios de correo confiables, necesitas seleccionar la casilla de Dominios personalizados y proporcionar los nombres de los dominios confiables en los campos que aparecen.

Para establecer una lista blanca de IPs de usuarios confiables, utiliza la función de Seguridad IP.

El Espacio de Trabajo de ONLYOFFICE también tiene la función de Duración de la Sesión. Al habilitarla, puedes establecer la duración de la sesión para cada usuario después de la cual se realizará el cierre de sesión automático.

Para obtener más información sobre cómo controlar el acceso al portal, por favor lee este artículo.

LDAP para la centralización del acceso

Puedes importar credenciales de usuario desde tu servidor LDAP. Se puede hacer a través del Panel de Control, en la sección Configuración del Portal, en la página LDAP.

Activa el interruptor de Habilitar Autenticación LDAP, luego proporciona los siguientes datos:

• la información de tu servidor, como la dirección URL,
• el número de puerto que se utiliza para acceder al servidor LDAP,
• la ruta al directorio con los datos de los usuarios (DN del Usuario) que deseas importar,
• el filtro de usuario, si necesitas importar solo ciertos usuarios de ese directorio y el valor del atributo de inicio de sesión.
  

La importación de grupos se realiza de la misma manera que importas usuarios desde tu servidor LDAP.

También puedes sincronizar los datos del servidor LDAP con el portal de ONLYOFFICE para que sean correctamente visibles en los perfiles de usuario.

Para obtener más información sobre cómo importar usuarios y grupos utilizando el Servidor LDAP, por favor lee este artículo.

Uso de servidor SMTP privado

En el Espacio de Trabajo de ONLYOFFICE, el servidor predeterminado para notificaciones de usuario (por ejemplo, sobre actualizaciones del portal o de la comunidad, concesión de acceso a documentos o cambios en proyectos) es el servidor SMTP de ONLYOFFICE. Para mayor seguridad, recomendamos usar tu propio servidor SMTP, de modo que tus mensajes no pasen por servicios de terceros.

Para hacerlo, sigue las instrucciones a continuación:

1. Abre el módulo Configuración, luego en la sección Integración, abre la página Configuraciones SMTP.
2. Especifica el dominio y puerto del servidor SMTP.
3. Especifica las credenciales de inicio de sesión
4. Especifica el nombre del remitente para los destinatarios y la dirección de correo electrónico del remitente para los destinatarios.
5. OPCIONAL Para mejorar la seguridad, si su servidor lo permite, seleccione la casilla de verificación Habilitar SSL.
   

Después de configurar los ajustes del servidor SMTP, intente enviar un correo de prueba haciendo clic en el botón Enviar correo de prueba. Si el correo se entrega con éxito, haga clic en el botón Guardar.

Para obtener más información sobre cómo configurar el Servidor SMTP, por favor, lea este artículo.

Monitoreo de inicios de sesión de usuarios y otras acciones

Usando ONLYOFFICE Workspace puede rastrear fácilmente las acciones e inicios de sesión de los usuarios. Puede ver la lista de acciones e inicios de sesión de los usuarios utilizando el Panel de control.

La información de inicio de sesión se guarda en la página de Historial de inicios de sesión:

Para ver las estadísticas detalladas del último semestre, haga clic en el botón Descargar y abrir informe. El informe se abrirá en una hoja de cálculo .xlsx (LoginHistory_ReportStartDate-EndDate.xlsx).

El informe de historial de inicios de sesión incluye los siguientes detalles: dirección IP del usuario, Navegador y Plataforma que se estaban utilizando cuando ocurrió el evento registrado, Fecha y hora del evento, nombre del Usuario que intentó iniciar/cerrar sesión, página del Portal donde se realizó la acción, Acción específica (por ejemplo, Error de inicio de sesión. Cuenta social asociada no encontrada).

El historial de acciones se guarda en la página de Rastro de auditoría:

Para ver las estadísticas detalladas del último semestre, haga clic en el botón Descargar y abrir informe. El informe se abrirá en una hoja de cálculo .xlsx (AuditTrail_ReportStartDate-EndDate.xlsx).

El informe de rastro de auditoría incluye los siguientes detalles: dirección IP del usuario, Navegador y Plataforma que se estaban utilizando cuando ocurrió el evento registrado, Fecha y hora del evento, nombre del Usuario que realizó la operación, página del Portal donde se realizó la acción, tipo de Acción genérica (por ejemplo, descargar, adjuntar, actualizar acceso), Acción específica (por ejemplo, Proyectos [Desarrollo y promoción de productos]. Tareas [Distribuir cupones]. Estado actualizado: Cerrado), Producto y Módulo al que se refiere la entidad cambiada.

También es posible establecer el período de almacenamiento tanto para el historial de inicios de sesión como para el rastro de auditoría en las páginas correspondientes.

Deshabilitar acceso root

Para evitar fugas de datos, es mejor desactivar el inicio de sesión como root, ya que el usuario root tiene acceso completo a todos los datos del sistema. Esto se puede hacer a través del terminal del servidor, configurando el permiso de inicio de sesión root en No.

Cerrar todos los puertos innecesarios

Debe mantener abiertos solo los puertos que necesita para el funcionamiento del portal, ya que los puertos abiertos adicionales pueden ser la causa de fugas de datos. La lista de puertos necesarios para el funcionamiento de ONLYOFFICE Workspace está aquí.

