7月16日的泄露消息，让不少自托管玩家心里一紧：Nextcloud自己的服务器集群被曝出数据泄露。这个把"把数据掌握在自己手里"喊得最响的平台，自家员工和客户的数据被暴露在了公网上。
很多NAS用户看到新闻的第一反应是：我部署在家里NAS上的Nextcloud，要不要赶紧把密码全改了？
先别慌，我们先把这件事看清楚，再说谁真正需要紧张。
目前国内不少玩家会选择把Nextcloud部署在绿联这类NAS上，借助设备自带的远程穿透功能，没有公网IP也能从外面访问。小红书
一、到底泄露了什么
据相关报道，这次是Nextcloud一个未受保护的数据库直接暴露在公网上，共包含36.7万条记录、8GB数据，内容包括员工个人信息、客户公司资料和各种合同文件。知乎
这些信息大多没有加密，员工邮箱、客户公司名称和地址等全部外泄。知乎
官方表示未发现未经授权的访问行为，但发布报告的安全厂商并不认可，认为官方如果不做深度取证，就无法排除数据已被窃取的可能。知乎注意，该事件目前只有单一信源（一家SSL厂商的软文），官方还没有公布详细取证结论，值得继续跟进。但有一点现在就能确认：泄露的是Nextcloud公司内部集群，存的是他们自己的员工信息和客户合同资料，不是任何自建实例的用户数据。你NAS上的Nextcloud，数据存在你自己的硬盘里，这次外泄的数据里不包含你实例里的文件、照片和文档。
二、对自建用户有什么影响
直接影响：基本没有。但有两个间接风险，值得认真对待。
一是钓鱼风险。这次泄露的员工邮箱、客户公司资料，恰恰是最容易被拿去做定向钓鱼的素材。之后如果收到自称"Nextcloud安全通知"“服务商迁移提醒”、要求点链接输密码的邮件，一律先按钓鱼处理。
二是同病风险。这次事故的根源是"数据库暴露公网+未加密"，这类配置问题在自建圈并不少见：直接映射端口到公网、用弱密码、常年不更新版本的，大有人在。
你的Nextcloud实例里装的不只是文件，日历日程、联系人、备忘录、书签都在里面，一旦失守，损失远不止"丢几张照片"。
三、七项自查，半小时内能做完
1. 看一眼管理后台概览页。 登录管理后台，概览页会提示版本告警和常见安全配置问题，比什么都靠谱。
2. 升级到最新版本。 今年3月发布的Hub 26大版本，在B站搬运的字幕视频里被称为"取代GoogleDrive的工具又更强大了"，还附带升级指南。哔哩哔哩如果你还停留在两年前的旧版本，先备份再升级。
3. 检查HTTPS证书与自动续期。 连专门的Nextcloud托管商，如今都把Let’s Encrypt证书自动续期列为生产环境的重点优化项。微博如果你的证书三个月前就过期了还没发现，等于后台一直在裸奔。
4. 打开两步验证。 在个人设置里启用TOTP，绑定一个认证器App，这是性价比最高的一道防线。
5. 检查密码强度。 别笑这一条，德国国防部曾把通话录音存在Nextcloud网盘里，密码是1234。微博系统再强，密码一泄就全泄。
6. 换一种外网访问方式。 优先Tailscale、ZeroTier这类组网方案或厂商远程访问，不要直接把端口裸露在公网。确因业务需要开放端口的，fail2ban加强密码是最低配置。
7. 检查备份是否真的可用。 一份完整的备份是三件套：data目录、数据库、config.php，最好再有一份异地。从来没做过恢复演练的，备份的只是心理安慰。
另外提醒一句：插件尽量只从官方应用商店安装，权限要求越多的插件，越要慎重。
四、谁才需要真正紧张，接下来盯什么
真正需要紧张的不是自建用户，而是购买了Nextcloud托管服务的企业——这次泄露的正是客户公司资料和合同文件。如果你用的是服务商托管的Nextcloud，可以发函问一问对方：隔离和加密措施做到了什么程度。
社区里也一直有反对声音：有人觉得自己搭建nextcloud并未带来实际便利和隐私保障，反而增加了复杂。小红书这个说法放在"托管服务"场景里成立，但对自建用户来说逻辑相反：风险不在软件本身，而在你的部署方式，上面七项自查就是把风险拉回可控范围。
接下来还有两个动向值得盯。一是官方后续：Nextcloud是否会在官网安全页面公布详细取证结论，将决定这件事最终定性为"泄露"还是"虚惊"。二是Euro-Office：Nextcloud、Ionos等十余家欧洲企业组成联盟，基于OnlyOffice分支推出Euro-Office，旨在提供微软Office 365和谷歌文档的替代方案，首个稳定版计划今年夏季发布。微博B站也有人专门在讨论ONLYOFFICE和Nextcloud之间有什么矛盾？哔哩哔哩你正在用的Nextcloud Office就基于ONLYOFFICE，等Euro-Office稳定版落地后，官方文档组件的兼容性和授权可能生变，依赖在线文档编辑的用户值得留意。
最后
自建从来不承诺绝对安全，它承诺的是：数据在你自己手里，责任也在你自己手里。这次泄露事件，对自建用户来说，更适合当成一次免费的体检机会——花半小时把上面七项查一遍，比恐慌有用得多。
