Guia de segurança do DocSpace

Introdução

O ONLYOFFICE oferece uma ampla gama de ferramentas de segurança para manter seus dados seguros e garantir uma colaboração online segura. Este guia descreve todos os recursos que permitem aumentar o nível de segurança do seu DocSpace.

Além disso, você pode explorar algumas tecnologias de segurança comuns, princípios e certos serviços para garantir a máxima segurança do seu servidor.

Segurança geral do DocSpace

Alguns recursos do DocSpace são reconhecidos como padrões da indústria no campo da segurança: HTTPS, backup, servidor SMTP próprio, LDAP.

Protocolo HTTPS seguro

O ONLYOFFICE permite criptografar seu tráfego usando o protocolo HTTPS. Você pode facilmente criar um certificado assinado por CA em letsencrypt.org e mudar seu DocSpace para HTTPS com um único comando ou aplicar seus próprios certificados.

Leia as instruções correspondentes para Docker, Linux, Windows.

Backups regulares

Você pode fazer backup dos seus dados tanto manualmente quanto automaticamente para evitar perda de dados. Os recursos de Backup/Restaurar estão disponíveis nas Configurações do DocSpace.

Para saber mais sobre as opções de backup e restauração, por favor leia este artigo.

Servidor SMTP próprio

No ONLYOFFICE DocSpace, o servidor padrão para notificação de usuários é o servidor SMTP do ONLYOFFICE. Para maior segurança, recomendamos usar seu próprio servidor SMTP, para que suas mensagens não passem por serviços de terceiros.

Para saber mais sobre como configurar o Servidor SMTP, por favor leia este artigo.

LDAP para centralização de acesso

Você pode facilmente importar os usuários e grupos necessários do seu servidor LDAP (por exemplo, OpenLDAP Server ou Microsoft Active Directory) para o seu DocSpace.  Os usuários recém-criados, por sua vez, não precisam memorizar novas senhas e logins porque eles entrarão no DocSpace usando suas credenciais armazenadas no seu Servidor LDAP.

Para mais detalhes, por favor leia este artigo.

Acesso seguro

A seção Segurança das Configurações do DocSpace permite controlar o acesso ao seu DocSpace e monitorar a atividade de todos os usuários.

Força da senha

Senhas fortes podem ajudar a prevenir o acesso não autorizado aos seus dados. No DocSpace, você pode definir requisitos para o comprimento da senha e determinar o conjunto de caracteres que deve ser usado na senha: letras maiúsculas, números, caracteres especiais.

Saiba mais sobre as configurações de força da senha.

Autenticação de dois fatores

A autenticação de dois fatores garante um acesso mais seguro ao DocSpace. Quando a autenticação de dois fatores está habilitada, um usuário pode acessar os dados do DocSpace após inserir seu e-mail e senha regulares ou fazer login via uma conta de mídia social e digitar um código gerado pelo aplicativo autenticador.

Para saber mais sobre como usar a autenticação de dois fatores, leia o seguinte artigo.

Outras configurações de acesso

• Especifique os domínios de e-mail confiáveis que podem ser usados para auto-registro de usuários no seu DocSpace. Saiba mais.
• As configurações de segurança de IP permitem restringir o acesso ao seu DocSpace com base nos endereços IP, permitindo acesso ao DocSpace apenas de redes confiáveis. Saiba mais.
• Proteja seu DocSpace contra ataques de força bruta configurando o limite de tentativas de login sem sucesso pelo usuário. Saiba mais.
• Use o recurso Tempo de Vida da Sessão para definir um limite de tempo durante o qual os usuários do DocSpace precisarão inserir novamente suas credenciais do DocSpace para acessar o DocSpace. Saiba mais.
• Você também pode sair manualmente de todas as sessões ativas em qualquer dispositivo usando o recurso correspondente no seu perfil. Saiba mais.

Monitoramento de login e ações

Acompanhe facilmente a atividade de login dos usuários, incluindo logins bem-sucedidos e tentativas falhas, usando a seção Histórico de Login das Configurações. A seção Trilha de Auditoria permite que você navegue pela lista das últimas alterações (criação, modificação, exclusão etc.) feitas pelos usuários nos arquivos e pastas do seu DocSpace. Saiba mais.

Armazenamento seguro

Senha para links externos

Ao criar links externos para salas públicas, personalizadas ou de preenchimento de formulários, você pode protegê-los com uma senha. Para a sala pública ou personalizada compartilhada via link, você também pode habilitar a opção Restringir cópia de conteúdo de arquivo, download de arquivo e impressão para desativar downloads de arquivos e pastas. Links adicionais podem ser limitados por período de tempo.

Saiba mais sobre links externos.

