Utiliser le panneau d'administration ONLYOFFICE Docs

Aperçu

À partir de la version 9.1, le Panneau d'administration ONLYOFFICE fournit une interface web sécurisée pour gérer et surveiller le serveur. Ce guide vous expliquera comment configurer et utiliser le système d'authentification.

Configuration initiale

Par défaut, le Panneau d'administration est désactivé. Veuillez suivre les instructions sur http://example.com/welcome pour démarrer celui-ci.

example.com est le nom du serveur sur lequel ONLYOFFICE Docs est installé.

Premier démarrage

Lors du premier démarrage du Panneau d'administration, il vous faut déployer une configuration initiale :

1. Accéder à l'interface web du Panneau d'administration.

   Sur la page http://example.com/welcome, cliquez sur Admin Panel (Panneau d'administration). Dans la boîte de dialogue qui s'affiche, cliquez sur Open Admin Panel (Ouvrir le Panneau d'administration).

2. Créer le premier administrateur.

   Le serveur détecte automatiquement qu'aucun mot de passe d'administrateur n'est configuré. Une page s'ouvre avec les commandes permettant de créer le premier administrateur. Le premier administrateur ne peut être créé que depuis l'hôte.

   

   Utilisez la commande qui correspond à votre installation :

   Linux :

   sudo documentserver-admin create-admin

   Docker :

   docker exec -it <container> documentserver-admin create-admin

   Remplacez <container> par l'ID ou le nom du conteneur. Pour le trouver, exécutez docker ps.

   Kubernetes :

   kubectl exec -it <pod> -- documentserver-admin create-admin

   Remplacez <pod> par le nom du pod. Pour le trouver, exécutez kubectl get pods.

   Windows :

   "%ProgramFiles%\ONLYOFFICE\DocumentServer\bin\documentserver-admin.bat" create-admin

   Suivez les instructions de la ligne de commande pour définir le mot de passe d'administrateur.

3. Actualiser la page et se connecter.

   Actualisez la page du Panneau d'administration, saisissez le mot de passe que vous avez créé et cliquez sur Login (Se connecter).

   

   Le fichier runtime.json sera créé, il contiendra les paramètres modifiés dans le Panneau d'administration. Il a priorité sur les autres fichiers de configuration tels que local.json, default.json, production.json, etc.

   Le fichier runtime.json se trouve ici :

   • Pour Linux - /var/www/onlyoffice/Data/runtime.json

   • Pour Docker - /var/www/onlyoffice/Data/runtime.json (accédez d'abord au conteneur ONLYOFFICE Docs à l'aide de la commande docker exec -it <containerid> bash)

   • Pour Windows - %ProgramData%/ONLYOFFICE/Data/runtime.json

     Par défaut, ProgramData est un dossier masqué dans Windows Server. Vous pouvez activer l'affichage des éléments masqués dans les options de l'Explorateur de fichiers pour le voir.

Consignes de sécurité

• Le premier administrateur ne peut être créé que depuis l'hôte à l'aide de documentserver-admin create-admin.
• Le mot de passe d'administrateur est stocké sous forme de passwordHash dans runtime.json.
• Aucun mot de passe n'est transmis ni journalisé — seuls des hachages sécurisés sont stockés.

Connexion habituelle

Une fois la configuration initiale terminée :

1. Passez à http://example.com/admin.

2. Saisissez votre mot de passe d'administrateur.

3. Cliquez sur Login (Se connecter).

   

4. Votre session n'est valable que pendant 1 heure.

Détails de la session

• Les cookies HTTP uniquement sont utilisés pour gérer les sessions.
• La durée de vie des cookies expire après 1 heure d'inactivité.
• La méthode de protection SameSite=Strict est utilisée contre les attaques CSRF.

Modifier votre mot de passe

Pour modifier votre mot de passe d'administrateur :

1. Connectez-vous au Panneau d'administration.
2. Passez à la page Change Password (Modifier le mot de passe).
3. Saisissez votre mot de passe actuel.
4. Saisissez votre nouveau mot de passe.
5. Confirmez le nouveau mot de passe.
6. Cliquez sur Save Changes (Enregistrer les modifications).

