Pular para o conteúdo principal

Painel de Controle do ONLYOFFICE Docs

Visão geral​

A partir da versão 9.1, o ONLYOFFICE Admin Panel fornece uma interface web segura para gerenciar a configuração e o monitoramento do servidor. Este guia explica como configurar e utilizar o sistema de autenticação.

Configuração inicial​

Por padrão, o Admin Panel vem desativado. Siga as instruções contidas na página http://example.com/welcome para iniciá-lo.

O termo example.com representa o nome do servidor onde o ONLYOFFICE Docs está instalado.

Instalação pela primeira vez​

Quando você inicia o Admin Panel pela primeira vez, é necessária uma configuração inicial:

  1. Abra a interface web do Admin Panel.

    Na página http://example.com/welcome, clique em Admin Panel. Na caixa de diálogo exibida, clique em Open Admin Panel.

  2. Crie o primeiro administrador.

    O servidor detecta automaticamente que nenhuma senha de administrador foi definida. Uma página é aberta com os comandos para criar o primeiro administrador. O primeiro administrador só pode ser criado a partir do host.

    Admin Panel - Criar o primeiro administrador

    Use o comando que corresponde à sua instalação:

    Linux:

    sudo documentserver-admin create-admin

    Docker:

    docker exec -it <container> documentserver-admin create-admin

    Substitua <container> pelo ID ou nome do contêiner. Para encontrá-lo, execute docker ps.

    Kubernetes:

    kubectl exec -it <pod> -- documentserver-admin create-admin

    Substitua <pod> pelo nome do pod. Para encontrá-lo, execute kubectl get pods.

    Windows:

    "%ProgramFiles%\ONLYOFFICE\DocumentServer\bin\documentserver-admin.bat" create-admin

    Siga as instruções da linha de comando para definir a senha de administrador.

  3. Recarregue a página e faça login.

    Recarregue a página do Admin Panel, insira a senha que você criou e clique em Login.

    Painel do Admin Panel após configuração bem-sucedida

    O arquivo runtime.json será criado e armazenará as configurações modificadas no Admin Panel. Ele tem precedência sobre os outros arquivos de configuração, como local.json, default.json, production.json etc.

    O arquivo runtime.json fica localizado em:

    • Para Linux - /var/www/onlyoffice/Data/runtime.json

    • Para Docker - /var/www/onlyoffice/Data/runtime.json (acesse primeiro o contêiner do ONLYOFFICE Docs executando o comando docker exec -it <containerid> bash)

    • Para Windows - %ProgramData%/ONLYOFFICE/Data/runtime.json

      Por padrão, a pasta ProgramData é oculta no Windows Server; ative a exibição de itens ocultos nas opções do Explorador de Arquivos para vê-la.

Notas de segurança​

  • O primeiro administrador só pode ser criado a partir do host usando documentserver-admin create-admin.
  • A senha de administrador é armazenada como passwordHash no arquivo runtime.json.
  • Nenhuma senha é transmitida ou registrada — apenas hashes criptográficos seguros são armazenados.

Login regular​

Após concluir a configuração inicial:

  1. Acesse http://example.com/admin.

  2. Insira sua senha de administrador.

  3. Clique em Login.

    Página de login regular do Admin Panel

  4. Sua sessão é válida por 1 hora.

Detalhes da sessão​

  • As sessões utilizam cookies seguros HTTP-only.
  • Elas expiram automaticamente após 1 hora de inatividade.
  • A proteção SameSite=Strict é aplicada contra ataques CSRF.

Alterando sua senha​

Para alterar sua senha de administrador:

  1. Faça login no Admin Panel.
  2. Acesse a página Alterar senha.
  3. Insira sua senha atual.
  4. Insira sua nova senha.
  5. Confirme a nova senha.
  6. Clique em Salvar alterações.

Admin Panel - Página Alterar senha

Sua sessão permanece ativa após a alteração da senha.

Detalhes do hash criptográfico​

  • Algoritmo: PBKDF2-SHA256 (600.000 iterações, OWASP 2023).
  • Portabilidade: O hash pode ser gerado via Python ou Node.js.

