Controllare Nextcloud dall'esterno: versione, fine supporto e percorsi esposti

Provalo: controllo Nextcloud — inserisci il dominio, leggi il risultato. Nessun account, nessun login, niente salvato.

Perché dall'esterno?

Il pannello mostra versione e manutenzione. Non mostra se /config/, /data/ o /.htaccess sono raggiungibili dal web, se manca HSTS, se l'istanza riceve ancora aggiornamenti di sicurezza. È la prospettiva di uno scanner — e il punto in cui la maggior parte delle istanze self-hosted si fa notare.

Cosa viene controllato

• Versione e fine supporto: la versione realmente servita, il ramo, la data fino alla quale arrivano le correzioni di sicurezza. Confrontata con i dati ufficiali di end of life.
• Percorsi esposti: config, data, .htaccess, .git e l'app Collabora richdocumentscode. La risposta attesa è HTTP 404. Un 200 è un problema.
• Header di sicurezza: HSTS, X-Content-Type-Options: nosniff, X-Frame-Options, Referrer-Policy.
• Perdita di informazioni: se il server dichiara la propria versione.

Cosa non è

Non è un penetration test e non è una scansione delle vulnerabilità dell'app. È il primo sguardo: la versione è supportata e c'è qualcosa di aperto che aperto non dovrebbe stare? Entrambe le risposte arrivano in pochi secondi, senza occ e senza SSH.

Esempio

curl "https://tuo-dominio.example/tools/api/nc.php?u=cloud.example.com"

Restituisce JSON: stato, versione, fine supporto e la lista dei controlli con ok, warn o bad. La stessa logica alimenta il frontend in tre lingue.

Se la versione è vecchia

Il percorso è sempre lo stesso: controllare il livello di patch, passare all'ultima patch del ramo in uso, poi pianificare il salto di major. Quali rami hanno ancora supporto è nella tabella /it/versioni/nextcloud/.