Votre session reste active après la modification du mot de passe.

Détails de hachage du mot de passe

• Algorithme : PBKDF2-SHA256 (600 000 itérations, OWASP 2023).
• Multiplateforme : Il est possible de créer un hachage en Python ou Node.js.

Générer le hachage du mot de passe en externe

OpenSSL 3.0+ (recommandé - format MCF) :

PASSWORD="YourPassword"; I=600000; S=$(openssl rand -base64 16 | tr -d '\n'); H=$(openssl kdf -binary -keylen 32 -kdfopt digest:SHA256 -kdfopt pass:UTF8:"$PASSWORD" -kdfopt salt:base64:"$S" -kdfopt iter:$I PBKDF2 | base64 | tr -d '\n'); echo "\$pbkdf2-sha256\$$I\$$S\$$H"

Node.js :

node -e "const crypto=require('crypto');const p=process.argv[1];const s=crypto.randomBytes(16);const sb=s.toString('base64').replace(/\+/g,'.').replace(/=/g,'');crypto.pbkdf2(p,s,600000,32,'sha256',(e,k)=>{const h=k.toString('base64').replace(/\+/g,'.').replace(/=/g,'');console.log('\$pbkdf2-sha256\$600000\$'+sb+'\$'+h)})" "YourPassword"

Vérifiez la version OpenSSL :

openssl version
# OpenSSL 3.0.0 or newer - ✓ Use openssl kdf command
# OpenSSL 1.x - ✓ Use openssl keyutl command

Ajoutez le hachage résultant au fichier runtime.json :

{
  "adminPanel": {
    "passwordHash": "$pbkdf2-sha256$600000$..."
  }
}

Réinitialisation / Récupération du mot de passe

Si vous connaissez votre mot de passe actuel, utilisez la page Change Password (Modifier le mot de passe) dans le Panneau d'administration.

Si vous oubliez votre mot de passe d'administrateur, exécutez la commande suivante sur le serveur :

Linux :

sudo documentserver-admin reset-admin-password

Docker :

docker exec -it <container> documentserver-admin reset-admin-password

Remplacez <container> par l'ID ou le nom du conteneur. Pour le trouver, exécutez docker ps.

Kubernetes :

kubectl exec -it <pod> -- documentserver-admin reset-admin-password

Remplacez <pod> par le nom du pod. Pour le trouver, exécutez kubectl get pods.

Windows :

"%ProgramFiles%\ONLYOFFICE\DocumentServer\bin\documentserver-admin.bat" reset-admin-password

Suivez les instructions de la ligne de commande pour définir un nouveau mot de passe d'administrateur.

Dépannage

Le Panneau d'administration n'est pas encore configuré

Problème : La page du Panneau d'administration indique toujours qu'aucun compte administrateur n'existe.

Solutions :

• Créez le premier administrateur depuis l'hôte à l'aide de documentserver-admin create-admin.
• Pour Docker, exécutez la commande à l'intérieur du conteneur ONLYOFFICE Docs : docker exec -it <container> documentserver-admin create-admin. Remplacez <container> par l'ID ou le nom du conteneur indiqué par docker ps.
• Une fois la commande terminée, actualisez la page du Panneau d'administration et connectez-vous avec le mot de passe que vous avez créé.

Paramètres

La page Settings (Paramètres) du Panneau d'administration ONLYOFFICE fournit un ensemble d'outils permettant de surveiller la configuration du serveur, de gérer les certificats, les polices personnalisées, etc. Vous trouverez ci-dessous une brève description des fonctionnalités de cette section.

Configuration

Cet onglet vous permet de :

• Afficher la configuration du serveur. La configuration finale est affichée ici avec tous les paramètres redéfinis dans l'ensemble des fichiers de configuration. Les paramètres sensibles (mots de passe, clés, secrets) sont affichés comme REDACTED.
• Copier le contenu du fichier de configuration.
• Réinitialiser tous les paramètres de configuration à leurs valeurs par défaut. Cette action est irréversible.

