Sentinel — instalar y ejecutar las comprobaciones de seguridad de Nextcloud

Instalación

Inicia sesión en tu cuenta de MediaLab Works, abre Licenses y descarga el archivo de la app sentinel-x.y.z.tar.gz (disponible con una suscripción activa, una licencia de por vida dentro de su período de actualizaciones o durante la prueba gratuita de 30 días).
Extráelo en la carpeta apps/ (o custom_apps/) de Nextcloud para obtener apps/sentinel/, con propietario el usuario del servidor web:
```
cd /var/www/nextcloud/apps
sudo tar -xzf ~/sentinel-x.y.z.tar.gz
sudo chown -R www-data:www-data sentinel
```
Actívala: sudo -u www-data php occ app:enable sentinel, o desde la página Apps.
Abre Ajustes de administración → Sentinel → Licencia, pega tu clave de licencia y guarda. La app contacta con el servidor de licencias, vincula la clave a esta instancia de Nextcloud y muestra la licencia como Activa.

Licencia

La licencia se comprueba una vez al día. Sin internet la app sigue funcionando 7 días después de la última comprobación exitosa; después se detiene hasta poder comprobar de nuevo.

Sin una licencia válida la app se detiene: los vigilantes y los trabajos en segundo plano no se ejecutan y no se envía ninguna alerta, sus páginas y su API responden con el motivo, y solo la sección Licencia sigue funcionando (desde ahí puedes iniciar la prueba, introducir la clave o renovar). No se borra nada: la línea base, el registro y cada ajuste se conservan, y la vigilancia se reanuda en cuanto la licencia vuelve a ser válida.

Primeros pasos

Toma la línea base cuando la instalación esté en el estado que debe tener: sudo -u www-data php occ sentinel:baseline take (o desde la sección de línea base de la página). Desde entonces solo se reportan los cambios desde ese momento.
Asegúrate de que las alertas llegan: en Avisos, elige a partir de qué gravedad se usan la campana y el correo, añade una dirección adicional (idealmente una que llegue a un móvil), fija la hora del resumen diario y pulsa Enviar un mensaje de prueba.
Lee el resumen: en qué estado está el servidor, qué se vigila y qué no, y si las alertas llegarían a alguien.

Configuración

Todo está en Ajustes de administración → Sentinel (la misma consola también está en el menú superior). No hay nada fijo:

Sección	Qué se configura
Avisos	Campana, correo, a partir de qué gravedad cada uno, direcciones adicionales, resumen diario y su hora
Vigilancia	Qué vigilar, cada cuánto, a quién se avisa, a partir de qué gravedad, cuánto tiempo se conserva el registro
Qué se considera demasiado antiguo	Contraseñas de aplicación obsoletas, sesiones inactivas, administradores inactivos, enlaces sin caducidad
Los archivos	Qué partes de la instalación cubre la línea base, tipos de archivo, exclusiones, límite de tamaño, hash
Desde dónde se conecta la gente	Recordar redes o no, avisar en las nuevas, qué precisión tiene una red, cuentas a ignorar
Enlaces públicos	Vigilar el uso de enlaces, qué tamaño de grupo merece mención, cuánto por encima del récord propio del enlace, intentos de contraseña rechazados que cuentan como adivinación
Archivos que cambian muy rápido	Ventana, número de reescrituras, eliminaciones o renombres a una extensión, y si solo alertar o deshabilitar la cuenta
Preguntar al servidor qué sirve	Sonda activada o no, rutas adicionales, días de aviso antes de que caduque el certificado
Qué programa está escribiendo	Si se espera el daemon EDR y dónde deja sus informes
Un escáner a consultar	Usar ClamAV, su socket, qué parte de un archivo enviar

Daemon EDR opcional (incluido en apps/sentinel/edr/, se ejecuta como root fuera de Nextcloud):

cd /var/www/nextcloud/apps/sentinel/edr
sudo sh install.sh
sudoedit /etc/sentinel-edr/config.ini    # at minimum data_dir
sudo sh install.sh                       # again, to grant the paths it needs
sudo systemctl enable --now sentinel-edr

Uso diario

Actúa sobre los hallazgos del resumen: cada uno dice qué significa, qué pasa si se ignora, y trae la solución (caducar, revocar, quitar) junto a él.
Después de una actualización de Nextcloud o de una app, aprueba los archivos cambiados: occ sentinel:baseline accept --all --note "Nextcloud 34.0.4". Entonces solo quedan los cambios sin explicar.
Desde un terminal: occ sentinel:check (el informe; --inventory, --json, --quiet-when-clean, --probe). El código de salida es distinto de cero cuando algo necesita atención, así que una entrada cron semanal que envíe correo solo ante fallos es una sola línea.
Desactivar Sentinel (al final de la página): pausa la vigilancia, apaga la app conservando todo, o elimínala con cada registro que guardó. occ app:disable sentinel lo conserva todo; occ sentinel:remove lo borra.

Solución de problemas

La sección de integridad enumera muchos archivos cambiados justo después de instalar: todavía no se ha tomado la línea base, o una actualización no se aprobó. Tómala, o ejecuta occ sentinel:baseline accept --all --note "..." tras comprobarlo.
No se vigila nada aunque la app esté activada: los trabajos en segundo plano deben ejecutarse (Cron). Tras desactivar y reactivar, abre una vez la página de Sentinel: los trabajos se restablecen y la comprobación de configuración lo indica.
Las alertas por correo no llegan: comprueba los ajustes del servidor de correo de Nextcloud y usa Enviar un mensaje de prueba. Los administradores sin dirección de correo solo reciben la campana.
Quitar con occ app:remove sentinel dejó tablas en la base de datos: elimínala desde dentro de la app o con occ sentinel:remove en su lugar. Las cuentas que Sentinel deshabilitó siguen deshabilitadas hasta que se liberen (--release-accounts), y el daemon EDR sigue ejecutándose hasta que lo detengas: systemctl disable --now sentinel-edr.