Los de foutmelding "Token is niet geldig" van ONLYOFFICE in Nextcloud op.

Als Nextcloud de melding "Token is niet geldig" geeft bij het verbinden met ONLYOFFICE Docs, zorg er dan voor dat het JWT-geheim van de connector overeenkomt met het geheim dat Document Server daadwerkelijk gebruikt. In ONLYOFFICE Docs 7.2 en later is JWT-validatie standaard ingeschakeld en wordt er automatisch een geheim gegenereerd; het wijzigen van alleen de Nextcloud-instelling of het bewerken van het gegenereerde configuratiebestand van een Docker-container kan ertoe leiden dat de twee systemen niet meer gesynchroniseerd zijn.

Zorg dat JWT ingeschakeld blijft. Identificeer eerst het actieve geheim en het implementatietype, werk de juiste configuratie bij en voer vervolgens de verbindingscontrole van de connector uit. De controle moet een succesvolle verbinding melden; het feit dat de editor in de browser wordt geopend, bewijst op zich niet dat documentdownloads en callbacks werken.

Wat vertelt de foutmelding je?

JWT (JSON Web Token) is een ondertekend token dat wordt gebruikt om te verifiëren dat een verzoek tussen Nextcloud en ONLYOFFICE Docs betrouwbaar is. De connector ondertekent verzoeken met het geconfigureerde geheim, terwijl Document Server deze valideert met behulp van het geconfigureerde geheim. Als de ondertekeningsgeheimen verschillen, kan de tokenondertekening niet worden gevalideerd en wordt het verzoek afgewezen.

De meest voorkomende oorzaken zijn een geheim dat is gekopieerd van een oude installatie, een automatisch gegenereerd geheim dat nooit in Nextcloud is ingevoerd, een gewijzigde Docker-omgevingsvariabele die niet is toegepast bij het opnieuw aanmaken van de container, of inconsistente geheime waarden in de Document Server-configuratie. Een aangepaste JWT-header kan ook een mismatch veroorzaken als de connector en de Document Server niet dezelfde headernaam gebruiken.

Dit artikel behandelt JWT-mismatches. Als de foutmelding aangeeft dat de server niet bereikbaar is, het certificaat ongeldig is of een document niet kan worden gedownload, onderzoek dan de serveradressen, het TLS-certificaat en het netwerkpad tussen Nextcloud en de documentserver afzonderlijk. Een JWT-correctie zal deze problemen niet verhelpen.

1. Zoek het actieve geheim van de documentenserver.

Gebruik de configuratie van de actieve documentenserver. Ga er niet vanuit dat een geheim dat is opgeslagen vanuit een vorige container of server nog steeds actief is.

• Linux: inspecteren /etc/onlyoffice/documentserver/local.json.
• Windows: inspecteren %ProgramFiles%\ONLYOFFICE\DocumentServer\config\local.json.
• Docker: lees het geheim van de draaiende container. De officiële image ondersteunt ook het lezen van het sessiegeheim met dit commando:

sudo docker exec <containerID> /var/www/onlyoffice/documentserver/npm/json -f /etc/onlyoffice/documentserver/local.json 'services.CoAuthoring.secret.session.string'

Vervang dit <containerID>door de daadwerkelijke containernaam of -ID. Beschouw de geretourneerde waarde als een inloggegeven: plak deze niet in ondersteuningsforums, schermafbeeldingen of openbare logboeken.

Vergelijk in de local.jsondocumentatie de waarden in services.CoAuthoring.secret.inbox.string, services.CoAuthoring.secret.outbox.string, en services.CoAuthoring.secret.session.string. Deze zouden allemaal identiek moeten zijn voor deze standaardconfiguratie. Controleer ook of tokenvalidatie is ingeschakeld voor de browser, de inbox voor verzoeken en de uitgaande verzoeken. Documentatieversies vóór 7.2 vereisen dat tokenvalidatie expliciet wordt ingeschakeld; latere versies schakelen dit standaard in.

2. Update de ONLYOFFICE-connector van Nextcloud

1. Meld u aan als Nextcloud-beheerder en open Instellingen > Beheer > ONLYOFFICE .
2. Voer in de serverinstellingen het exacte geheim dat op de actieve documentenserver staat in het veld 'Geheime sleutel' in . Vermijd spaties aan het begin of einde van de sleutel en voeg geen aanhalingstekens toe, tenzij deze deel uitmaken van het geheim zelf.
3. Controleer de JWT-headerinstelling als uw implementatie een aangepaste header gebruikt. De jwt_headerinstelling van de connector en de geconfigureerde tokenheader van de documentserver moeten overeenkomen. Als u de header niet opzettelijk hebt aangepast, wijzig deze dan niet tijdens deze reparatie.
4. Sla de instellingen op. Houd JWT aan beide kanten ingeschakeld.