Licence

Cet onglet vous permet de télécharger la licence de votre produit et d'afficher les informations sur la licence :

• Build : type (Enterprise Edition, Developer Edition), mode (essai, production), date de publication.
• Licence : date de début, date jusqu'à laquelle la licence est valide.
• Limite de connexions pour les éditeurs et la visionneuse en direct.

Cliquez sur le bouton Buy Now (Acheter maintenant) pour acheter une licence. Vous serez redirigé vers la page correspondante du site officiel d'ONLYOFFICE.

Pour télécharger la licence :

1. Cliquez sur le bouton Browse (Parcourir) pour sélectionner le fichier de licence.
2. Cliquez sur le bouton Apply License (Appliquer la licence).

Signature PDF

Cet onglet vous permet d'ajouter un certificat PKCS#12 (.p12/.pfx) pour signer les formulaires PDF soumis. Les formulaires PDF remplis seront signés lors de leur soumission en cliquant sur le bouton Complete & Submit (Terminer et soumettre).

Pour créer un certificat .p12/.pfx à partir de fichiers existants (une clé privée et un certificat .crt / .pem), vous pouvez utiliser openssl en ligne de commande :

openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt

Pour créer un certificat à partir de zéro :

1. Générez une clé privée :

   openssl genrsa -out privatekey.key 2048

2. Créez une demande de signature de certificat (CSR) :

   openssl req -new -key privatekey.key -out request.csr

3. Générez un certificat auto-signé :

   openssl x509 -req -days 365 -in request.csr -signkey privatekey.key -out certificate.crt

4. Créez le fichier PKCS#12 :

   openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt

Une fois votre certificat .p12/.pfx obtenu, vous pouvez le télécharger dans le champ 'Certificate File' (Fichier de certificat) du Panneau d'administration. Si le certificat est protégé par un mot de passe, saisissez votre mot de passe dans le champ 'Certificate Passphrase' (Phrase secrète du certificat). Enregistrez ensuite les paramètres.

HTTPS / SSL

Cet onglet vous permet d'installer un nouveau certificat signé par une autorité de certification du service letsencrypt.org pour activer le protocole sécurisé HTTPS.

remarque

Les ports 80 et 443 doivent être ouverts pour générer les certificats Let's Encrypt. Un enregistrement A dans vos entrées DNS doit faire pointer votre nom de domaine vers l'adresse IP du serveur sur lequel ONLYOFFICE Docs est installé.

1. Indiquez votre nom de domaine dans le champ Domain (Domaine).
2. Indiquez votre adresse e-mail dans le champ Email (E-mail).
3. Cliquez sur le bouton Install Certificate (Installer le certificat).

Polices

Cet onglet vous permet d'ajouter de nouvelles polices personnalisées :

1. Cliquez sur le bouton Browse (Parcourir) pour sélectionner les fichiers de polices ou faites-les glisser ici.
2. Cliquez sur le bouton Generate (Générer).

Gérez les polices personnalisées ajoutées :

• Filtrez toutes les polices par nom pour trouver celle qui vous convient.
• Cochez l'option 'Show custom only' (Afficher uniquement les polices personnalisées) pour n'afficher que les polices personnalisées dans la liste.
• Cochez l'option 'Mark all custom for deletion' (Marquer toutes les polices personnalisées pour suppression) et cliquez sur le bouton Generate (Générer) pour supprimer les polices personnalisées sélectionnées.

Services

Cet onglet vous permet d'activer ou de désactiver les points de terminaison de l'API publique pour certains services.

remarque

La désactivation d'un service rejette immédiatement ses requêtes d'API publique avec le code HTTP 403. Les intégrations qui dépendent des points de terminaison désactivés cesseront de fonctionner jusqu'à ce que le service soit réactivé.

Les options suivantes sont disponibles :

• Conversion public API (API publique de conversion). Activez ou désactivez les points de terminaison de conversion. La désactivation peut perturber les connecteurs qui utilisent le service de conversion. Les conversions lancées par les éditeurs ne sont pas concernées.
• Document Builder public API (API publique de Document Builder). Activez ou désactivez les points de terminaison de génération de documents.
• AI features (Fonctionnalités IA). Activez ou désactivez les outils IA dans les éditeurs et le point de terminaison /ai-proxy. La désactivation retire les outils IA de la liste des plugins envoyée aux éditeurs et rejette les requêtes /ai-proxy.

