Le chiffrement côté serveur Nextcloud protège le contenu des fichiers après leur arrivée sur l'instance, notamment lorsqu'ils sont stockés chez un prestataire externe. Les clés restent cependant sur le serveur. Cette fonction ne cache donc pas les documents à l'administrateur de l'instance et ne protège pas contre un serveur compromis.
Son activation modifie la gestion des clés, les sauvegardes, la récupération et la sortie du dispositif. Ce guide aide à choisir le bon mode, préparer un pilote et chiffrer les fichiers existants sans confondre cette fonction avec HTTPS, le chiffrement du disque ou le chiffrement de bout en bout.
Que protège le chiffrement côté serveur Nextcloud ?
Nextcloud chiffre le contenu des fichiers avant de l'écrire dans le stockage concerné. Le cas d'usage principal indiqué par la documentation officielle est le stockage externe exploité par un tiers. Si ce prestataire consulte directement les objets ou les blocs stockés, il ne dispose pas des clés conservées par Nextcloud pour retrouver le contenu lisible.
La protection ne couvre pas les noms de fichiers ni l'arborescence des dossiers. La documentation actuelle exclut aussi les aperçus, les vignettes, l'index de recherche plein texte et les données d'applications qui ne reposent pas sur des fichiers, par exemple Deck ou Tables. Les versions et éléments déjà présents dans la corbeille au moment de l'activation ne deviennent pas automatiquement chiffrés.
Le serveur doit déchiffrer un fichier pour le remettre à un utilisateur autorisé. Un administrateur qui contrôle l'instance, son secret et ses clés peut donc accéder au contenu dans le mode par défaut. Une compromission du serveur expose le même point de confiance. Pour rendre certains dossiers illisibles par l'administrateur, il faut étudier le chiffrement de bout en bout Nextcloud, avec ses limites propres pour le navigateur, la recherche et l'édition collaborative.
Le chiffrement côté serveur ne remplace pas HTTPS
HTTPS protège le trajet entre l'appareil et Nextcloud. Le chiffrement côté serveur intervient ensuite. Conservez TLS, les mises à jour, l'authentification multifacteur et les contrôles d'accès même lorsque les fichiers sont chiffrés au repos.
Clé maître ou clés utilisateur : quel mode choisir ?
Le module de chiffrement par défaut propose deux modèles de gestion des clés. Le choix doit être arrêté avant l'activation, car il change la récupération des données et la compatibilité avec l'authentification.
- Clé maître, mode par défaut : le serveur protège une clé centrale avec le secret de l'instance. Les fichiers restent accessibles après une réinitialisation du mot de passe. La documentation conseille ce mode à la majorité des déploiements qui font confiance aux administrateurs.
- Clés utilisateur : chaque clé privée est protégée par le mot de passe de l'utilisateur. Sans récupération préparée, un mot de passe oublié peut rendre les fichiers illisibles. Ce mode sert surtout à la compatibilité avec d'anciennes installations et à des besoins ciblés.
- Chiffrement de bout en bout : les clients autorisés détiennent les secrets nécessaires. La récupération dépend alors de la phrase et des appareils prévus. Ce mécanisme convient aux données qui doivent rester illisibles côté serveur.
En mode clé maître, l'exploitation est plus simple. Un changement de mot de passe utilisateur ne casse pas l'accès aux fichiers et l'administrateur peut assurer la continuité. La contrepartie est claire : l'administrateur capable d'utiliser la clé maître peut déchiffrer les fichiers.
Le mode par clés utilisateur doit être sélectionné avec occ encryption:disable-master-key avant l'activation du chiffrement. Nextcloud précise qu'il n'est pas compatible avec toutes les méthodes d'authentification, notamment SAML, puisque le serveur ne reçoit pas le mot de passe nécessaire à la clé. Les mots de passe d'application et certains parcours d'authentification unique posent aussi des limites. Ce mode ne doit pas être choisi comme un équivalent simple de l'E2EE.
Une clé de récupération n'existe que dans le mode par clés utilisateur. L'administrateur la définit, puis chaque utilisateur doit accepter son usage dans ses paramètres personnels. Sans cette double préparation, une réinitialisation administrative du mot de passe peut laisser les fichiers illisibles. Testez ce scénario avec un compte pilote avant d'en dépendre.
Que vérifier avant l'activation ?
