Stap 17 – Beveiliging¶

Doel: je thuiscloud is van buitenaf niet makkelijker binnen te komen dan nodig. Tijd: 30–60 minuten.

17.1 Wat je nu al hebt¶

Geen open poorten in je router: de tunnel is alleen uitgaand. Scans vanaf internet bereiken je thuisnetwerk niet.
Cloudflare vangt aanvallen op die je netwerk overspoelen (DDoS).
Nginx Proxy Manager blokkeert met Block Common Exploits veel standaard-aanvalspatronen. Niet tegen het raden van wachtwoorden.

17.2 Wat je zelf moet regelen¶

Wachtwoorden en 2FA

Elk account (Umbrel, Immich, bestanden-app, NPM, Pi-hole, Cloudflare, registrar, router) heeft een uniek, sterk wachtwoord in een wachtwoordmanager.
2FA aan waar het kan: Umbrel, Cloudflare, registrar, Nextcloud, FileBrowser Quantum (TOTP).
Er zijn geen standaardwachtwoorden meer (admin/admin enz.).

Wat staat er op internet?

In de tunnel (stap 12.3) staan alleen de apps die je gezin onderweg nodig heeft.
Nooit via de tunnel: het Umbrel-dashboard, NPM-beheer, Pi-hole, Portainer, routerbeheer.
Ongebruikte apps verwijder je.

Extra slot: Cloudflare Access (aanbevolen voor bestanden en beheer) Cloudflare Access zet vóór een dienst een extra inlogstap, bijv. "code per e-mail, alleen voor deze e-mailadressen". Gratis voor kleine groepen. ⚠️ Te controleren de actuele limieten van het gratis plan.

Zero Trust → Access → Applications → Add an application → Self-hosted.
Adres: bijv. bestanden.jouwdomein.nl.
Policy: Allow, Include → Emails: de e-mailadressen van je gezinsleden.
Inlogmethode: One-time PIN (code per e-mail).

🛑 Let op bij Immich: de mobiele app kan normaal niet door Cloudflare Access heen. Gebruik voor fotos. géén Access, tenzij je de geavanceerde optie met service tokens en aangepaste proxy-headers in de Immich-app instelt. ⚠️ Te controleren dit is niet uitgewerkt in deze gids.

Updates

Je houdt umbrelOS en de apps bijgewerkt (zie stap 20). De meeste lekken worden gedicht met updates.

17.3 Wat je niet automatisch beschermt¶

Het raden van wachtwoorden op inlogpagina's (daarom sterke wachtwoorden, 2FA en Access).
Nieuwe, nog onbekende lekken in apps (daarom updates en zo weinig mogelijk online).
Een besmette laptop in je eigen huis (daarom een back-up die niet altijd aangesloten is: de wisselschijf uit stap 5.2).

✅ Controlepunt: alle vinkjes hierboven staan.

➡️ Volgende: Stap 18 – Gezin aan boord