Arrêt

Cet onglet vous permet de déconnecter de force les utilisateurs d'ONLYOFFICE Docs afin d'éviter toute perte de données lorsque vous devez arrêter ONLYOFFICE Docs, par exemple pour des mises à jour de l'application ou des redémarrages du serveur.

1. Cliquez sur le bouton Shutdown (Arrêter) pour bloquer les nouvelles connexions aux éditeurs et fermer les sessions existantes. Lorsque le serveur est arrêté de cette manière, les utilisateurs sont correctement déconnectés des éditeurs et leurs modifications sont enregistrées.
2. Cliquez sur le bouton Resume (Reprendre) pour remettre le serveur en mode normal et autoriser les nouvelles connexions aux éditeurs.

Options avancées

Cet onglet vous permet de configurer les options avancées de sécurité et d'assemblage des documents.

remarque

La désactivation de la vérification rend le serveur vulnérable aux attaques de l'homme du milieu. Utilisez-la uniquement comme solution temporaire lors de l'intégration avec des services dont les certificats sont auto-signés ou non approuvés. Réactivez-la dès que des certificats appropriés sont installés.

Les options suivantes sont disponibles :

• Verify TLS/SSL certificates (rejectUnauthorized) (Vérifier les certificats TLS/SSL). Valider les certificats distants pour les requêtes HTTPS sortantes.
• Verify downloaded file integrity (checksumVerification) (Vérifier l'intégrité des fichiers téléchargés). Vérifier le contenu téléchargé à l'aide des en-têtes d'intégrité.
• Assemble document in original format (assemblyFormatAsOrigin) (Assembler le document dans son format d'origine). Conserver le format d'origine du document lors de l'assemblage final.

Filtrage IP

La page IP Filtering (Filtrage IP) vous permet de définir les hôtes que ce serveur est autorisé à contacter. Ajoutez une règle qui nomme un hôte pour autoriser le serveur à le contacter. La règle générique * correspond à n'importe quel hôte.

L'option Require trusted WOPI hosts (Exiger des hôtes WOPI de confiance) détermine si la règle générique * suffit pour faire confiance à un hôte. Lorsqu'elle est activée (par défaut), seule une règle qui nomme explicitement l'hôte est prise en compte — la règle générique ne l'est pas.

Les règles sont évaluées de haut en bas, et la première règle correspondante est appliquée. Ajoutez la règle pour votre hôte de stockage WOPI au-dessus de la règle générique *.

Requêtes réseau

L'onglet Network Requests (Requêtes réseau) détermine quels appelants peuvent atteindre ce serveur et comment les connexions sortantes sont filtrées.

Les options suivantes sont disponibles :

• Use IP filtering for requests (Utiliser le filtrage IP pour les requêtes). Appliquer les règles IP aux requêtes entrantes. Lorsque cette option est désactivée, les adresses des clients ne sont pas vérifiées ; les destinations WOPI sortantes restent autorisées selon les mêmes règles.
• Allow Private IP Addresses (Autoriser les adresses IP privées). Autoriser les requêtes sortantes vers les plages privées et l'adresse de bouclage. Cela ne rend pas un hôte WOPI fiable.
• Allow Meta IP Addresses (Autoriser les adresses IP méta). Autoriser les requêtes sortantes vers 0.0.0.0 et ::. Les adresses de métadonnées cloud et les adresses lien-local restent bloquées pour WOPI.

Paramètres WOPI

La page WOPI Settings (Paramètres WOPI) vous permet de configurer la prise en charge de WOPI pour l'édition des documents, y compris les hôtes WOPI de confiance, les paramètres de compatibilité pour les intégrations SharePoint, le comportement de verrouillage des documents et la gestion des clés de chiffrement.

Utilisez le commutateur WOPI en haut de la page pour activer ou désactiver complètement la prise en charge de WOPI.

