Aller au contenu principal

Guide de sécurité de l'espace de travail ONLYOFFICE

Introduction​

ONLYOFFICE propose un ensemble d'outils de sécurité pour sécuriser vos données et garantir une collaboration en ligne sécurisée. Ce guide décrit toutes les fonctionnalités permettant d'améliorer la sécurité de votre espace de travail.

En outre, vous pouvez découvrir les technologies, principes et services de sécurité communs pour sécuriser au maximum votre serveur.

Aperçu général de la sécurité de l'espace de travail​

Certaines fonctionnalités de l'espace de travail sont les standards internationaux reconnus en cybersécurité: HTTPS, sauvegarde des données, propre serveur SMTP, LDAP.

Protocole HTTPS sécurisé​

ONLYOFFICE vous permet de chiffrer votre trafic à l'aide du protocole HTTPS. Vous pouvez facilement créer un certificat signé par l'autorité de certification sur letsencrypt.org et faire passer votre espace de travail en HTTPS en une seule commande ou utiliser vos propres certificats.

Veuillez consulter les instructions appropriées pour Docker, Linux, Windows.

Sauvegardes régulières des données​

Vous pouvez sauvegarder vos données manuellement ou automatiquement pour éviter la perte de données. Les fonctionnalités Sauvegarde et Restauration sont disponibles dans des sections distinctes des paramètres de l'espace de travail.

Pour en savoir plus sur les options de sauvegarde et restauration, veuillez consulter cet article.

Serveur SMTP propre​

Dans ONLYOFFICE Apps, le serveur ONLYOFFICE SMTP est le serveur par défaut pour envoyer les notifications aux utilisateurs. Pour une sécurité accrue, nous vous recommandons d'utiliser votre propre serveur SMTP afin que vos messages ne passent pas via les services tiers.

Pour en savoir plus sur la configuration du serveur SMTP, veuillez consulter cet article.

LDAP pour d'accès centralisé​

Vous pouvez importer facilement les utilisateurs et les groupes depuis le serveur LDAP (par ex. OpenLDAP Server ou Microsoft Active Directory) vers votre espace de travail. Tous les nouveaux utilisateurs n'ont pas besoin de retenir les nouveaux mots de passe et identifiants, car il est possible de se connecter à l'espace de travail en utilisant les informations d'identification stockés sur le serveur LDAP.

Pour en savoir plus, veuillez consulter cet article.

Accès sécurisé​

La section Sécurité des paramètres de l'espace de travail permet de contrôler l'accès à votre espace de travail et l'activité des utilisateurs.

Robustesse de mot de passe​

Les mots de passe robustes peuvent vous aider à prévenir tout l'accès non autorisé. Dans votre espace de travail, vous pouvez définir les exigences de la longueur du mot de passe et les symboles qui doivent être utilisés dans le mot de passe: majuscules, chiffres et symboles spéciaux.

En savoir plus sur la configuration de la robustesse du mot de passe.

Authentification à deux facteurs​

L'authentification à deux facteurs assure un accès plus sécurisé à l'espace de travail. Une fois l'authentification à deux facteurs activée, pour accéder aux données stockées dans l'espace de travail l'utilisateur peut saisir son e-mail et mot de passe ou se connectant via un réseau social et saisir un code de vérification généré par l'application d'authentification.

Pour en savoir plus sur l'authentification à deux facteurs, veuillez consulter cet article.

Autres paramètres d'accès​

  • Indiquez les domaines de messagerie autorisés que les utilisateurs pourront utiliser pendant l'auto-enregistrement dans votre espace de travail. En savoir plus.
  • La section Sécurité IP vous permet de limiter l'accès à votre espace de travail basé sur les adresses IP en autorisant l'accès à partir de réseaux de confiance uniquement. En savoir plus.
  • Protégez votre espace de travail contre les attaques par force brute en limitant les tentatives de connexion échouées de l'utilisateur. En savoir plus.
  • Utilisez la section Durée de vie de la session pour définir le moment avant lequel les utilisateurs devront saisir à nouveau leurs informations d'identification pour accéder à l'espace de travail. En savoir plus.
  • Recevez des notifications en cas de connexions suspectes. Chaque connexion réussie est comparée à l'historique de connexion précédent de l'utilisateur selon trois critères : un nouvel appareil (la paire navigateur et système d'exploitation), un nouveau pays et le nombre de tentatives de connexion échouées. Si au moins deux des trois critères sont remplis, l'utilisateur reçoit un e-mail de notification.
  • Limitez l'accès à la section Outils de développement afin que seuls le propriétaire et les administrateurs de l'espace de travail puissent créer des webhooks, des applications OAuth et des clés API. En savoir plus.
  • Vous pouvez également vous déconnecter de toutes sessions actives sur un appareil à l'aide de l'option appropriée dans votre profil. En savoir plus.

Surveillance des connexions et de l'activité​

Surveillez les activités de connexion récentes des utilisateurs y compris les connexions réussites et les tentatives échouées sous la rubrique Historique des connexions de la section Paramètres. La rubrique Piste d'audit vous permet de parcourir la liste des dernières modifications (création, modification, suppression etc.) apportées par des utilisateurs aux fichiers et dossiers de votre espace de travail. En savoir plus.

Les événements d'audit et l'historique des connexions peuvent également être transmis à un serveur syslog externe, ce qui vous permet d'intégrer l'espace de travail aux systèmes SIEM et de surveiller son activité avec les événements de vos autres services.

Stockage sécurisé​

Lors de la création des liens externes vers des salles publiques, des salles personnalisées ou des espaces de formulaires, vous pouvez les protéger avec un mot de passe. Pour la salle publique ou la salle personnalisée partagée par un lien, vous pouvez également activer l'option Restreindre la copie du contenu des fichiers, le téléchargement et l'impression des fichiers pour désactiver les téléchargements de fichiers et de dossiers. Vous pouvez limiter la durée de la validité des liens supplémentaires.

