Cuando un host WOPI informa "Error de validación de prueba" o "Prueba WOPI no válida", primero confirme qué sistema registró el rechazo. Si el host de almacenamiento rechaza la solicitud firmada de Collabora, verifique el par de prueba-clave y la respuesta de descubrimiento antes de modificar las listas de hosts WOPI permitidos o deshabilitar las comprobaciones de prueba. Para las instalaciones de paquetes, Collabora normalmente genera el par de claves; para implementaciones de Docker, Kubernetes y de múltiples réplicas, el par debe proporcionarse y conservarse de forma consistente.
La validación de prueba de WOPI utiliza una solicitud firmada y la clave pública anunciada por el cliente WOPI en sus metadatos de descubrimiento. Es independiente de la lista de hosts WOPI de confianza de Collabora, la validación del certificado TLS y la verificación del token de acceso del host de almacenamiento. La regeneración de la clave puede ser útil cuando falta la clave privada o no coincide con la clave pública anunciada, pero puede generar una nueva discrepancia si solo cambia una réplica o si un host aún conserva datos de descubrimiento en caché.
| Evidencia en el registro | Zona probable para revisar |
|---|---|
| El host de almacenamiento indica "Prueba WOPI no válida" al recibir CheckFileInfo u otra solicitud WOPI. | La clave de prueba de Collabora, los datos de descubrimiento del host, la reconstrucción de la URL o la marca de tiempo. |
| Collabora indica “Host WOPI no autorizado” o “No hay hosts WOPI aceptables”. | La lista de hosts permitidos/configuración de dominio de WOPI, no la clave de prueba. |
| Token no válido, caducado o acceso denegado sin error de prueba. | Token de acceso emitido por el host, permisos o vencimiento del token |
Compruebe que haya una solicitud fallida tanto en los registros de Collabora como en los del servidor de almacenamiento; un indicador de carga del navegador por sí solo no indica un fallo de la clave de prueba.
Comience con la opción menos disruptiva. En una instalación basada en paquetes, verifique primero los archivos de clave y los registros de servicio existentes; la documentación actual de Collabora indica que las instalaciones de paquetes RPM y Debian generan automáticamente un par de claves de prueba WOPI. Si estos archivos están presentes y son estables, generalmente no es necesario rotarlos.
| Despliegue | Acción recomendada | Intercambio |
|---|---|---|
| Servidor gestionado por paquete único | Conserva el par de claves generado; repara los permisos o regenera solo si faltan o no coinciden. | Cambios mínimos, pero verifique la versión de su paquete y las rutas configuradas. |
| Contenedor Docker único | Genera un par una sola vez y móntalo de forma persistente en el contenedor. | Requiere un volumen persistente y acceso de lectura correcto para coolwsd. |
| Kubernetes o múltiples réplicas | Monta un par de claves/secretos compartidos en cada instancia de Collabora. | Firmas consistentes en todas las réplicas; la rotación también debe actualizar la vista de descubrimiento del host. |
| La URL del host cambió detrás de un proxy. | Verifique el esquema público, el host, la ruta y la cadena de consulta utilizados para la validación de la firma. | Es más complejo que rotar claves, pero evita cambios de credenciales innecesarios. |
El manual de Collabora 24.04 indica que la imagen pública de Docker no incluye un par de claves de prueba; genere uno y móntelo de forma persistente. El gráfico oficial de Helm admite secretos con claves de prueba. Nunca genere un par independiente para cada réplica, ya que el balanceo de carga puede provocar fallos intermitentes.