Hôtes WOPI de confiance

Cette section vous permet de décider quels hôtes de stockage de documents ce serveur est autorisé à contacter. La liste des hôtes de confiance est gérée sur la page IP Filtering (Filtrage IP), et non sur la page WOPI Settings (Paramètres WOPI).

L'option Require trusted WOPI hosts (Exiger des hôtes WOPI de confiance) détermine si la règle générique * de la page IP Filtering suffit pour faire confiance à un hôte. Lorsqu'elle est activée (par défaut), seule une règle qui nomme explicitement l'hôte est prise en compte — la règle générique ne l'est pas. Les règles de filtrage IP sont toujours utilisées pour les destinations WOPI ; cette option ne désactive pas ce filtrage.

Si aucun hôte WOPI de confiance n'est configuré, un avertissement s'affiche et les documents ne peuvent pas être ouverts tant que vous n'avez pas ajouté une règle qui nomme votre hôte de stockage.

Pour ajouter un hôte WOPI à la liste d'autorisation :

1. Sur la page WOPI Settings, ouvrez la section Trusted WOPI Hosts (Hôtes WOPI de confiance). Dans le message d'avertissement, cliquez sur le lien IP Filtering.
2. Sur la page IP Filtering, ajoutez une règle qui nomme votre hôte de stockage WOPI. Une fois la règle enregistrée, cet hôte devient fiable pour WOPI.

remarque

Lorsque l'option Require trusted WOPI hosts est activée, la règle générique * dans IP Filtering ne rend pas un hôte fiable. Ajoutez une règle qui nomme explicitement l'hôte de stockage.

Compatibilité

Cette section configure les paramètres de découverte WOPI et de compatibilité des requêtes pour SharePoint et les autres intégrations de stockage compatibles avec WOPI.

WOPI Zone (Zone WOPI)

Indique la zone de découverte annoncée par ONLYOFFICE Docs. Cette valeur doit correspondre à la zone configurée côté SharePoint avec la commande PowerShell Set-SPWOPIZone. Valeurs disponibles :

• external-https
• external-http (par défaut)
• internal-https
• internal-http

Pour vérifier la zone actuellement configurée côté SharePoint, utilisez la commande PowerShell suivante :

Get-SPWOPIZone

Pour modifier la zone côté SharePoint, utilisez la commande PowerShell suivante :

Set-SPWOPIZone -Zone "external-http"

Send Authorization Header (Envoyer l'en-tête Authorization)

Lorsque cette option est activée, l'en-tête Authorization: Bearer <access_token> est ajouté aux requêtes WOPI. Il est facultatif selon la spécification WOPI, mais requis pour certaines configurations SharePoint :

• SharePoint Subscription Edition : cette option doit être activée. Sans l'en-tête Authorization, une erreur Invalid access token se produit et l'édition du document échoue.
• SharePoint 2019 : cette option est facultative. La connexion fonctionne avec le jeton transmis dans l'URI, mais l'activation de l'en-tête ne pose aucun problème.

Cela correspond au paramètre de configuration wopi.sendAuthorizationHeader (false par défaut).

Paramètres de verrouillage

Cette section configure l'intervalle d'actualisation du verrouillage des documents pour les sessions WOPI.

Refresh Lock Interval (Intervalle d'actualisation du verrouillage)

Indique la fréquence d'actualisation des verrous des documents. Utilisez le format <number><unit>, où l'unité est s (secondes), m (minutes) ou h (heures). Exemples : 10m, 1h, 30s. La valeur par défaut est 10m.

Gestion des clés

Cette section vous permet d'effectuer la rotation des clés de chiffrement WOPI. Le champ Current Public Key (Clé publique actuelle) affiche la clé publique active utilisée pour l'authentification des requêtes WOPI.

Pour effectuer la rotation des clés, cochez la case Rotate Keys (Rotation des clés) et cliquez sur Save Changes (Enregistrer les modifications). Les clés actuelles seront déplacées vers « Old » (Anciennes) et de nouvelles clés seront générées.

remarque

N'effectuez pas la rotation des clés plus d'une fois toutes les 24 heures. Le stockage risque de ne pas s'actualiser à temps, ce qui peut entraîner des échecs d'authentification.