Als u overweegt server-side encryptie (SSE) in te schakelen voor Nextcloud omdat bestanden op externe opslaglocaties staan, doe dit dan pas nadat u hebt gecontroleerd of SSE uw specifieke beveiligingsrisico's dekt. Er bestaat geen instelling die gegarandeerd encryptie zonder prestatieverlies biedt: de server moet de bestandsinhoud versleutelen en ontsleutelen, waardoor overdrachten en CPU-gebruik kunnen variëren. U kunt de impact beperken door representatieve bestanden te testen, encryptie alleen in te schakelen voor de opslaglocaties die dit nodig hebben en bulkconversies in te plannen voor een rustige periode.
De huidige Nextcloud 35-beheerhandleiding, gecontroleerd op 10 oktober 2026, beschrijft ingebouwde server-side encryptie (SSE) voornamelijk als bescherming voor bestanden die op externe opslag staan. Het verbergt geen bestandsnamen of mapstructuren en het beschermt bestanden niet tegen een gecompromitteerde Nextcloud-server of een kwaadwillende beheerder. Voor lokale schijven of fysieke diefstal is schijfversleuteling via het besturingssysteem mogelijk een betere oplossing; om gegevens onleesbaar te maken voor de serverbeheerder, kunt u beter end-to-end-encryptie overwegen.
Plan voor het herstellen van sleutels voordat u instellingen wijzigt. Maak een back-up van de Nextcloud-configuratie en de gegevens van de encryptiesleutels en zorg ervoor dat de back-up apart en met toegangsbeheer wordt opgeslagen. Het sleutelmateriaal wordt opgeslagen in de gegevensmap; het verliezen van encryptiesleutels of het instantiegeheim kan ertoe leiden dat versleutelde gegevens onherstelbaar worden. Zorg voor een beproefde herstelprocedure, en niet alleen voor een kopie van de database.
Leg ook een basislijn vast vóór de wijziging: test de upload- en downloadtijd voor representatieve bestanden, observeer de CPU- en opslagactiviteit en noteer eventuele latentie die gebruikers ervaren. Herhaal dezelfde tests na de activering. Dit laat zien of de wijziging acceptabel is voor uw hardware, in plaats van af te gaan op een algemene bewering over de prestaties.
sudo -E -u www-data php /var/www/nextcloud/occ encryption:statusVervang het voorbeeldpad en de HTTP-gebruiker door die van uw installatie. Nextcloud vereist dat OCC als HTTP-gebruiker wordt uitgevoerd om de juiste bestandsrechten te behouden. Gebruik in Docker, AIO, Snap of managed hosting de door die implementatie ondersteunde shell en gebruiker in plaats van dit hostcommando letterlijk te kopiëren. Raadpleeg de officiële OCC-handleiding voor meer informatie over de uitvoering van commando's.
Nadat SSE is ingeschakeld, worden nieuwe en gewijzigde bestanden versleuteld. Bestaande bestanden worden niet automatisch geconverteerd, zelfs niet als de instelling is ingeschakeld. Als u de bestaande bestandsbibliotheek wilt versleutelen, biedt Nextcloud de volgende OCC-opdracht:
sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-allControleer voordat u de bewerking uitvoert of de back-ups actueel zijn en plan een onderhoudsvenster in. De bewerking verwerkt bestanden voor alle gebruikers, toont de voortgang en kan op een grote instantie aanzienlijke tijd en resources in beslag nemen. Nextcloud adviseert gebruikers om tijdens dit proces geen bestanden te openen. Voer de bewerking niet uit tijdens piekuren en beschouw deze niet als een onschadelijke in- of uitschakelen. Als alleen een specifieke externe mount SSE vereist, configureer dan de versleutelingsoptie voor die mount in plaats van onnodig een serverbrede conversie te starten.
Sommige gegevens vallen buiten het bereik van de bestandsinhoudversleuteling. De huidige handleiding vermeldt bestandsnamen en mapstructuren, bestaande bestanden in de prullenbak, historische bestandsversies, miniatuurafbeeldingen en -voorbeelden, en de zoekindex voor de volledige tekst van items die niet door SSE zijn versleuteld. Het delen van bestanden die zijn versleuteld op externe opslag moet via Nextcloud verlopen; ze kunnen niet rechtstreeks vanaf de opslagprovider worden gedeeld.