De gedocumenteerde connectorinstelling kan ook worden gewijzigd met een Nextcloud- occopdracht vanuit de Nextcloud-installatiemap:

sudo -u www-data php occ config:app:set onlyoffice jwt_secret --value='YOUR_SECRET'

Vervang dit YOUR_SECRETdoor de werkelijke waarde. Het gebruik van aanhalingstekens in de shell helpt bij het behoud van leestekens, maar geheimen die een enkel aanhalingsteken bevatten, vereisen een veiligere methode dan ze direct in de opdrachtregel in te voegen. Argumenten op de opdrachtregel kunnen ook zichtbaar zijn voor inspectie van geprivilegieerde processen of de shellgeschiedenis. Gebruik waar mogelijk bij voorkeur de beheerdersinterface en controleer vervolgens de opgeslagen waarde zonder deze openbaar te maken.

3. Voer de wijziging op de juiste manier door voor uw installatie.

Docker of Docker Compose

Voor Docker-implementaties configureert u JWT via de containeromgeving in plaats van de automatisch gegenereerde configuratie handmatig aan te passen local.json. Stel hetzelfde geheim in voor de servicedefinitie van de Document Server:

environment:
  - JWT_ENABLED=true
  - JWT_SECRET=YOUR_SECRET

Nadat u het Compose-bestand hebt gewijzigd, moet u de Document Server-container opnieuw aanmaken zodat de omgevingsvariabelen van kracht worden. Bijvoorbeeld vanuit de map waarin het Compose-bestand zich bevindt:

docker compose up -d --force-recreate <documentserver-service>

Vervang de servicenaam door de naam uit uw eigen Compose-bestand. Een gewone herstart past een gewijzigde omgevingswaarde niet toe op een bestaande container. Als u `make` gebruikt docker run, maak de container dan opnieuw aan met de bijgewerkte `make`- JWT_ENABLEDen JWT_SECRET`make`-waarden, waarbij de bestaande poorten, volumes en andere vereiste opties behouden blijven. Verwijder een productiecontainer niet voordat u deze instellingen en de permanente data-mounts hebt bevestigd.

Wanneer de container start, lees dan het actieve geheim opnieuw met het bovenstaande commando en zorg ervoor dat de waarde nog steeds overeenkomt met Nextcloud. Vermijd het plaatsen van een productiegeheim in een openbaar gedeeld Compose-bestand of broncode-repository.

Linux-pakket of Windows-installatie

Als u opzettelijk een aangepast geheim instelt local.json, zorg er dan voor dat de drie geheime velden overeenkomen en dat de vereiste tokenvalidatiewaarden zijn ingeschakeld. Pas de wijziging toe door de relevante Document Server-services opnieuw te starten. De huidige ONLYOFFICE-instructies vermelden ds-converter, ds-docservice, en ds-metricsop Linux; installaties die worden beheerd door een andere servicebeheerder hebben mogelijk de herstartmethode nodig die geschikt is voor die configuratie. Op Windows start u de ONLYOFFICE-services opnieuw nadat u de configuratie hebt opgeslagen.

Een inconsistentie die na een herstart terugkeert, betekent meestal dat een gegenereerde configuratie of implementatieomgeving het bewerkte bestand overschrijft. Voor Docker kunt u de correctie in omgevingsvariabelen plaatsen en de container opnieuw aanmaken. Voor pakketimplementaties kunt u de actieve configuratie en de opstartconfiguratie van de service controleren voordat u verdere instellingen wijzigt.

Controleer de reparatie.

1. Voer in de Nextcloud-installatiemap de officiële connectorcontrole uit:

sudo -u www-data php occ onlyoffice:documentserver --check

Gebruik het webserveraccount dat geschikt is voor uw installatie, indien dit niet het geval is www-data. De opdracht zou een succesvolle verbinding moeten melden. Als er nog steeds een ongeldig token wordt gemeld, controleer dan nogmaals of het actieve geheim van de draaiende documentserver exact overeenkomt met Nextcloud en of eventuele aangepaste JWT-headers hiermee instemmen.

2. Open een klein testdocument vanuit Nextcloud met ONLYOFFICE. Controleer of de editor laadt, breng een kleine wijziging aan, sla het bestand op, sluit de editor en open het opnieuw om te controleren of de wijziging is opgeslagen.
3. Als de controle nu een netwerk- of certificaatfout meldt, stop dan met het wijzigen van JWT-waarden. Controleer of Nextcloud het adres van de documentserver kan bereiken en of de documentserver het Nextcloud-callbackadres kan bereiken. Gebruik waar mogelijk een vertrouwd TLS-certificaat; het uitschakelen van certificaatverificatie is een onveilige oplossing en lost de tokenvalidatie niet op.

Deze controles bevestigen dat de geconfigureerde verbinding en een basispad voor het opslaan van gegevens werken. Ze bewijzen niet dat elke reverse-proxy-route, externe-opslagconfiguratie of multi-servertopologie correct is; test die paden afzonderlijk als uw implementatie ze gebruikt.

Officiële referenties

• ONLYOFFICE: Nextcloud-integratie en JWT-configuratie
• ONLYOFFICE: JWT configureren voor documentenserver
• ONLYOFFICE Nextcloud-connector: configuratieopties en occ-opdrachten

De configuratiegegevens zijn op 9 oktober 2026 gecontroleerd aan de hand van de officiële ONLYOFFICE-documentatie en de connectorrepository. UI-labels en servicebeheer kunnen variëren afhankelijk van de connector, het besturingssysteem en de implementatiemethode.