Deshabilitar las comprobaciones de actualización de código de Collabora y las conexiones no deseadas.

Para evitar que Collabora Online Development Edition (CODE) realice su comprobación de versión programada, configure fetch_update_checky 0. allow_update_popupPara falseuna implementación que no deba contactar con servicios externos no autorizados, desactive también las integraciones no utilizadas y aplique una lista de permitidos de salida en el límite de la red; ocultar las notificaciones de actualización por sí solo no bloquea el tráfico de red.

Sepa lo que está desactivando.

A octubre de 2026, coolwsd.xml.inla documentación de Collabora mantiene un intervalo de comprobación de actualizaciones de 10 horas y un control independiente para las notificaciones de actualización. No documenta una opción universal denominada "deshabilitar la telemetría". Una solicitud de actualización, la edición opcional asistida por la nube, los registros de diagnóstico locales y la conexión WOPI esencial a un servidor de almacenamiento de documentos son elementos distintos. Considerarlos como una sola configuración puede dejar las conexiones activas o interrumpir la edición de documentos.

Estas instrucciones se aplican principalmente a una collabora/codeimplementación independiente de Docker. Las instalaciones de paquetes utilizan los mismos conceptos de configuración, pero normalmente editan /etc/coolwsd/coolwsd.xmly reinician el coolwsdservicio. Las instalaciones de CODE integradas y gestionadas por otro producto pueden regenerar las opciones de inicio; modifíquelas en el producto que las gestiona en lugar de parchear archivos temporales.

1. Identifique la configuración de ejecución y mantenga una copia de seguridad.

Primero, determine si su servicio CODE está configurado mediante Docker Compose, un docker runcomando o un paquete nativo. Para Docker, inspeccione el contenedor y su entorno actual sin publicar la salida, ya que las variables de entorno pueden contener credenciales:

docker ps --format 'table {{.Names}}	{{.Image}}'
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code

Sustituya codepor el nombre real de su contenedor. Guarde una copia segura del archivo de implementación o del existente coolwsd.xmlantes de modificarlo. Si su configuración de Compose ya incluye terminación TLS, permisos de host WOPI o parámetros de autenticación, conserve esos valores.

2. Desactive la conexión de actualización periódica.

Para Docker Compose

Agregue estas opciones al extra_paramsvalor existente debajo del bloque de su servicio CODE environment. Esto es un fragmento, no un reemplazo completo. Archivo Compose:

services:
  code:
    environment:
      extra_params: >-
        --o:fetch_update_check=0
        --o:allow_update_popup=false

Combina las dos banderas con las banderas existentes extra_paramsen lugar de sobrescribirlas. Luego, recrea solo el servicio CODE con docker compose up -d --no-deps --force-recreate code, usando el nombre real de tu servicio Compose. En una docker runimplementación, incluye las mismas opciones en la extra_paramsvariable de entorno al recrear el contenedor.

Para paquetes de Linux

Editar /etc/coolwsd/coolwsd.xml. Localice los elementos existentes y cambie sus valores, conservando sus atributos originales:

<fetch_update_check>0</fetch_update_check>
<allow_update_popup>false</allow_update_popup>

Si los elementos existentes contienen atributos, consérvelos y cambie solo los valores de texto. Compruebe que el archivo sea XML válido antes de reiniciar; por ejemplo, utilice xmllint --noout /etc/coolwsd/coolwsd.xmlsi xmllintestá instalado. Reinicie utilizando sudo systemctl restart coolwsd.

Importante: allow_update_popup=false desactiva la notificación de actualización del editor; no es un control de salida en sí mismo. Esta fetch_update_check=0configuración gestiona la comprobación programada. Su organización debe seguir realizando el seguimiento de las actualizaciones de seguridad mediante su proceso de mantenimiento habitual.

3. Desactive los servicios opcionales que pueden contactar con otros anfitriones.

Revise la configuración activa para integraciones remotas. En la configuración actual, la revisión remota de LanguageTool o Duden está deshabilitada de forma predeterminada, y los interruptores de IA y DeepL para todo el servidor también están documentados como deshabilitados de forma predeterminada. Es posible que un administrador o una integración los hayan habilitado. Si estas opciones existen en su versión de CODE instalada, manténgalas deshabilitadas si no las necesita.

--o:languagetool.enabled=false
--o:ai.enabled=false
--o:deepl.enabled=false

Incluya solo las opciones compatibles con su versión instalada y combínelas extra_paramsen lugar de establecer un segundo valor conflictivo. Los mismos efectos se pueden configurar en las secciones correspondientes <languagetool>de <ai>una <deepl>instalación XML nativa.

