Was geprüft wird
- status.php: Version, Installationszustand, Wartungsmodus und ob ein Datenbank-Upgrade aussteht.
- Patchstand: Vergleich mit dem aktuellen Release des Zweigs und mit dem neuesten Zweig (Daten von endoflife.date, täglich aktualisiert).
- Pfade, die von außen nicht erreichbar sein dürfen:
config/config.php,data/,.htaccessund.git/config. - App richdocumentscode: die Erweiterung hinter der Command-Injection-Lücke 2026 — installiert oder nicht.
- Sicherheits-Header der Anmeldeseite: HSTS, nosniff, Frame-Schutz, Referrer-Policy und ob die PHP-Version verraten wird.
Ohne Login, ohne Daten
status.php ist bei Nextcloud bewusst öffentlich und enthält weder Benutzer noch Dateien. Der Check meldet sich nicht an, liest keine Inhalte und speichert nichts; zur Missbrauchsabwehr wird eine gesalzene Prüfsumme Ihrer IP-Adresse eine Stunde lang gehalten. Nur öffentliche HTTPS-Adressen werden abgefragt. Bei einer fremden Instanz vorher den Betreiber fragen — ein Scan ohne Erlaubnis ist unhöflich und kann als Angriff gewertet werden.
Wenn etwas rot ist
config.php und data/ müssen 403 oder 404 liefern. In nginx im server-Block:
location ~ ^/(?:build|tests|config|lib|3rdparty|templates|data)(?:$|/) { deny all; }
location ~ ^/\.(?!well-known) { deny all; }In Apache in der vhost-Konfiguration oder .htaccess: <FilesMatch "^\.(?!well-known)"> Require all denied </FilesMatch> und <Files "config.php"> Require all denied </Files>. Ein .git-Verzeichnis gehört nicht in den Webroot: löschen, nicht nur blocken. X-Powered-By verschwindet mit expose_php = Off in der php.ini.
Version und Support
Welche Nextcloud-Zweige noch Sicherheits-Updates bekommen, steht tagesaktuell unter Nextcloud: Versionen und Support-Ende. Ein Zweig ohne Updates ist das größte Risiko — auch wenn die Installation sonst sauber ist.
Datenschutz
Die eingegebene Domain bzw. Adresse wird an diesen Server gesendet, der die Abfrage ausführt. Es wird nichts gespeichert; zur Missbrauchsabwehr wird eine gesalzene Prüfsumme Ihrer IP-Adresse eine Stunde lang gehalten. Nur öffentliche Adressen werden abgefragt.