Ajustar parámetros para almacenar versiones de archivos

Para la protección de datos, si algunos de los usuarios tienen una conexión a internet deficiente, puede ajustar el versionado de archivos, utilizando la sección de Configuración del Módulo de Documentos. Es posible mantener todas las versiones intermedias y permitir crear automáticamente copias de los archivos actualizados o simplemente actualizar los archivos existentes después de aplicar cambios. Puede leer más aquí.

Configurar permisos de documentos y derechos de acceso al portal

Debe proporcionar acceso a los documentos solo a miembros autorizados de ciertos grupos de trabajo. Puede ajustar el nivel de acceso haciendo clic en el botón Compartir cerca del documento requerido. En la ventana que se abre, puede agregar usuarios y establecer su nivel de acceso, incluyendo:

• Solo lectura,
• Rellenar formularios,
• Filtro personalizado,
• Comentar,
• Revisar,
• Acceso completo.

Los desarrolladores también pueden configurar los niveles de permiso de documentos por separado y de manera más detallada: prohibir el acceso al historial del documento, la copia de contenido, la descarga del documento, etc. Más información sobre cómo configurar los parámetros de acceso a documentos se puede encontrar aquí.

También es posible establecer los derechos de acceso al portal. Puede restringir el acceso a ciertos módulos para diferentes usuarios y grupos, utilizando el módulo de Configuración. Necesita abrir la página de Derechos de acceso desde la sección de Seguridad. Allí puede ajustar los administradores y cambiar sus derechos de acceso. Además, puede otorgar o denegar el acceso a ciertos módulos más abajo en esa página.

Salas privadas para trabajo seguro con documentos

En ONLYOFFICE, cada usuario puede utilizar salas privadas para crear un espacio de trabajo seguro para trabajar con documentos. La Sala Privada es una sección en Documentos. Los archivos de oficina .docx, .xlsx y .pptx en una sala privada están cifrados con el algoritmo de cifrado AES-256.

Para trabajar con salas privadas,

1. habilite la función en el Panel de control,
2. descargue el editor de escritorio y conéctelo a la nube en la página principal de la aplicación.

Puede trabajar dentro de su sala privada en el portal, utilizando la sección correspondiente en el módulo de Documentos. Puede compartir documentos desde su sala privada de la misma manera que normalmente comparte documentos en el portal.

Protección de cifrado de datos

ONLYOFFICE tiene una función de cifrado de datos que se puede gestionar utilizando el Panel de control en la versión del servidor.

El cifrado permite convertir datos para un almacenamiento confidencial y seguro. El cifrado de ONLYOFFICE se basa en un tipo de cifrado Encrypt-then-MAC (AES-256-CBC + HMAC-SHA256) de todo el cuerpo de datos. Es compatible con el estándar internacional de cifrado de datos AES-256.

Para preparar el portal para el cifrado, necesita:

1. Inicie sesión en su portal y haga clic en el icono del Panel de control en la Página de inicio.
   Alternativamente, puede ir a la Configuración del portal y seleccionar el enlace del Panel de control en el panel lateral izquierdo.
2. Cambie a la sección de Respaldo y respalde los datos.
3. Desactive la función de Respaldo automático de datos.
4. Seleccione la opción de Almacenamiento local tanto para Conectar almacenamiento para datos estáticos como para Conectar almacenamiento como CDN.
5. Asegúrese de que haya suficiente espacio en su disco duro.

Después de que las preparaciones preliminares estén listas, puede proceder al siguiente paso.

Para cifrar el almacenamiento, necesita:

1. Cambie a la sección de Almacenamiento en el Panel de control.
2. Marque la casilla de verificación Notificar a los usuarios que el portal no estará disponible para notificar a todos los usuarios activos por correo electrónico cuando comience el proceso de cifrado.
   Al completar con éxito el proceso de cifrado, todos los usuarios activos también recibirán notificaciones por correo electrónico. Si ocurre un error durante el proceso de cifrado, todos los administradores (independientemente de la opción Notificar a los usuarios) recibirán notificaciones por correo electrónico del proceso de cifrado fallido.
3. Haga clic en el botón Cifrar almacenamiento y luego en OK para iniciar el proceso de cifrado.
   Cuando el cifrado está habilitado, una copia de respaldo recién creada del archivo de datos contendrá archivos descifrados. Cuando se restaura dicha copia, los archivos se cifrarán nuevamente en el disco.

El tiempo requerido para completar el procedimiento depende del volumen de datos. Todos los portales estarán no disponibles durante el proceso de cifrado. Tan pronto como termine el cifrado, los datos del portal estarán disponibles para trabajar.

Para descifrar el almacenamiento, necesita:

1. Cambia a la sección Almacenamiento en el Panel de Control.
2. Marca la casilla Notificar a los usuarios que el portal no estará disponible para notificar a todos los usuarios activos por correo electrónico cuando comience el proceso de descifrado.
   Al completar con éxito el proceso de descifrado, todos los usuarios activos también recibirán notificaciones por correo electrónico. Si ocurre un error durante el proceso de descifrado, todos los administradores (independientemente de la opción Notificar a los usuarios) recibirán notificaciones por correo electrónico del proceso de descifrado fallido.
3. Haz clic en el botón Descifrar almacenamiento y luego en OK para iniciar el proceso de descifrado.

El tiempo necesario para completar el procedimiento depende del volumen de datos. Todos los portales estarán no disponibles durante el proceso de cifrado. Tan pronto como termine el cifrado, los datos del portal estarán disponibles para trabajar.