Inspeccione remote_config.remote_urly remote_font_config.urlrevise antes de eliminarlas. Una URL de configuración remota vacía evita la obtención de esa configuración opcional; una URL de fuente remota puede apuntar legítimamente a su propia instalación de Nextcloud. Eliminarla puede afectar la tipografía del documento, así que consérvela si el servicio de fuentes está aprobado y es necesario. Examine también las direcciones WebSocket de monitorización configuradas y los complementos adicionales, como un gestor de citas, según las necesidades de su implementación.

El registro de eventos es una cuestión de privacidad aparte, no una prueba de telemetría externa. Revise logging.docstats, logging.userstats, y logging.anonymize.anonymize_user_datasi desea limitar los identificadores locales en los diagnósticos. Mantenga un registro de seguridad y operativo suficiente para solucionar incidentes; cambiar el nivel de detalle del registro no bloquea las conexiones salientes.

4. Restringir el tráfico saliente sin interrumpir WOPI

Un cambio de configuración únicamente no garantiza la ausencia total de conexiones salientes inesperadas. Coloque CODE detrás de un firewall o proxy de salida que permita los destinos y puertos específicos que requiere su implementación. Por lo general, esto incluye su servidor de almacenamiento WOPI aprobado, cualquier servicio interno de fuentes o identidad que utilice y la infraestructura necesaria, como el DNS interno. Bloquee otros destinos de Internet, incluidos los puntos de actualización no autorizados, para la carga de trabajo de CODE.

No desactive la red indiscriminadamente ni configure la red de Docker de forma incorrecta internal: true; dependiendo de su arquitectura, esto podría impedir que CODE acceda a su servidor WOPI o que funcionen las integraciones necesarias. Recuerde también que el navegador del usuario carga los recursos del editor y puede realizar solicitudes independientemente del servidor de CODE; las reglas del firewall del servidor no afectan al navegador.

Para las instalaciones de Docker Engine que utilizan el backend iptables, Docker documenta la DOCKER-USERcadena como el lugar previsto para las reglas de reenvío del administrador. Con el backend nftables, implemente una cadena base independiente en lugar de asumir que DOCKER-USERya existe. Diseñe reglas para su red de puente o contenedor, IPv4 e IPv6, DNS, estado de conexión y tráfico WOPI legítimo; una DROPregla genérica copiada y pegada permite editarla sin conexión. Consulte la guía de Docker para iptables y la guía de Docker para nftables antes de aplicar la política.

5. Verificar los cambios, incluida la actividad real de la red.

Tras reiniciar o recrear un contenedor, revise los registros de inicio en busca de errores de configuración y pruebe a abrir, editar y guardar un documento mediante la integración de almacenamiento habitual. Un editor que responda correctamente no garantiza que se hayan detenido todas las solicitudes no autorizadas. Compruebe los parámetros de inicio en ejecución y, a continuación, revise los registros DNS y de conexiones salientes de su firewall, proxy de salida o red de contenedores durante el inicio y la edición de documentos.

docker logs --since 10m code
# Check configured flags without exposing unrelated environment secrets:
docker inspect --format '{{range .Config.Env}}{{println .}}{{end}}' code | grep '^extra_params='

En instalaciones nativas, utilice sudo journalctl -u coolwsd --since '10 minutes ago'e inspeccione el XML local. En el navegador, abra las herramientas para desarrolladores y revise la pestaña Red mientras abre un documento. Distinga las solicitudes dirigidas a sus propios hosts CODE y WOPI de las de destinos de terceros.

Criterios de éxito: CODE carga y guarda documentos con normalidad; la opción de verificación de actualizaciones está configurada en cero; las integraciones opcionales en la nube permanecen deshabilitadas a menos que se aprueben explícitamente; y la monitorización de la red muestra solo destinos permitidos durante el período de observación. Si la carga de documentos falla tras filtrar el tráfico, revise temporalmente los destinos denegados comparándolos con la lista de infraestructura y WOPI aprobados, en lugar de deshabilitar la verificación del certificado TLS o abrir el tráfico de salida sin restricciones.

Referencias principales: la plantilla de configuración de servidor mantenida por Collabora , la configuración del contenedor CODE de Nextcloud All-in-One y la descripción oficial de la imagen Docker de CODE . Estos documentos detallan la configuración y los patrones de implementación relevantes; no sustituyen una auditoría de red de su instalación específica.