Gerar hash de senha externamente​

OpenSSL 3.0+ (recomendado - formato MCF):

PASSWORD="YourPassword"; I=600000; S=$(openssl rand -base64 16 | tr -d '\n'); H=$(openssl kdf -binary -keylen 32 -kdfopt digest:SHA256 -kdfopt pass:UTF8:"$PASSWORD" -kdfopt salt:base64:"$S" -kdfopt iter:$I PBKDF2 | base64 | tr -d '\n'); echo "\$pbkdf2-sha256\$$I\$$S\$$H"

Node.js:

node -e "const crypto=require('crypto');const p=process.argv[1];const s=crypto.randomBytes(16);const sb=s.toString('base64').replace(/\+/g,'.').replace(/=/g,'');crypto.pbkdf2(p,s,600000,32,'sha256',(e,k)=>{const h=k.toString('base64').replace(/\+/g,'.').replace(/=/g,'');console.log('\$pbkdf2-sha256\$600000\$'+sb+'\$'+h)})" "YourPassword"

Verificar a versão do OpenSSL:

openssl version
# OpenSSL 3.0.0 or newer - ✓ Use openssl kdf command
# OpenSSL 1.x - ✓ Use openssl keyutl command

Insira o hash resultante no arquivo runtime.json:

{
  "adminPanel": {
    "passwordHash": "$pbkdf2-sha256$600000$..."
  }
}

Redefinição e recuperação de senha​

Se você sabe sua senha atual, use a página Alterar senha no Admin Panel.

Se você esquecer sua senha de administrador, execute o seguinte comando no servidor:

Linux:

sudo documentserver-admin reset-admin-password

Docker:

docker exec -it <container> documentserver-admin reset-admin-password

Substitua <container> pelo ID ou nome do contêiner. Para encontrá-lo, execute docker ps.

Kubernetes:

kubectl exec -it <pod> -- documentserver-admin reset-admin-password

Substitua <pod> pelo nome do pod. Para encontrá-lo, execute kubectl get pods.

Windows:

"%ProgramFiles%\ONLYOFFICE\DocumentServer\bin\documentserver-admin.bat" reset-admin-password

Siga as instruções da linha de comando para definir uma nova senha de administrador.

Solução de problemas​

O Admin Panel ainda não está configurado​

Problema: A página do Admin Panel continua mostrando que não existe nenhuma conta de administrador.

Soluções:

  • Crie o primeiro administrador a partir do host com documentserver-admin create-admin.
  • No Docker, execute o comando dentro do contêiner do ONLYOFFICE Docs: docker exec -it <container> documentserver-admin create-admin. Substitua <container> pelo ID ou nome do contêiner exibido por docker ps.
  • Após a conclusão da linha de comando, recarregue a página do Admin Panel e faça login com a senha que você criou.

Configurações​

A página Configurações do ONLYOFFICE Admin Panel oferece um conjunto de ferramentas para monitorar a configuração do servidor, gerenciar certificados, fontes personalizadas etc. Abaixo está uma breve descrição dos recursos desta seção.

Admin Panel - Página de Configurações

Configuração​

Usando esta aba, você pode:

  • Visualizar a configuração do servidor. A configuração final é exibida aqui com todos os parâmetros redefinidos em todos os arquivos de configuração. Parâmetros sensíveis (senhas, chaves, segredos) são exibidos como REDACTED.
  • Copiar o conteúdo do arquivo de configuração.
  • Redefinir todas as configurações para os valores padrão. Esta ação não pode ser desfeita.

Licença​

Usando esta aba, você pode carregar a licença do produto e visualizar as informações da licença:

  • Compilação: tipo (Enterprise Edition, Developer Edition), modo (trial, produção), data de lançamento.
  • Licença: data de início, data até a qual a licença é válida.
  • Limite de conexões para os editores e o visualizador em tempo real.

Clique no botão Comprar agora para adquirir uma licença. Você será redirecionado para a página correspondente do site oficial do ONLYOFFICE.

Para carregar a licença:

  1. Clique no botão Procurar para selecionar o arquivo de licença.
  2. Clique no botão Aplicar Licença.

Assinatura de PDF​

Usando esta aba, você pode adicionar um certificado PKCS#12 (.p12/.pfx) para assinar os formulários PDF enviados. Os formulários PDF preenchidos serão assinados ao serem enviados com o botão Concluir e Enviar.

Para criar um certificado .p12/.pfx a partir de arquivos existentes (uma chave privada e um certificado .crt / .pem), você pode usar o openssl na linha de comando:

openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt

Para criar um certificado do zero:

  1. Gere uma chave privada:

    openssl genrsa -out privatekey.key 2048

  2. Crie uma solicitação de assinatura de certificado (CSR):

    openssl req -new -key privatekey.key -out request.csr

  3. Gere um certificado autoassinado:

    openssl x509 -req -days 365 -in request.csr -signkey privatekey.key -out certificate.crt

  4. Crie o arquivo PKCS#12:

    openssl pkcs12 -export -out certificate.pfx -inkey privatekey.key -in certificate.crt

Depois de obter o certificado .p12/.pfx, você pode carregá-lo no campo 'Arquivo do certificado' do Admin Panel. Se o certificado for protegido por senha, insira a senha no campo 'Senha do certificado'. Em seguida, salve as configurações.

