Отключите проверку обновления кода Collabora и нежелательные подключения.

Чтобы предотвратить выполнение запланированной проверки версии в Collabora Online Development Edition (CODE), установите fetch_update_checkзначения 0и allow_update_popup. falseДля развертывания, которое не должно обращаться к неутвержденным внешним сервисам, также отключите неиспользуемые интеграции и установите список разрешенных исходящих соединений на границе сети; скрытие уведомлений об обновлениях само по себе не блокирует сетевой трафик.

Понимайте, что вы блокируете.

По состоянию на октябрь 2026 года в документации Collabora указан coolwsd.xml.inинтервал проверки обновлений в 10 часов и отдельный параметр для уведомлений об обновлениях. В ней отсутствует универсальный переключатель с пометкой «отключить телеметрию». Запрос на обновление, дополнительное редактирование с помощью облака, локальные диагностические журналы и необходимое WOPI-соединение с сервером хранения документов — это разные вещи. Рассмотрение их как единой настройки может либо оставить соединения активными, либо нарушить редактирование документов.

Эти инструкции относятся в первую очередь к автономному collabora/codeразвертыванию Docker. При установке пакетов используются те же принципы конфигурации, но обычно требуется редактирование /etc/coolwsd/coolwsd.xmlи перезапуск coolwsdслужбы. Встроенные установки CODE, управляемые другим продуктом, могут перегенерировать параметры запуска; изменяйте их в управляющем продукте, а не вносите изменения во временные файлы.

1. Определите текущие настройки и сохраните возможность отката.

Сначала определите, настроен ли ваш сервис CODE с помощью Docker Compose, docker runкоманды или нативного пакета. В случае Docker проверьте контейнер и его текущую среду, не публикуя вывод публично, поскольку переменные среды могут содержать учетные данные:

docker ps --format 'table {{.Names}}	{{.Image}}'
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code

Замените codeна фактическое имя вашего контейнера. Сохраните надежную копию файла развертывания или существующего файла coolwsd.xmlперед внесением изменений. Если ваша конфигурация Compose уже включает завершение TLS, разрешения хоста WOPI или параметры аутентификации, сохраните эти значения.

2. Отключите соединение для периодического обновления.

Для Docker Compose

Добавьте эти параметры к существующему extra_paramsзначению в блоке вашего сервиса CODE environment. Это фрагмент, а не полная замена файла Compose:

services:
  code:
    environment:
      extra_params: >-
        --o:fetch_update_check=0
        --o:allow_update_popup=false

Объедините два флага с любыми существующими extra_paramsфлагами вместо их перезаписи. Затем пересоздайте только службу CODE docker compose up -d --no-deps --force-recreate code, используя ваше реальное имя службы Compose. При docker runразвертывании укажите те же параметры в extra_paramsпеременной среды при пересоздании контейнера.

Для пакетов Linux

Редактировать /etc/coolwsd/coolwsd.xml. Найдите существующие элементы и измените их значения, сохранив при этом исходные атрибуты:

<fetch_update_check>0</fetch_update_check>
<allow_update_popup>false</allow_update_popup>

Если существующие элементы содержат атрибуты, сохраните их и измените только текстовые значения. Перед перезапуском убедитесь, что файл является допустимым XML-файлом; например, используйте команду, xmllint --noout /etc/coolwsd/coolwsd.xmlесли xmllintустановлен. Перезапустите с помощью команды sudo systemctl restart coolwsd.

Важно: allow_update_popup=false эта настройка отключает уведомление об обновлении от редактора; сама по себе она не является средством контроля исходящего трафика. fetch_update_check=0Параметр отвечает за запланированную проверку. Ваша организация по-прежнему должна отслеживать обновления безопасности в рамках стандартного процесса технического обслуживания.

3. Отключите дополнительные службы, которые могут связываться с другими хостами.

Проверьте активную конфигурацию удаленных интеграций. В текущей конфигурации удаленной проверки орфографии с помощью LanguageTool или Duden по умолчанию отключена, а также указано, что параметры AI и DeepL на уровне сервера также отключены по умолчанию. Возможно, администратор или интеграция включили их. Если эти параметры присутствуют в установленной вами версии CODE, оставьте их отключенными, если они вам не нужны:

--o:languagetool.enabled=false
--o:ai.enabled=false
--o:deepl.enabled=false

Включайте только параметры, поддерживаемые установленной версией, и объединяйте их, extra_paramsвместо того чтобы создавать второе конфликтующее значение. Аналогичные эффекты можно настроить в соответствующих разделах <languagetool>, <ai>, и <deepl>в собственном XML-файле установки.