Commencez par décrire le risque que vous voulez traiter. Si les fichiers restent uniquement sur un disque local que votre système contrôle, le chiffrement du volume, par exemple avec LUKS sous Linux, peut mieux répondre au vol du support. Si un bucket ou un stockage externe est administré par un tiers, le chiffrement côté serveur Nextcloud peut limiter la lecture directe de son contenu. Si l'administrateur Nextcloud ne doit jamais voir les documents, ce n'est pas le bon mécanisme.
Préparez ensuite les éléments suivants :
- un accès fonctionnel à la commande
occ, exécutée avec l'utilisateur HTTP et la version de PHP employés par l'instance ; - une sauvegarde cohérente de la base, de la configuration, des données et des clés ;
- une copie protégée du fichier
config.php, dont le secret participe à la protection de la clé maître ; - un compte pilote et des fichiers sans données sensibles ;
- une fenêtre sans modification des fichiers pour l'opération de chiffrement initial ;
- une procédure de restauration testée sur un environnement séparé ;
- une méthode de sortie qui prévoit le déchiffrement avant la désactivation du module.
Le guide de sauvegarde Nextcloud détaille les composants à conserver et le test de restauration. Une copie des seuls fichiers chiffrés n'est pas suffisante si les clés, le secret de l'instance ou la base manquent.
Comment activer le chiffrement sans perdre de fichiers ?
L'interface d'administration permet d'activer le chiffrement côté serveur. Nextcloud demande ensuite d'activer le module Default Encryption Module depuis la page des applications. Après le retour dans les réglages, le module devient disponible. Une déconnexion puis une reconnexion initialisent les clés requises.
Avant toute modification de masse, contrôlez l'état depuis la ligne de commande :
occ encryption:status
occ encryption:list-modules
Les exemples utilisent la notation raccourcie occ. Sur une installation classique Debian ou Ubuntu, la commande complète ressemble à sudo -E -u www-data php /chemin/vers/nextcloud/occ. Adaptez l'utilisateur HTTP, le chemin vers PHP et celui vers occ au déploiement réel. Un conteneur, un paquet Snap ou une appliance peut imposer son propre lanceur. Utiliser le mauvais interpréteur PHP ou exécuter occ avec le mauvais compte peut produire des erreurs de modules et de permissions.
L'activation seule ne chiffre par défaut que les fichiers nouveaux ou modifiés. Pour traiter les fichiers déjà présents, la documentation fournit :
occ encryption:encrypt-all
Sauvegardez avant l'opération et empêchez les utilisateurs de modifier les fichiers pendant son exécution. La durée dépend du nombre de comptes, du volume, du stockage et des performances du serveur. Ne déduisez pas la réussite de la seule fin du processus : ouvrez ensuite plusieurs types de fichiers avec des comptes différents, y compris un partage et un fichier placé sur le stockage externe visé.
Pour un dossier d'équipe géré par l'application Team Folders, l'activation du support de chiffrement demande un réglage propre à l'application. La documentation précise que seuls les fichiers nouveaux ou mis à jour sont alors chiffrés. Une recette séparée est nécessaire pour les anciens contenus et les droits de partage.
Quel impact sur S3 et les stockages externes ?
Le chiffrement côté serveur est particulièrement pertinent lorsqu'un stockage externe ne doit pas contenir de documents directement lisibles. Le guide Nextcloud avec stockage S3 distingue le bucket primaire du montage secondaire. Cette architecture doit être fixée avant de décider où activer le chiffrement.
Un fichier chiffré par Nextcloud ne peut plus être partagé directement depuis le fournisseur de stockage externe. La clé de déchiffrement ne quitte pas l'instance. Les utilisateurs doivent donc passer par Nextcloud pour lire et partager le contenu. Un flux qui dépend d'un accès parallèle au bucket, par exemple une application tierce qui traite les objets en dehors de Nextcloud, peut devenir incompatible.
Pour un montage externe, l'option de détection des changements mérite aussi un choix explicite. Nextcloud recommande le réglage Never pour empêcher que des fichiers ajoutés directement par un administrateur du stockage soient intégrés sans passer par l'application. Ce réglage ne convient pas si des changements externes légitimes doivent être détectés. Il faut alors arbitrer entre ce besoin d'échange et le modèle de sécurité retenu.