Salas de Dados Virtuais para dados sensíveis

As Salas de Dados Virtuais fornecem segurança avançada de arquivos para armazenamento e compartilhamento de informações confidenciais de negócios. Os seguintes recursos de segurança para trabalhar com dados estão disponíveis em uma Sala de Dados Virtual: definir o tempo de vida dos arquivos, proibição de cópia e download de arquivos, configuração de marcas d'água.

• Tempo de vida do arquivo - Defina o tempo de vida do arquivo para excluir automaticamente os arquivos nesta sala após um período definido.
• Restringir cópia e download - Ative esta configuração para desativar downloads e cópia de conteúdo para usuários com o papel de "Visualizador".
• Adicionar marcas d'água aos documentos - Proteja todos os documentos nesta sala com marcas d'água.

Saiba mais sobre Salas de Dados Virtuais.

Criptografia

O recurso Criptografar dados em repouso fornecido pelo DocSpace permite garantir a segurança dos dados sensíveis no seu DocSpace.

A criptografia é baseada no tipo de criptografia Encrypt-then-MAC (AES-256-CBC + HMAC-SHA256) de todo o corpo de dados. É compatível com o padrão internacional de criptografia de dados AES-256.

Saiba mais sobre o recurso Criptografar dados em repouso.

Gerenciamento de permissões

Você pode atribuir diferentes níveis de permissão que definem quais ações com arquivos estão disponíveis para o usuário dentro de uma sala. Por exemplo, visualizadores podem apenas visualizar documentos, editores podem realizar todas as operações de edição com os arquivos existentes, criadores de conteúdo podem criar e fazer upload de novos arquivos e pastas. Saiba mais.

Trabalho seguro com documentos

Ao coeditar documentos, aplique uma série de recursos de segurança para restringir o acesso ou as habilidades de edição para outros usuários e para prevenir alterações indesejadas nos dados.

Versões de documentos

Veja o histórico de versões para saber exatamente quais alterações foram feitas. Restaure uma das versões anteriores do documento, se necessário. Saiba mais.

Proteção de senha de documentos

Proteja documentos com senhas para garantir que ninguém possa acessar seus arquivos sem receber uma senha de você. Saiba mais.

Proteger livros de trabalho, planilhas, intervalos

Ao trabalhar com planilhas, você pode proteger todo o livro de trabalho, certas planilhas ou intervalos de células, bem como ocultar fórmulas ou objetos. Saiba mais.

Proteção JWT

Para proteger documentos contra acesso não autorizado, os editores do ONLYOFFICE usam o JSON Web Token (JWT). O token é adicionado na configuração quando o editor de documentos é inicializado e durante a troca de comandos entre os serviços internos ONLYOFFICE Docs. A chave secreta é usada para assinar o token web JSON e validar o token mediante solicitação aos ONLYOFFICE Docs.

Princípios básicos de segurança

Você também pode considerar o uso de alguns princípios gerais de segurança de servidor, bem como serviços e ferramentas de terceiros não relacionados aos produtos ONLYOFFICE. Abaixo, você pode ver alguns exemplos comuns e dicas que podem ser úteis.

Desabilitar acesso root

Para evitar vazamentos de dados, é melhor desabilitar o login como root, pois o usuário root tem acesso total a todos os dados do sistema. Isso pode ser feito via terminal do servidor, configurando a permissão de login root para Não.

Fechar todas as portas desnecessárias

Você deve manter abertas apenas as portas necessárias para o funcionamento do portal, pois portas abertas extras podem ser a causa de vazamentos de dados. Use a utilidade netstat para visualizar todas as portas abertas e seus softwares associados.

Configurar um firewall

Um firewall permite ou bloqueia o tráfego de rede de entrada e saída com base em um conjunto de regras predefinidas. No Linux, o firewall é parte do kernel (netfilter), mas você precisa instalar uma utilidade para gerenciá-lo, por exemplo, UFW para Debian ou firewalld para RHEL.

Seguir o princípio do menor privilégio

Atribua apenas as permissões que são minimamente necessárias para realizar tarefas específicas, evitando que os usuários acessem áreas sensíveis que não precisam.

Usando SSH para administração remota do sistema operacional

Ao administrar o servidor remotamente, use o protocolo seguro SSH. Embora este protocolo seja confiável, você pode fortalecer ainda mais a proteção usando chaves SSH em vez de uma senha.

Usando Fail2ban para proteger seu login

Fail2ban pode ser usado para proteger seu servidor contra ataques de força bruta. Ele monitora arquivos de log e bloqueia conexões se houver muitas tentativas de login falhas.

Habilitando SELinux ou App Armor

Habilite módulos de segurança que protegem seu servidor contra programas mal configurados ou comprometidos. Em sistemas baseados em RHEL, é utilizado o SELinux. Em sistemas baseados em Debian, você pode usar o AppArmor.