Pular para o conteúdo principal

Guia completo de segurança e proteção de dados no ONLYOFFICE Apps

Introdução​

O ONLYOFFICE oferece uma ampla gama de ferramentas de segurança para manter seus dados seguros e garantir uma colaboração online segura. Este guia descreve todos os recursos que permitem aumentar o nível de segurança do seu espaço de trabalho.

Além disso, você pode explorar algumas tecnologias de segurança comuns, princípios e certos serviços para garantir a máxima segurança do seu servidor.

Segurança geral do espaço de trabalho​

Alguns recursos do espaço de trabalho são reconhecidos como padrões da indústria no campo da segurança: HTTPS, backup, servidor SMTP próprio, LDAP.

Protocolo HTTPS seguro​

O ONLYOFFICE permite criptografar seu tráfego usando o protocolo HTTPS. Você pode facilmente criar um certificado assinado por CA em letsencrypt.org e mudar seu espaço de trabalho para HTTPS com um único comando ou aplicar seus próprios certificados.

Leia as instruções correspondentes para Docker, Linux, Windows.

Backups regulares​

Você pode fazer backup dos seus dados tanto manualmente quanto automaticamente para evitar perda de dados. Os recursos de Backup e Restauração estão disponíveis como seções separadas das Configurações do espaço de trabalho.

Para saber mais sobre as opções de backup e restauração, por favor leia este artigo.

Servidor SMTP próprio​

No ONLYOFFICE Apps, o servidor padrão para notificação de usuários é o servidor SMTP do ONLYOFFICE. Para maior segurança, recomendamos usar seu próprio servidor SMTP, para que suas mensagens não passem por serviços de terceiros.

Para saber mais sobre como configurar o Servidor SMTP, por favor leia este artigo.

LDAP para centralização de acesso​

Você pode facilmente importar os usuários e grupos necessários do seu servidor LDAP (por exemplo, OpenLDAP Server ou Microsoft Active Directory) para o seu espaço de trabalho. Os usuários recém-criados, por sua vez, não precisam memorizar novas senhas e logins porque eles entrarão no espaço de trabalho usando suas credenciais armazenadas no seu Servidor LDAP.

Para mais detalhes, por favor leia este artigo.

Acesso seguro​

A seção Segurança das Configurações do espaço de trabalho permite controlar o acesso ao seu espaço de trabalho e monitorar a atividade de todos os usuários.

Força da senha​

Senhas fortes podem ajudar a prevenir o acesso não autorizado aos seus dados. No seu espaço de trabalho, você pode definir requisitos para o comprimento da senha e determinar o conjunto de caracteres que deve ser usado na senha: letras maiúsculas, números, caracteres especiais.

Saiba mais sobre as configurações de força da senha.

Autenticação de dois fatores​

A autenticação de dois fatores garante um acesso mais seguro ao espaço de trabalho. Quando a autenticação de dois fatores está habilitada, um usuário pode acessar os dados do espaço de trabalho após inserir seu e-mail e senha regulares ou fazer login via uma conta de mídia social e digitar um código gerado pelo aplicativo autenticador.

Para saber mais sobre como usar a autenticação de dois fatores, leia o seguinte artigo.

Outras configurações de acesso​

  • Especifique os domínios de e-mail confiáveis que podem ser usados para auto-registro de usuários no seu espaço de trabalho. Saiba mais;
  • As configurações de segurança de IP permitem restringir o acesso ao seu espaço de trabalho com base nos endereços IP, permitindo acesso apenas de redes confiáveis. Saiba mais;
  • Proteja seu espaço de trabalho contra ataques de força bruta configurando o limite de tentativas de login sem sucesso pelo usuário. Saiba mais;
  • Use o recurso Tempo de Vida da Sessão para definir um limite de tempo durante o qual os usuários precisarão inserir novamente suas credenciais para acessar o espaço de trabalho. Saiba mais;
  • Receba notificações sobre logins suspeitos. Cada login bem-sucedido é comparado com o histórico de login anterior do usuário por três critérios: um novo dispositivo (o par navegador e sistema operacional), um novo país e o número de tentativas de login malsucedidas. Se pelo menos dois dos três critérios forem atendidos, o usuário recebe um e-mail de notificação.
  • Limite o acesso à seção Ferramentas de Desenvolvedor para que somente o proprietário e os administradores do espaço de trabalho possam criar webhooks, aplicativos OAuth e chaves de API. Saiba mais.
  • Você também pode sair manualmente de todas as sessões ativas em qualquer dispositivo usando o recurso correspondente no seu perfil. Saiba mais.

Monitoramento de login e ações​

Acompanhe facilmente a atividade de login dos usuários, incluindo logins bem-sucedidos e tentativas falhas, usando a seção Histórico de Login das Configurações. A seção Trilha de Auditoria permite que você navegue pela lista das últimas alterações (criação, modificação, exclusão etc.) feitas pelos usuários nos arquivos e pastas do seu espaço de trabalho. Saiba mais.

Os eventos de auditoria e o histórico de login também podem ser encaminhados para um servidor syslog externo, o que permite integrar o espaço de trabalho a sistemas SIEM e monitorar sua atividade junto com os eventos dos seus outros serviços.

