Schakel de Collabora CODE-updatecontroles en ongewenste verbindingen uit.

Om te voorkomen dat Collabora Online Development Edition (CODE) de geplande versiecontrole uitvoert, stelt u de instellingen in fetch_update_checkop 0en allow_update_popupop false. Voor een implementatie die geen contact mag opnemen met niet-goedgekeurde externe services, schakelt u ook ongebruikte integraties uit en dwingt u een uitgaande whitelist af op de netwerkgrens; het verbergen van updatemeldingen alleen blokkeert het netwerkverkeer niet.

Weet wat je uitschakelt

Vanaf oktober 2026 documenteert Collabora coolwsd.xml.ineen updatecontrole-interval van 10 uur en een aparte instelling voor updatemeldingen. Er is geen universele schakelaar met de aanduiding "telemetrie uitschakelen" gedocumenteerd. Een updateverzoek, optioneel cloudondersteund bewerken, lokale diagnostische logboeken en de essentiële WOPI-verbinding met een documentopslagserver zijn verschillende zaken. Door deze als één instelling te behandelen, kunnen verbindingen actief blijven of kan het bewerken van documenten worden verstoord.

Deze instructies zijn voornamelijk van toepassing op een zelfstandige collabora/codeDocker-implementatie. Pakketinstallaties gebruiken dezelfde configuratieconcepten, maar bewerken /etc/coolwsd/coolwsd.xmlen herstarten doorgaans de coolwsdservice. Ingebouwde CODE-installaties die door een ander product worden beheerd, kunnen de opstartopties opnieuw genereren; wijzig deze in het beherende product in plaats van tijdelijke bestanden te patchen.

1. Identificeer de actieve instellingen en bewaar een terugzetoptie.

Bepaal eerst of uw CODE-service is geconfigureerd via Docker Compose, een docker runcommando of een native pakket. Inspecteer bij Docker de container en de huidige omgeving zonder de uitvoer openbaar te maken, aangezien omgevingsvariabelen inloggegevens kunnen bevatten:

docker ps --format 'table {{.Names}}	{{.Image}}'
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code

Vervang dit codedoor de daadwerkelijke naam van uw container. Sla een veilige kopie van het implementatiebestand of het bestaande bestand op coolwsd.xmlvoordat u het wijzigt. Als uw Compose-configuratie al TLS-terminatie, WOPI-hosttoestemmingen of authenticatieparameters bevat, behoud dan deze waarden.

2. Schakel de periodieke updateverbinding uit.

Voor Docker Compose

Voeg deze opties toe aan de bestaande extra_paramswaarde onder het blok van uw CODE-service environment. Dit is een fragment, geen volledig vervangend Compose-bestand:

services:
  code:
    environment:
      extra_params: >-
        --o:fetch_update_check=0
        --o:allow_update_popup=false

Voeg de twee vlaggen samen met eventuele bestaande extra_paramsvlaggen in plaats van ze te overschrijven. Maak vervolgens alleen de CODE-service opnieuw aan met docker compose up -d --no-deps --force-recreate codede juiste Compose-servicenaam. docker runVoeg in een implementatie dezelfde opties toe aan de extra_paramsomgevingsvariabele bij het opnieuw aanmaken van de container.

Voor Linux-pakketten

Bewerken /etc/coolwsd/coolwsd.xml. Zoek de bestaande elementen op en wijzig hun waarden, waarbij de oorspronkelijke kenmerken behouden blijven:

<fetch_update_check>0</fetch_update_check>
<allow_update_popup>false</allow_update_popup>

Als de bestaande elementen attributen bevatten, behoud deze dan en wijzig alleen de tekstwaarden. Controleer of het bestand geldige XML is voordat u opnieuw opstart; gebruik bijvoorbeeld de opdracht `xml` xmllint --noout /etc/coolwsd/coolwsd.xmlals xmllintdeze is geïnstalleerd. Start opnieuw op met de opdracht `xml` sudo systemctl restart coolwsd.

Belangrijk: allow_update_popup=false onderdrukt de update-melding van de editor; het is op zichzelf geen uitgaande controle. De fetch_update_check=0instelling heeft betrekking op de geplande controle. Uw organisatie moet beveiligingsupdates nog steeds bijhouden via het normale onderhoudsproces.

3. Schakel optionele services uit die contact kunnen leggen met andere hosts.

Controleer de actieve configuratie voor externe integraties. In de huidige upstream-configuratie is externe LanguageTool- of Duden-proeflezen standaard uitgeschakeld, en de serverbrede AI- en DeepL-opties zijn eveneens standaard uitgeschakeld. Een beheerder of een integratie kan deze opties hebben ingeschakeld. Als deze opties in uw geïnstalleerde CODE-versie aanwezig zijn, laat ze dan uitgeschakeld als u ze niet nodig hebt.

--o:languagetool.enabled=false
--o:ai.enabled=false
--o:deepl.enabled=false

Neem alleen opties op die door uw geïnstalleerde versie worden ondersteund en voeg deze samen in extra_paramsplaats van een tweede, conflicterende waarde te creëren. Dezelfde effecten kunnen worden geconfigureerd in de overeenkomende <languagetool>, <ai>, en <deepl>secties van een native XML-installatie.