Проверьте remote_config.remote_urlих remote_font_config.urlперед удалением. Пустой URL-адрес удаленной конфигурации позволяет избежать необязательной загрузки конфигурации; URL-адрес удаленного шрифта может законно указывать на вашу собственную установку Nextcloud. Удаление может повлиять на типографику документа, поэтому сохраните его, если служба шрифтов одобрена и необходима. Также проверьте все настроенные адреса WebSocket для мониторинга и дополнительные плагины, такие как менеджер цитирования, в соответствии с потребностями вашей системы.

Ведение журналов — это отдельный вопрос конфиденциальности, а не доказательство внешней телеметрии. Ознакомьтесь с logging.docstats, logging.userstats, и logging.anonymize.anonymize_user_dataесли вы хотите ограничить локальные идентификаторы в диагностике. Ведите достаточное количество журналов безопасности и оперативного управления для устранения неполадок; изменение уровня детализации журналов не блокирует исходящие сокеты.

4. Ограничьте исходящий трафик, не нарушая WOPI.

Изменение только конфигурации не может гарантировать отсутствие неожиданных исходящих соединений. Разместите CODE за брандмауэром или прокси-сервером исходящего трафика, который разрешает конкретные адреса и порты, необходимые для вашей системы. Обычно это означает ваш утвержденный хост хранения WOPI, любые внутренние службы шрифтов или идентификации, которые вы фактически используете, и необходимую инфраструктуру, такую ​​как внутренний DNS. Заблокируйте другие интернет-адреса, включая неутвержденные конечные точки обновления, для рабочей нагрузки CODE.

Не следует слепо отключать сеть или устанавливать сетевой параметр Docker internal: trueв зависимости от вашей архитектуры, это может помешать CODE связаться со своим WOPI-сервером или помешать работе необходимых интеграций. Также помните, что браузер пользователя загружает ресурсы редактора и может отправлять запросы независимо от сервера CODE; правила брандмауэра сервера не регулируют работу браузера.

В случае использования Docker Engine с бэкендом iptables, Docker описывает DOCKER-USERцепочку правил как предназначенное место для правил переадресации, управляемых администратором. При использовании бэкенда nftables следует реализовать отдельную базовую цепочку правил, а не предполагать DOCKER-USERеё существование. Разрабатывайте правила для вашей фактической сети моста или контейнера, IPv4 и IPv6, DNS, состояния соединения и легитимного трафика WOPI; универсальное DROPправило, скопированное в файл, можно редактировать в автономном режиме. Перед применением политик ознакомьтесь с рекомендациями Docker по iptables и nftables .

5. Проверьте изменения, включая фактическую активность в сети.

После перезапуска или создания контейнера проверьте журналы запуска на наличие ошибок конфигурации и протестируйте открытие, редактирование и сохранение документа через обычную интеграцию с хранилищем. Один только адаптивный редактор не является доказательством того, что все несанкционированные запросы прекращены. Проверьте параметры запуска, а затем просмотрите журналы DNS и исходящих соединений с вашего брандмауэра, исходящего прокси или сети контейнера во время запуска и редактирования документа.

docker logs --since 10m code
# Check configured flags without exposing unrelated environment secrets:
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code | grep '^extra_params='

В нативных установках используйте sudo journalctl -u coolwsd --since '10 minutes ago'и проверяйте локальный XML-код. В браузере откройте инструменты разработчика и просмотрите вкладку «Сеть» при открытии документа. Различайте запросы к вашим собственным хостам CODE и WOPI от сторонних источников.

Критерии успеха: CODE загружает и сохраняет документы в обычном режиме; параметр проверки обновлений установлен на ноль; дополнительные облачные интеграции остаются отключенными, если они не были явно одобрены; и мониторинг сети показывает только разрешенные адреса назначения в течение периода наблюдения. Если загрузка документа не удается после фильтрации трафика, временно проверьте запрещенные адреса назначения на соответствие утвержденному списку WOPI и инфраструктуры, а не отключайте проверку сертификатов TLS или открывайте неограниченный исходящий трафик.

Основные справочные материалы: поддерживаемый Collabora шаблон конфигурации сервера , конфигурация контейнера Nextcloud All-in-One CODE и официальное описание образа Docker для CODE . В них описаны соответствующие настройки и схемы развертывания; они не заменяют аудит сети вашей конкретной установки.