@exprenpn wyjdź z założenia że nie ma zabezpieczeń nie do obejścia. Możesz tylko dołożyć starań żeby włamanie było trudniejsze i liczyć że nie znajdzie się zdeterminowany autystyk który uprze się akurat na Twój sprzęt

Nextclouda odradzam nie dla tego że jest jakiś dziurawy czy coś, ale zwykle trzyma się tam rzeczy raczej prywatne typu dokumenty, zdjęcia itp.

Sama aplikacja może być napisana poprawnie w sensie bezpieczeństwa ale trafi się exploit na bibliotekę z której ta aplikacja korzysta czy framework i już mamy nowy wektor ataku.

Powyżej opisane jest podejście paranoiczne.

Podejście zdroworozsądkowe to może być np logowanie do nextclouda z użyciem 2fa albo oauth (zewnętrzny dostawca tożsamości jak np google).

Jednak i w zdrowym rozsądku wystawiasz niezbędne minimum do działania aplikacji. Jeśli więc na jednym hoście masz aplikację i bazę, to przekierowujesz jedynie port na którym nasłuchuje aplikacja, a nie cały adres IP.

Dobrym rozwiązaniem jest także skorzystanie z reverse proxy jakie udostępnia Cloudflare. Ogólnie poziom ich usług jest wysoki i takie pchełki jak NC na RPi nie powinny kosztować jakoś przesadnie dużo.