Controleer remote_config.remote_urlze remote_font_config.urlvoordat u ze verwijdert. Een lege URL voor de externe configuratie voorkomt dat de optionele configuratie wordt opgehaald; een URL voor een extern lettertype kan legitiem naar uw eigen Nextcloud-installatie verwijzen. Het verwijderen ervan kan de typografie van documenten beïnvloeden, dus behoud de URL als de lettertypeservice is goedgekeurd en vereist. Controleer ook alle geconfigureerde WebSocket-adressen voor monitoring en extra plug-ins, zoals een citatiemanager, afhankelijk van de behoeften van uw implementatie.

Logboekregistratie is een aparte privacykwestie en geen bewijs van externe telemetrie. Bekijk logging.docstats, logging.userstats, en logging.anonymize.anonymize_user_dataals u lokale identificatoren in diagnostische gegevens wilt beperken. Zorg voor voldoende beveiligings- en operationele logboekregistratie om incidenten op te sporen; het wijzigen van de logboekdetails blokkeert geen uitgaande sockets.

4. Beperk uitgaand verkeer zonder WOPI te verbreken.

Een configuratiewijziging biedt geen garantie dat er geen onverwachte uitgaande verbindingen zullen zijn. Plaats CODE achter een firewall of uitgaande proxy die de specifieke bestemmingen en poorten toestaat die uw implementatie vereist. Dit betekent doorgaans uw goedgekeurde WOPI-opslaghost, alle interne lettertype- of identiteitsservices die u daadwerkelijk gebruikt, en de vereiste infrastructuur zoals interne DNS. Blokkeer andere internetbestemmingen, inclusief niet-goedgekeurde update-eindpunten, voor de CODE-workload.

Schakel netwerken niet zomaar uit en stel het Docker-netwerk niet in op internal: true: afhankelijk van uw architectuur kan dit voorkomen dat CODE de WOPI-server bereikt of dat vereiste integraties niet werken. Houd er ook rekening mee dat de browser van de gebruiker editorbronnen laadt en mogelijk onafhankelijk van de CODE-server verzoeken indient; firewallregels van de server zijn niet van toepassing op de browser.

Voor Docker Engine-installaties die gebruikmaken van de iptables-backend, documenteert Docker de DOCKER-USERketen als de beoogde plek voor doorstuurregels van beheerders. Bij gebruik van de nftables-backend moet u een aparte basisketen implementeren in plaats van aan te nemen dat DOCKER-USERdeze bestaat. Ontwerp regels voor uw daadwerkelijke bridge- of containernetwerk, IPv4 en IPv6, DNS, verbindingsstatus en legitiem WOPI-verkeer; een generieke, gekopieerde DROPregel kan offline bewerkingen mogelijk maken. Raadpleeg de richtlijnen van Docker voor iptables en nftables voordat u beleid afdwingt.

5. Controleer de wijzigingen, inclusief de daadwerkelijke netwerkactiviteit.

Controleer na een herstart of het opnieuw aanmaken van de container de opstartlogboeken op configuratiefouten en test het openen, bewerken en opslaan van een document via de normale opslagintegratie. Een responsieve editor alleen is geen bewijs dat alle ongeautoriseerde verzoeken zijn gestopt. Controleer de actieve opstartparameters en bekijk vervolgens de DNS- en uitgaande verbindingslogboeken van uw firewall, egress-proxy of containernetwerk tijdens het opstarten en het bewerken van documenten.

docker logs --since 10m code
# Check configured flags without exposing unrelated environment secrets:
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code | grep '^extra_params='

Bij native installaties kunt u sudo journalctl -u coolwsd --since '10 minutes ago'de lokale XML gebruiken en inspecteren. Voor de browser opent u de ontwikkelaarstools van uw browser en bekijkt u het tabblad Netwerk terwijl u een document opent. Maak onderscheid tussen verzoeken aan uw eigen CODE- en WOPI-hosts en verzoeken aan externe bestemmingen.

Succescriteria: CODE laadt en slaat documenten normaal op; de optie voor updatecontrole is ingesteld op nul; optionele cloudintegraties blijven uitgeschakeld tenzij expliciet goedgekeurd; en netwerkmonitoring toont alleen toegestane bestemmingen gedurende de observatieperiode. Als het laden van documenten mislukt na het filteren van verkeer, controleer dan tijdelijk de geweigerde bestemmingen aan de hand van de goedgekeurde WOPI- en infrastructuurlijst in plaats van de TLS-certificaatverificatie uit te schakelen of onbeperkt uitgaand verkeer te openen.

Primaire referenties: de door Collabora beheerde serverconfiguratiesjabloon , de Nextcloud All-in-One CODE-containerconfiguratie en de officiële beschrijving van de CODE Docker-image . Deze documenten beschrijven de relevante instellingen en implementatiepatronen; ze vervangen echter geen netwerkaudit van uw specifieke installatie.