En savoir plus sur des liens externes.

Salles de données virtuelles pour des données sensibles​

Les salles de données virtuelles proposent une sécurité avancée de stockage et de partage des informations commerciales confidentielles. Les options de sécurité suivantes pour travailler sur des données sont disponibles dans une Salle de données virtuelle: la durée de vie des fichiers, l'interdiction de copier et de télécharger des fichiers, des filigranes.

  • Durée de vie des fichiers - Définissez la durée de vie des fichiers pour supprimer automatiquement les fichiers de cette salle à l'expiration d'un délai défini.
  • Restreindre la copie et le téléchargement - Activez ce paramètre pour désactiver les téléchargements et la copie du contenu pour les utilisateurs ayant le rôle de Lecteur.
  • Ajouter des filigranes aux documents - Protégez tous les documents de cette salle par des filigranes.

En savoir plus sur les Salles de données virtuelles.

Chiffrement​

La fonctionnalité Chiffrement de données au repos proposé par ONLYOFFICE Apps permet de garantir la sécurité des données sensibles dans votre espace de travail.

Le chiffrement est basé sur la paradigme Encrypt-then-MAC (AES-256-CBC + HMAC-SHA256) qui est mis en place pour tout l'ensemble de données. Ce chiffrement est conforme aux normes internationales de protection des données AES-256.

En savoir plus sur la fonctionnalité Chiffrement de données au repos.

Gestion des permissions​

Vous pouvez définir les niveaux d'accès qui contrôlent les d'actions qu'un utilisateur peut exécuter sur des fichiers disponibles dans une salle. Par exemple, un utilisateur avec le rôle Lecteur peut uniquement afficher des documents, un utilisateur avec le rôle Éditeur peut effectuer toutes les opérations d'édition dans des fichiers existants, un utilisateur avec le rôle Créateur de contenu peut créer et télécharger de nouveaux fichiers et dossiers. En savoir plus.

Travail sécurisé sur des documents​

Lors de la collaboration sur des documents, utilisez les fonctionnalités de sécurité pour limiter l'accès ou les possibilités d'édition d'autres utilisateurs et pour empêcher toute modification indésirable des données.

Versions des documents​

Afficher l'historique des versions pour savoir exactement quelles modifications ont été apportés. Restaurez l'une des versions précédentes de votre document, le cas échéant. En savoir plus.

Protection des documents avec un mot de passe​

Protégez des documents avec un mot de passe pour empêcher une personne d'accéder à vos fichiers sans un mot de passe. En savoir plus.

Protection des classeurs, des feuilles de calcul et des plages de données​

Lors du travail sur un classeur, vous pouvez protéger le classeur entier, certaines feuilles de calcul ou les plages de cellules et masquer des formules ou des objets. En savoir plus.

Protection JWT​

Afin de protéger des documents contre un accès non autorisé, les éditeurs ONLYOFFICE utilisent le jeton JSON (JWT). Le jeton est ajouté à la configuration lorsque l'éditeur de documents est initialisé et l'échange de commandes entre les services internes de ONLYOFFICE Docs est effectué. La clé secrète est utilisée pour signer et valider le jeton JSON sur la demande à la connexion à ONLYOFFICE Docs.

Principes fondamentaux de sécurité​

Vous pouvez également songer à utiliser certains principes fondamentaux de sécurité des serveurs ainsi que des services et des outils externes qui ne sont pas liés aux produits ONLYOFFICE. Vous trouverez ci-dessous des exemples et des conseils qui peuvent s'avérer utiles.

Désactiver l'accès racine​

Pour éviter les fuites de données, il est préférable d'interdire la connexion en tant qu'utilisateur racine puisque un utilisateur racine a l'accès complet aux données système. Pour refuser l'accès racine, utilisez le terminal de votre serveur et définissez la permission d'accès racine No (Non).

Fermer tous les ports inutiles​

Il faut ouvrir uniquement les ports dont vous avez besoin pour un bon fonctionnement de l'espace de travail puisque les ports ouverts peuvent provoquer les fuites de données. Utilisez netstat pour afficher les ports en écoute et le logiciel associé.

Configuration de pare-feu​

Un pare-feu surveille le trafic et utilise un ensemble prédéfini de règles pour décider d'autoriser ou de bloquer le trafic entrant et sortant. Dans Linux, le pare-feu est intégré au noyau (netfilter), mais il vous faut installer un outil de gestion, par exemple, UFW sous Debian ou firewalld sous RHEL.

Principe du moindre privilège​

Accordez à un utilisateur les permissions d'accès minimum requis pour accomplir sa tâche spécifique afin d'empêcher l'accès aux données sensibles si un utilisateur n'a pas besoin de les accéder.

Accès distant via SSH​

Lors de l'administration d'un serveur distant, utilisez le protocole sécurisé SSH. Bien que ce protocole soit fiable, vous pouvez renforcer la protection en remplaçant le mot de passe par les clés SSH.

Fail2ban pour sécuriser votre connexion​

Il est possible d'utiliser Fail2ban pour protéger votre serveur contre les attaques par force brute. Ce logiciel surveille les fichiers journaux (logs) de votre serveur et bloque les connexion s'il y a trop de tentatives échouées.

Activation de SELinux ou App Armor​

Activez les modules de sécurité qui protègent votre serveur contre les programmes malveillants ou non sécurisés. Sur les systèmes basés sur RHEL, on utilise SELinux. Sur les systèmes basés sur Debian, vous pouvez utiliser AppArmor.