HTTPS / SSL​

Usando esta aba, você pode instalar um novo certificado assinado por uma autoridade de certificação do serviço letsencrypt.org para ativar o protocolo seguro HTTPS.

observação

As portas 80 e 443 devem estar abertas para que os certificados Let's Encrypt sejam gerados com sucesso. Um registro A nas entradas DNS deve apontar o seu nome de domínio para o endereço IP do servidor onde o ONLYOFFICE Docs está instalado.

  1. Insira o seu nome de domínio no campo Domínio.
  2. Insira o seu endereço de e-mail no campo E-mail.
  3. Clique no botão Instalar Certificado.

Fontes​

Usando esta aba, você pode adicionar novas fontes personalizadas:

  1. Clique no botão Procurar para selecionar os arquivos de fontes ou arraste e solte-os aqui.
  2. Clique no botão Gerar.

Gerencie as fontes personalizadas adicionadas:

  • Filtre todas as fontes por nome para encontrar a necessária.
  • Marque a opção 'Mostrar apenas personalizadas' para exibir somente as fontes personalizadas na lista.
  • Marque a opção 'Marcar todas as personalizadas para exclusão' e clique no botão Gerar para remover as fontes personalizadas selecionadas.

Serviços​

Usando esta aba, você pode ativar ou desativar os endpoints da API pública de serviços específicos.

observação

Desativar um serviço rejeita imediatamente as solicitações da API pública com HTTP 403. As integrações que dependem dos endpoints desativados deixarão de funcionar até que o serviço seja reativado.

Admin Panel - Aba Serviços

As seguintes opções estão disponíveis:

  • API pública de conversão. Ativa ou desativa os endpoints de conversão. A desativação pode afetar os conectores que usam o serviço de conversão. As conversões iniciadas pelos editores não são afetadas.
  • API pública do Document Builder. Ativa ou desativa os endpoints de geração de documentos.
  • Recursos de IA. Ativa ou desativa as Ferramentas de IA nos editores e o endpoint /ai-proxy. A desativação remove as Ferramentas de IA da lista de plugins enviada aos editores e rejeita as solicitações para /ai-proxy.

Desligamento​

Usando esta aba, você pode desconectar à força os usuários do ONLYOFFICE Docs para evitar perda de dados quando precisar interromper o ONLYOFFICE Docs por motivos como atualizações do aplicativo ou reinicializações do servidor.

  1. Clique no botão Desligar para bloquear novas conexões aos editores e encerrar as sessões existentes. Ao interromper o servidor desta forma, os usuários serão desconectados corretamente dos editores e suas alterações serão salvas.
  2. Clique no botão Retomar para retornar o servidor ao modo normal e permitir novas conexões aos editores.

Opções avançadas​

Usando esta aba, você pode configurar opções avançadas de segurança e de montagem de documentos.

observação

Desativar a verificação torna o servidor vulnerável a ataques man-in-the-middle. Use apenas como solução temporária ao integrar com serviços que possuem certificados autoassinados ou não confiáveis. Reative assim que certificados adequados forem instalados.

Admin Panel - Aba Avançado

As seguintes opções estão disponíveis:

  • Verificar certificados TLS/SSL (rejectUnauthorized). Valida os certificados remotos nas solicitações HTTPS de saída.
  • Verificar a integridade dos arquivos baixados (checksumVerification). Confere o conteúdo baixado com os cabeçalhos de integridade.
  • Montar o documento no formato original (assemblyFormatAsOrigin). Preserva o formato original do documento durante a montagem final.

Filtragem de IP​

A página Filtragem de IP permite definir quais hosts este servidor pode contatar. Adicione uma regra que nomeie um host para permitir que o servidor o contate. A regra genérica * corresponde a qualquer host.

Exigir hosts WOPI confiáveis controla se a regra genérica * é suficiente para confiar em um host. Quando ativada (padrão), apenas uma regra que nomeie explicitamente o host é considerada — a regra genérica não.

As regras são avaliadas de cima para baixo, e a primeira regra correspondente é aplicada. Adicione a regra para o seu host de armazenamento WOPI acima da regra genérica *.

Admin Panel - Página Filtragem de IP

Solicitações de rede​

A aba Solicitações de rede controla quais chamadores podem acessar este servidor e como as conexões de saída são filtradas.