coolwsd.xmlconfiguración de la ruta de la clave de prueba y comprueba que tanto la clave privada como la pública estén disponibles. Las ubicaciones habituales se encuentran en /etc/coolwsd/, pero la estructura del paquete y del contenedor puede variar. Nunca pegues la clave privada en registros, tickets o chats.sudo openssl pkey -in /etc/coolwsd/proof_key -pubout -outform DER | sha256sumy openssl pkey -pubin -in /etc/coolwsd/proof_key.pub -outform DER | sha256sum. Los hashes resultantes deben coincidir. Si sus rutas difieren, sustitúyalas por las rutas configuradas. Si no se puede leer la clave privada, corrija su propiedad y permisos según el modelo de seguridad del servicio; no la haga accesible a todos.sudo coolconfig generate-proof-keyla ubicación donde esté instalada la utilidad. Para Docker, genere el par en una ubicación persistente adecuada, luego monte ambos archivos donde Collabora los espera y asegúrese de que el proceso coolwsd pueda leer la clave privada. En una plataforma administrada, utilice su mecanismo Secret compatible en lugar de editar manualmente un pod en ejecución.
Verifique la sincronización horaria en ambos sistemas. Las solicitudes de prueba WOPI incluyen una marca de tiempo; un host puede rechazar una marca de tiempo antigua o fuera de rango. Confirme que el servicio de hora NTP o de la plataforma funcione correctamente y que los servidores informen horas UTC correctas. No flexibilice las comprobaciones de marcas de tiempo para solucionar un problema de reloj.
A continuación, inspeccione la URL pública que el host utiliza para reconstruir la solicitud firmada. La prueba está vinculada a la URL de la solicitud, incluidos los parámetros de consulta relevantes, y la especificación WOPI exige que la representación de la URL utilizada para la validación coincida con el formato firmado. Un proxy inverso que finaliza HTTPS puede hacer que la aplicación vea una URL HTTP interna, aunque Collabora haya firmado la URL HTTPS pública. Configure los encabezados del proxy de confianza y la configuración de la URL externa de la aplicación según las directrices oficiales del host WOPI; no modifique la lógica de la prueba ni elimine los parámetros de consulta.
Si la prueba falla solo después de rotar la clave, actualice el descubrimiento y verifique que todas las réplicas de Collabora expongan la misma clave pública. Si solo fallan las solicitudes enrutadas a través de un proxy o una réplica, compare los registros y la configuración de esa ruta en lugar de rotar la clave nuevamente. Deshabilitar la validación de la prueba puede debilitar una comprobación de seguridad y no debe usarse como solución en producción.
Una apertura de documento exitosa verifica únicamente esa ruta; repita la verificación para cada host WOPI y ruta proxy que utilice.
Detecta fallos en la prueba WOPI de Collabora debidos a claves que no coinciden, datos de descubrimiento obsoletos, desfase horario o cambios en la URL del proxy, sin debilitar la validación.
Restablezca el zoom del navegador, pruebe una sesión limpia e identifique cuándo un menú de tamaño con formato incorrecto necesita una actualización del servidor de Collabora.
Implemente Collabora CODE con Docker, conéctelo de forma segura a Nextcloud Office y verifique la edición de documentos con comprobaciones prácticas de WOPI y proxy.
Activa temporalmente el modo de depuración de coolwsd, captura un intento de apertura fallido y utiliza la secuencia de registros para separar los problemas de WebSocket, WOPI, proxy y contenedor.
Configure el inicio de sesión de administrador de Collabora Online para Docker o Linux, reinicie el servicio correspondiente y verifique la nueva contraseña sin exponerla.
Antes de cambiar la configuración de Collabora o reiniciar el servicio, averigüe si la carga de la CPU proviene de documentos activos, procesos de trabajo inactivos o la capacidad del servidor.
Compruebe si Docker está limitando el límite de memoria de Collabora CODE, aumente de forma segura el límite de memoria de Compose y confirme que el contenedor en ejecución ha recibido el nuevo límite.
Simplifique Collabora CODE con el modo compacto o con pestañas y los controles WOPI PostMessage para ocultar de forma segura los botones, comandos y pestañas seleccionados.
Configurar Nginx para que se encargue del HTTPS en un contenedor Collabora CODE, reenviar correctamente la edición de WebSockets y verificar el punto final público sin exponer el puerto 9980.
Solucione el problema de que el teclado del navegador móvil cubra el texto en Collabora Online, con soluciones rápidas y comprobaciones independientes para navegadores, WebViews integrados y páginas anfitrionas.
