Ausprobieren: Nextcloud-Check — Domain eingeben, Ergebnis lesen. Kein Konto, kein Login, keine Daten gespeichert.
Warum von außen?
Im Admin-Bereich siehst du Version und Wartungsmodus. Was du nicht siehst: ob /config/, /data/ oder /.htaccess über das Web erreichbar sind, ob HSTS fehlt, ob die Instanz noch Sicherheits-Updates bekommt. Genau das ist der Blickwinkel, aus dem ein Scanner arbeitet — und der Punkt, an dem die meisten selbst betriebenen Instanzen auffallen.
Was geprüft wird
- Version und Support-Ende: die tatsächlich ausgelieferte Version, der Zweig, das Datum bis zu dem Sicherheits-Updates erscheinen. Verglichen mit den offiziellen EOL-Daten.
- Exponierte Pfade:
config,data,.htaccess,.gitund die Collabora-Code-Apprichdocumentscode. Erwartet wird HTTP 404. Ein 200 ist ein Befund. - Security-Header: HSTS,
X-Content-Type-Options: nosniff,X-Frame-Options,Referrer-Policy. - Informationsleck: ob der Server seine Version verrät.
Was das Ergebnis nicht ist
Kein Penetrationstest und keine Schwachstellen-Suche in der App. Es ist der erste Blick: läuft überhaupt eine unterstützte Version, und steht etwas offen, das nicht offen stehen darf. Beides findet man in wenigen Sekunden, ohne occ und ohne SSH.
Beispiel
curl "https://ihre-domain.example/tools/api/nc.php?u=cloud.example.com"Zurück kommt JSON: Status, Version, Support-Ende und eine Liste der Checks mit ok, warn oder bad. Dieselbe Logik steckt hinter dem Frontend in drei Sprachen.
Wenn die Version alt ist
Der Weg ist immer derselbe: Patchstand prüfen, auf den neuesten Patch des laufenden Zweigs gehen, dann den Major-Wechsel planen. Welche Zweige noch Support haben, steht in der Tabelle /versionen/nextcloud/.