Admin Panel - Aba Solicitações de rede

As seguintes opções estão disponíveis:

  • Usar filtragem de IP para solicitações. Aplica as regras de IP às solicitações de entrada. Quando desativada, os endereços dos clientes não são verificados; os destinos WOPI de saída continuam sendo autorizados pelas mesmas regras.
  • Permitir endereços IP privados. Permite solicitações de saída para faixas privadas e loopback. Isso não torna um host WOPI confiável.
  • Permitir endereços IP meta. Permite solicitações de saída para 0.0.0.0 e ::. Os endereços de metadados de nuvem e link-local continuam bloqueados para WOPI.

Configurações WOPI​

A página Configurações WOPI permite configurar o suporte a WOPI para edição de documentos, incluindo hosts WOPI confiáveis, configurações de compatibilidade para integrações com o SharePoint, comportamento de bloqueio de documentos e gerenciamento de chaves de criptografia.

Use a chave WOPI no topo da página para ativar ou desativar completamente o suporte a WOPI.

Admin Panel - Página Configurações WOPI

Hosts WOPI confiáveis​

Esta seção permite decidir quais hosts de armazenamento de documentos este servidor pode contatar. A lista de hosts confiáveis é gerenciada na página Filtragem de IP, e não na página Configurações WOPI.

Exigir hosts WOPI confiáveis controla se a regra genérica * na página Filtragem de IP é suficiente para confiar em um host. Quando ativada (padrão), apenas uma regra que nomeie explicitamente o host é considerada — a regra genérica não. As regras de Filtragem de IP são sempre usadas para destinos WOPI; esta opção não desativa essa filtragem.

Se nenhum host WOPI confiável estiver configurado, um aviso será exibido e os documentos não poderão ser abertos até que você adicione uma regra que nomeie o seu host de armazenamento.

Admin Panel - Seção Hosts WOPI confiáveis

Para adicionar um host WOPI à lista de permissões:

  1. Na página Configurações WOPI, abra a seção Hosts WOPI confiáveis. Na mensagem de aviso, clique no link Filtragem de IP.
  2. Na página Filtragem de IP, adicione uma regra que nomeie o seu host de armazenamento WOPI. Depois que a regra for salva, esse host se tornará confiável para WOPI.
observação

Quando Exigir hosts WOPI confiáveis está ativada, a regra genérica * em Filtragem de IP não torna um host confiável. Adicione uma regra que nomeie explicitamente o host de armazenamento.

Compatibilidade​

Esta seção configura a descoberta WOPI e as configurações de compatibilidade de solicitações para o SharePoint e outras integrações de armazenamento compatíveis com WOPI.

Zona WOPI

Especifica a zona de descoberta anunciada pelo ONLYOFFICE Docs. Este valor deve corresponder à zona configurada no SharePoint com o comando do PowerShell Set-SPWOPIZone. Valores disponíveis:

  • external-https
  • external-http (padrão)
  • internal-https
  • internal-http

Para verificar a zona configurada atualmente no SharePoint, use o seguinte comando do PowerShell:

Get-SPWOPIZone

Para alterar a zona no SharePoint, use o seguinte comando do PowerShell:

Set-SPWOPIZone -Zone "external-http"

Enviar cabeçalho de autorização

Quando ativada, adiciona o cabeçalho Authorization: Bearer <access_token> às solicitações WOPI. Isso é opcional pela especificação WOPI, mas obrigatório para algumas configurações do SharePoint:

  • SharePoint Subscription Edition: esta opção deve estar ativada. Sem o cabeçalho Authorization, ocorre o erro Invalid access token e a edição do documento falha.
  • SharePoint 2019: esta opção é opcional. A conexão funciona com o token passado no URI, mas ativar o cabeçalho não causa problemas.

Isso corresponde ao parâmetro de configuração wopi.sendAuthorizationHeader (false por padrão).

Configurações de bloqueio​

Esta seção configura o intervalo de atualização do bloqueio de documentos para sessões WOPI.

Intervalo de atualização do bloqueio

Especifica com que frequência os bloqueios de documentos são atualizados. Use o formato <number><unit>, em que a unidade é s (segundos), m (minutos) ou h (horas). Exemplos: 10m, 1h, 30s. O valor padrão é 10m.

Gerenciamento de chaves​

Esta seção permite fazer a rotação das chaves de criptografia WOPI. O campo Chave pública atual exibe a chave pública ativa usada para a autenticação das solicitações WOPI.

Para fazer a rotação das chaves, marque a caixa de seleção Rotacionar chaves e clique em Salvar alterações. As chaves atuais serão movidas para "Antigas" e novas chaves serão geradas.

observação

Não faça a rotação das chaves mais de uma vez a cada 24 horas. O armazenamento pode não ser atualizado a tempo, o que pode causar falhas de autenticação.