Armazenamento seguro​

Ao criar links externos para salas públicas, personalizadas ou de preenchimento de formulários, você pode protegê-los com uma senha. Para a sala pública ou personalizada compartilhada via link, você também pode habilitar a opção Restringir cópia de conteúdo de arquivo, download de arquivo e impressão para desativar downloads de arquivos e pastas. Links adicionais podem ser limitados por período de tempo.

Saiba mais sobre links externos.

Salas de Dados Virtuais para dados sensíveis​

As Salas de Dados Virtuais fornecem segurança avançada de arquivos para armazenamento e compartilhamento de informações confidenciais de negócios. Os seguintes recursos de segurança para trabalhar com dados estão disponíveis em uma Sala de Dados Virtual: definir o tempo de vida dos arquivos, proibição de cópia e download de arquivos, configuração de marcas d'água.

  • Tempo de vida do arquivo – Defina o tempo de vida do arquivo para excluir automaticamente os arquivos nesta sala após um período definido;
  • Restringir cópia e download – Ative esta configuração para desativar downloads e cópia de conteúdo para usuários com o papel de "Visualizador";
  • Adicionar marcas d'água aos documentos – Proteja todos os documentos nesta sala com marcas d'água.

Saiba mais sobre Salas de Dados Virtuais.

Criptografia​

O recurso Criptografar dados em repouso fornecido pelo ONLYOFFICE Apps permite garantir a segurança dos dados sensíveis no seu espaço de trabalho.

A criptografia é baseada no tipo de criptografia Encrypt-then-MAC (AES-256-CBC + HMAC-SHA256) de todo o corpo de dados. É compatível com o padrão internacional de criptografia de dados AES-256.

Saiba mais sobre o recurso Criptografar dados em repouso.

Gerenciamento de permissões​

Você pode atribuir diferentes níveis de permissão que definem quais ações com arquivos estão disponíveis para o usuário dentro de uma sala. Por exemplo, visualizadores podem apenas visualizar documentos, editores podem realizar todas as operações de edição com os arquivos existentes, criadores de conteúdo podem criar e fazer upload de novos arquivos e pastas. Saiba mais.

Trabalho seguro com documentos​

Ao coeditar documentos, aplique uma série de recursos de segurança para restringir o acesso ou as habilidades de edição para outros usuários e para prevenir alterações indesejadas nos dados.

Versões de documentos​

Veja o histórico de versões para saber exatamente quais alterações foram feitas. Restaure uma das versões anteriores do documento, se necessário. Saiba mais.

Proteção de senha de documentos​

Proteja documentos com senhas para garantir que ninguém possa acessar seus arquivos sem receber uma senha de você. Saiba mais.

Proteger livros de trabalho, planilhas, intervalos​

Ao trabalhar com planilhas, você pode proteger todo o livro de trabalho, certas planilhas ou intervalos de células, bem como ocultar fórmulas ou objetos. Saiba mais.

Proteção JWT​

Para proteger documentos contra acesso não autorizado, os editores do ONLYOFFICE usam o JSON Web Token (JWT). O token é adicionado na configuração quando o editor de documentos é inicializado e durante a troca de comandos entre os serviços internos ONLYOFFICE Docs. A chave secreta é usada para assinar o token web JSON e validar o token mediante solicitação aos ONLYOFFICE Docs.

Princípios básicos de segurança​

Você também pode considerar o uso de alguns princípios gerais de segurança de servidor, bem como serviços e ferramentas de terceiros não relacionados aos produtos ONLYOFFICE. Abaixo, você pode ver alguns exemplos comuns e dicas que podem ser úteis.

Desabilitar acesso root​

Para evitar vazamentos de dados, é melhor desabilitar o login como root, pois o usuário root tem acesso total a todos os dados do sistema. Isso pode ser feito via terminal do servidor, configurando a permissão de login root para Não.

Fechar todas as portas desnecessárias​

Você deve manter abertas apenas as portas necessárias para o funcionamento do espaço de trabalho, pois portas abertas extras podem ser a causa de vazamentos de dados. Use a utilidade netstat para visualizar todas as portas abertas e seus softwares associados.

Configurar um firewall​

Um firewall permite ou bloqueia o tráfego de rede de entrada e saída com base em um conjunto de regras predefinidas. No Linux, o firewall é parte do kernel (netfilter), mas você precisa instalar uma utilidade para gerenciá-lo, por exemplo, UFW para Debian ou firewalld para RHEL.

Seguir o princípio do menor privilégio​

Atribua apenas as permissões que são minimamente necessárias para realizar tarefas específicas, evitando que os usuários acessem áreas sensíveis que não precisam.

Usando SSH para administração remota do sistema operacional​

Ao administrar o servidor remotamente, use o protocolo seguro SSH. Embora este protocolo seja confiável, você pode fortalecer ainda mais a proteção usando chaves SSH em vez de uma senha.

Usando Fail2ban para proteger seu login​

Fail2ban pode ser usado para proteger seu servidor contra ataques de força bruta. Ele monitora arquivos de log e bloqueia conexões se houver muitas tentativas de login falhas.

Habilitando SELinux ou App Armor​

Habilite módulos de segurança que protegem seu servidor contra programas mal configurados ou comprometidos. Em sistemas baseados em RHEL, é utilizado o SELinux. Em sistemas baseados em Debian, você pode usar o AppArmor.