Le chiffrement augmente légèrement la taille stockée. La documentation actuelle indique environ 1 % de surcoût pour les fichiers chiffrés, tandis que les quotas Nextcloud restent calculés sur la taille non chiffrée. Mesurez tout de même votre propre charge, car les lectures, écritures, aperçus et restaurations sollicitent aussi le serveur qui chiffre et déchiffre.
Comment sauvegarder les clés et tester la récupération ?
Les clés peuvent se trouver dans des répertoires propres aux utilisateurs et dans un répertoire système utilisé pour les stockages externes ou les dossiers partagés. Ne copiez pas seulement une liste de chemins issue d'un tutoriel : contrôlez l'emplacement réel avec la commande prévue par Nextcloud.
occ encryption:show-key-storage-root
La sauvegarde doit maintenir un ensemble cohérent : contenu chiffré, clés, base de données, configuration et secret de l'instance. Si vous restaurez les fichiers à une date et les clés à une autre, le résultat peut être inutilisable. Conservez aussi les droits et propriétaires attendus. Une archive présente sur le stockage n'est pas une preuve de restauration.
La recette doit couvrir au moins quatre cas :
- restauration d'un fichier ordinaire et d'un fichier partagé ;
- lecture d'un fichier provenant du stockage externe ;
- réinitialisation du mot de passe d'un compte pilote selon le mode de clés choisi ;
- reconstruction de l'instance dans un environnement séparé avec ses clés et son secret.
En mode par clés utilisateur, ajoutez un essai de récupération avec un utilisateur qui a accepté la clé de récupération, puis un autre qui ne l'a pas activée. Ce test rend visible la différence avant un incident réel. En mode clé maître, vérifiez plutôt que le secret de l'instance et la clé centrale sont bien inclus dans la restauration.
Une sauvegarde chiffrée peut être parfaitement inutilisable
La présence des fichiers dans le dépôt de sauvegarde ne garantit pas leur lecture. La preuve attendue est une restauration isolée, suivie de l'ouverture des documents avec les clés et la configuration restaurées.
Comment désactiver ou corriger le chiffrement ?
La désactivation ne doit jamais commencer par le retrait du module. Nextcloud demande de déchiffrer les fichiers avec occ avant de désactiver le chiffrement :
occ encryption:decrypt-all
La commande place l'instance en maintenance pendant l'opération. Si elle est interrompue, la documentation demande de la relancer jusqu'à son achèvement, après correction de la cause. Désactiver le module alors que des fichiers restent chiffrés peut provoquer des erreurs imprévisibles et séparer des fichiers de leurs clés.
Pour un diagnostic, commencez par encryption:status, les journaux Nextcloud et un fichier précis. Une erreur de signature ou une clé introuvable ne justifie pas de déplacer manuellement des répertoires au hasard. Nextcloud fournit des commandes ciblées, dont encryption:fix-encrypted-version et encryption:fix-key-location, mais leur usage doit correspondre au message observé et être précédé d'une sauvegarde.
Les très anciennes installations peuvent encore contenir un format de chiffrement antérieur. La commande encryption:scan:legacy-format indique si ce support reste nécessaire. Ne désactivez pas la compatibilité historique sur la seule base de l'âge supposé du serveur : scannez les données et conservez le résultat avant de modifier config.php.
Faut-il activer le chiffrement côté serveur ?
Activez-le si votre risque principal est la lecture directe des fichiers par l'opérateur d'un stockage externe et si vous maîtrisez les clés, les sauvegardes et occ. Le mode clé maître convient lorsque les administrateurs de l'instance sont autorisés à assurer la récupération. Le mode par clés utilisateur ajoute des contraintes fortes et ne doit être retenu qu'après un test des méthodes d'authentification et des mots de passe oubliés.
Ne l'activez pas pour donner l'impression que l'administrateur ne peut pas lire les données. Dans ce cas, évaluez l'E2EE et acceptez ses limites fonctionnelles. Pour un stockage local, comparez aussi le chiffrement du disque, qui répond mieux au vol d'un support arrêté. Dans tous les cas, conservez les mesures du guide de sécurité Nextcloud : mises à jour, MFA, droits limités, journaux et sauvegarde restaurable.
La bonne décision tient en trois questions : qui ne doit pas lire les fichiers, où se trouvent les clés et comment l'équipe récupère les données après une perte de mot de passe ou de serveur. Si une réponse reste floue, poursuivez le pilote avant la production.
Découvrir l'offre Nextcloud GaprodEspace Nextcloud privé et isolé, hébergé en France