协作空间安全指南
引言
ONLYOFFICE 提供广泛的安全工具来保护您的数据安全并确保安全的在线协作。本指南描述了所有可提高您协作空间安全级别的功能。
除此之外，您还可以探索一些常见的安全技术、原理和特定服务，以确保服务器的最大安全性。
协作空间常规安全
一些协作空间功能被公认为安全领域的行业标准：HTTPS、备份、自有 SMTP 服务器、LDAP。
安全的 HTTPS 协议
ONLYOFFICE 允许您使用 HTTPS 协议加密您的流量。您可以在 letsencrypt.org 上轻松创建 CA 签名的证书，并通过一条命令将您的协作空间切换到 HTTPS，或应用您自己的证书。
阅读相应的 Docker、Linux、Windows 安装说明。
定期备份
您可以手动或自动备份数据以避免数据丢失。备份/恢复功能可在协作空间设置中使用。
要了解有关备份和恢复选项的更多信息，请阅读此文章。
自有 SMTP 服务器
在 ONLYOFFICE 协作空间中，用户通知的默认服务器是 ONLYOFFICE SMTP 服务器。为了更高的安全性，我们建议使用您自己的 SMTP 服务器，这样您的消息就不会经过任何第三方服务。
要了解有关如何设置 SMTP 服务器的更多信息，请阅读此文章。
用于访问集中化的 LDAP
您可以轻松地将必要的用户和组从您的 LDAP 服务器（例如 OpenLDAP 服务器或 Microsoft Active Directory）导入到您的协作空间。新创建的用户则无需记住新的密码和登录名，因为他们将使用存储在您的 LDAP 服务器上的凭据登录协作空间。
有关更多详细信息，请阅读此文章。
安全访问
协作空间设置的安全部分允许您控制对协作空间的访问并监控所有用户的活动。
密码强度设置
强密码有助于防止对您数据的未授权访问。在协作空间中，您可以设置密码长度的要求，并确定密码中必须使用的字符集：大写字母、数字、特殊字符。
了解有关密码强度设置的更多信息。
双因素身份验证
双因素身份验证确保更安全的协作空间访问。启用双因素身份验证后，用户在输入常规电子邮件和密码或通过社交媒体帐户登录后，再输入身份验证器应用程序生成的代码，即可访问协作空间数据。
要了解有关如何使用双因素身份验证的更多信息，请阅读以下文章。
其他访问设置
- 受信任的邮件域，这些域可用于用户在您的协作空间中自助注册。了解更多
- IP 安全设置允许您基于 IP 地址限制对协作空间的访问，仅允许来自可信网络的访问。了解更多
- 通过设置用户失败登录尝试次数的限制，保护您的协作空间免受暴力破解攻击。了解更多
- 使用会话有效期功能设置时间限制，在此时间后协作空间用户需要重新输入其协作空间凭据才能访问协作空间。了解更多
- 您还可以使用个人资料中的相应功能手动注销任何设备上的所有活动会话。了解更多。
登录和操作监控
使用设置的登录历史部分轻松跟踪最新的用户登录活动，包括成功登录和失败尝试。审计追踪部分允许您浏览用户对协作空间中的文件和文件夹所做的最新更改（创建、修改、删除等）列表。了解更多
安全存储
外部链接密码
在创建指向公共房间、自定义房间或表单填写房间的外部链接时，您可以使用密码保护它们。对于通过链接共享的公共或自定义房间，您还可以启用限制文件内容复制、文件下载和打印选项以禁用文件和文件夹的下载。附加链接可按时间段限制。
了解有关外部链接的更多信息。
用于敏感数据的虚拟数据房间
虚拟数据房间提供高级文件安全性，用于存储和共享机密业务信息。虚拟数据房间中提供以下用于处理数据的安全功能：设置文件生命周期、禁止复制和下载文件、设置水印。
- 文件生命周期 - 设置文件生命周期，以便在定义的时间段后自动删除此房间中的文件。
- 限制复制和下载 - 启用此设置可为具有“查看者”角色的用户禁用下载和内容复制。
- 向文档添加水印 - 使用水印保护此房间中的所有文档。
了解有关虚拟数据房间的更多信息。
加密
协作空间提供的静态数据加密功能可确保您协作空间中敏感数据的安全。
加密基于对整个数据主体的 Encrypt-then-MAC 类型加密（AES-256-CBC + HMAC-SHA256）。它符合 AES-256 国际数据加密标准。
了解有关静态数据加密功能的更多信息。
权限管理
您可以分配不同的权限级别，这些级别定义了用户在一个房间内可以对文件执行哪些操作。例如，查看者只能查看文档，编辑者可以对现有文件执行所有编辑操作，内容创建者可以创建和上传新的文件和文件夹。了解更多。
安全的文档协作
在共同编辑文档时，应用多项安全功能以限制其他用户的访问或编辑能力，并防止对数据做出不必要的更改。
文档版本
查看版本历史以确切了解哪些更改已被做出。如果需要，可以恢复文档的先前版本之一。了解更多
文档密码保护
使用密码保护文档，确保没有人在没有从您那里收到密码的情况下访问您的文件。了解更多
保护工作簿、工作表、范围
在处理电子表格时，您可以保护整个工作簿、特定工作表或单元格范围，以及隐藏公式或对象。了解更多
JWT 保护
为防止未经授权访问文档，ONLYOFFICE 编辑器使用 JSON Web Token (JWT)。在初始化文档编辑器期间以及内部 ONLYOFFICE 文档服务之间交换命令时，令牌会添加到配置中。密钥用于签署 JSON Web 令牌并在请求 ONLYOFFICE 文档时验证令牌。
基本安全原则
您还可以考虑使用一些通用的服务器安全原则，以及不相关的第三方服务和工具。下面，您可以看到一些常见的示例和可能有所帮助的技巧。
禁用 root 访问
为避免数据泄露，最好禁止以 root 身份登录，因为 root 用户拥有对系统所有数据的完全访问权限。这可以通过服务器的终端完成，通过将 root 登录权限设置为否。
关闭所有不必要的端口
您应仅保持门户功能所需的端口开放，因为额外开放的端口可能导致数据泄露。使用 netstat 实用程序查看所有打开的端口及其关联的软件。
设置防火墙
防火墙根据预定义的规则集允许或阻止传入和传出的网络流量。在 Linux 中，防火墙是内核（netfilter）的一部分，但您需要安装一个管理工具，例如，Debian 的 UFW 或 RHEL 的 firewalld。
遵循最小权限原则
仅分配执行特定任务所需的最小权限，防止用户访问他们不需要的敏感区域。
使用 SSH 进行远程操作系统管理
远程管理服务器时，请使用安全的 SSH 协议。尽管该协议是可靠的，但您可以通过使用 SSH 密钥代替密码来进一步加强保护。
使用 Fail2ban 保护登录
Fail2ban 可用于保护您的服务器免受暴力破解攻击。它监视日志文件并在登录失败尝试次数过多时阻止连接。
启用 SELinux 或 App Armor
启用安全模块以保护您的服务器免受配置错误或受损程序的侵害。在基于 RHEL 的系统上，使用 SELinux。在基于 Debian 的系统上，您可以使用 AppArmor。