Gebruik een gefaseerde controle in plaats van alles in één keer te versleutelen:
Nextcloud belooft geen nul overhead, en de werkelijke impact hangt af van hardware, bestandsgroottes, opslag, gelijktijdigheid en werkbelasting. SSE kan ook de grootte van opgeslagen bestanden enigszins vergroten; de huidige handleiding vermeldt ongeveer 1% voor moderne versies, vergeleken met een grotere overhead in oudere versies. Ga er niet vanuit dat een oude prestatieschatting ook van toepassing is op uw versie.
Nadat u SSE hebt ingeschakeld, controleert occ encryption:statusen test u het upload-, download-, deel- en synchronisatiegedrag met een niet-kritiek bestand. Controleer of de gegevens op de beoogde opslaglocatie leesbaar zijn via Nextcloud en of de gemeten vertragingen acceptabel blijven. Ga er voor bestaande bestanden niet vanuit dat ze versleuteld zijn totdat de bulkbewerking is voltooid.
Als u later besluit SSE uit te schakelen, zet de app of module dan niet zomaar uit terwijl er nog versleutelde bestanden aanwezig zijn. De door Nextcloud gedocumenteerde procedure is om eerst de bestanden te ontsleutelen en vervolgens de versleuteling uit te schakelen; de ontsleutelingsopdracht kan de onderhoudsmodus activeren en moet daarom ook worden uitgevoerd met back-ups.
sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-allControleer of de bewerking is voltooid en verifieer de toegang tot het bestand voordat u de versleutelingsinstellingen wijzigt. Als de gemeten overhead te hoog is, verklein dan de reikwijdte van de versleutelde opslag of kies een beveiliging op de opslaglaag die past bij uw dreigingsmodel. Bewaar de sleutels en het instantiegeheim zolang er versleutelde gegevens bestaan.
Los veelvoorkomende Nextcloud-scanbevindingen op met de nieuwste updates, HTTPS en HSTS, nauwkeurige reverse-proxy-vertrouwensinstellingen en controles op de openbare server.
Configureer Nextcloud SSE voor de opslag die het nodig heeft, bescherm de encryptiesleutels en meet de impact op de overdracht en het CPU-gebruik voordat u bestaande bestanden versleutelt.
Koppel de bestandszoekfunctie van Nextcloud aan Elasticsearch, indexeer de inhoud van documenten en kies een configuratie die past bij uw server- en beveiligingsbehoeften.
Configureer Nextcloud om verwijderde bestanden na een bepaalde bewaartermijn te verwijderen, achtergrondtaken betrouwbaar in te plannen en opdrachten te vermijden die de prullenbak van elke gebruiker leegmaken.
Voer de OCC-reparatie van Nextcloud veilig uit, bekijk de wijzigingen in de database en controleer waarom de waarschuwing mogelijk blijft bestaan.
Sta grotere Nextcloud-browseruploads toe door PHP, Nginx of Apache, tijdelijke opslag en time-outinstellingen op elkaar af te stemmen en te controleren welke limiet het bestand blokkeert.
Stel de PHP-geheugenlimiet in die Nextcloud daadwerkelijk gebruikt, herstart de juiste service en bevestig de instelling van 512 MB in het beheerdersoverzicht.
Koppel een compatibele objectopslagbucket in Nextcloud met behulp van de S3-backend, met het juiste eindpunt, de juiste inloggegevens, het juiste toegangsbereik en de juiste verificatiestappen.
Verplaats een Nextcloud-gegevensmap op Linux veilig naar een externe schijf met behulp van een permanente UUID-mount, de onderhoudsmodus, een geverifieerde kopie en de symbolische link naar het oorspronkelijke pad.
Herstel de toegang tot Nextcloud na een update door SQL-fouten te diagnosticeren, de databaseverbinding te controleren en onderbroken migraties veilig af te ronden.
