Utiliser le panneau d'administration ONLYOFFICE Docs

Aperçu

À partir de la version 9.1, le Panneau d'administration ONLYOFFICE fournit une interface web sécurisée pour gérer et surveiller le serveur. Ce guide vous expliquera comment configurer et utiliser le système d'authentification.

Configuration initiale

Par défaut, le Panneau d'administration est désactivé. Veuillez suivre les instructions sur http://example.com/welcome pour démarrer celui-ci.

example.com est le nom du serveur sur lequel ONLYOFFICE Docs est installé.

Premier démarrage

Lors du premier démarrage du Panneau d'administration, il vous faut déployer une configuration initiale.

1. Démarrer le serveur du Panneau d'administration

   • Le serveur détecte automatiquement qu'aucun mot de passe d'administrateur n'est configuré.
   • Un code d'amorçage sera généré et affiché dans les journaux du serveur.

2. Rechercher le code d'amorçage

   Recherchez le message suivant dans les journaux du serveur:

   AdminPanel SETUP REQUIRED | Bootstrap code: ELAA8ZOCRUTX | Expires: 2025-10-01T20:50:00.000Z | Open: http://example.com/admin

   Le code d'amorçage est un code court comportant 12 caractères (lettres et chiffres).

   Le code n'est valable que pendant 1 heure.

3. Accéder à l'interface web du Panneau d'administration

   Passez à http://example.com/admin — la page de configuration s'affichera.

   

4. Terminer la configuration

   • Saisissez le code d'amorçage que vous avez trouvé dans les journaux du serveur.
   • Créez votre mot de passe d'administrateur.
   • Cliquez sur Setup (Installer).
   • Vous serez automatiquement connecté.
   

Consignes de sécurité

• Le code d'amorçage réside uniquement dans la mémoire ne s'affiche qu'une fois dans les journaux.
• Le code n'est valable que jusqu'à la création d'un mot de passe (vérifié via passwordHash dans runtime.json).
• Après l'installation tous les codes d'amorçage ne sont pas valables sur l'ensemble des nœuds.
• Les codes dans clusters fonctionnent sur tous les nœuds partageant le même ADMINPANEL_BOOTSTRAP_SECRET.
• Les mots de passe sont hachés pour être stockés en toute sécurité.

Connexion habituelle

Une fois la configuration initiale términée:

1. Passez à http://example.com/admin.
2. Saisissez votre mot de passe d'administrateur.
3. Cliquez sur Login (Se connecter).
   
4. Votre session n'est valable que pendant 1 heure.

Détails de la session

• Les cookies HTTP uniquement sont utilisés pour gérer les sessions.
• La durée de vie des cookies expire après 1 heure d'inactivité.
• La méthode de protection SameSite=Strict est utilisée contre les attaques CSRF.

Modifier votre mot de passe

Pour modifier votre mot de passe d'administrateur:

1. Connectez-vous au Panneau d'administration.
2. Passez à la page Change Password (Modifier le mot de passe).
3. Saisissez votre mot de passe actuel.
4. Saisissez votre nouveau mot de passe.
5. Validez la modification.
6. Votre session reste active après la modification du mot de passe.

Détails de hachage du mot de passe

• Algorithme: PBKDF2-SHA256 (600,000 iterations, OWASP 2023).
• Multiplateforme: Il est possible de créer un hash en Python ou Node.js.

Utilisez les services externes pour hacher le mot de passe.

OpenSSL 3.0+ (recommandé - format MCF):

PASSWORD="YourPassword"; I=600000; S=$(openssl rand -base64 16 | tr -d '\n'); H=$(openssl kdf -binary -keylen 32 -kdfopt digest:SHA256 -kdfopt pass:UTF8:"$PASSWORD" -kdfopt salt:base64:"$S" -kdfopt iter:$I PBKDF2 | base64 | tr -d '\n'); echo "\$pbkdf2-sha256\$$I\$$S\$$H"

Node.js:

node -e "const crypto=require('crypto');const p=process.argv[1];const s=crypto.randomBytes(16);const sb=s.toString('base64').replace(/\+/g,'.').replace(/=/g,'');crypto.pbkdf2(p,s,600000,32,'sha256',(e,k)=>{const h=k.toString('base64').replace(/\+/g,'.').replace(/=/g,'');console.log('\$pbkdf2-sha256\$600000\$'+sb+'\$'+h)})" "YourPassword"

Vérifiez la version OpenSSL:

openssl version # OpenSSL 3.0.0 or newer - ✅ Use openssl kdf command # OpenSSL 1.x - ✅ Use openssl keyutl command

Ajoutez le hach résultant au fichier runtime.json:

{ "adminPanel": { "passwordHash": "$pbkdf2-sha256$600000$..." } }

Réinitialisation / Récupération du mot de passe

Si vous oubliez votre mot de passe, supprimez l'entrée passwordHash dans runtime.json:

{ "adminPanel": { } }

Un nouveau code d'amorçage sera généré. Répétez la procédure de configuration initiale.

Dépannage

Le code d'amorçage introuvable

Problème Le serveur est démarré mais le code d'amorçage n'est pas visible.

Solution:

• Vérifiez les journaux du serveur et recherchez les messages "Bootstrap code".
• Une fois le code expiré, actualisez la page du Panneau d'administration pour générer le nouveau code.