Nextcloud Impersonate : dépanner un utilisateur en 2026

Nextcloud Impersonate permet à un administrateur autorisé d’ouvrir une session comme un autre utilisateur pour reproduire un problème lié à ses droits, ses applications ou son interface. L’outil évite de demander le mot de passe du compte, mais il donne accès à son environnement avec ses permissions. Il faut donc encadrer chaque intervention par un motif, un accord, une durée courte et une notification.

La version 6.0.0 publiée dans l’App Store officiel cible Nextcloud 35. Son propre descriptif fixe trois limites importantes : l’application est annoncée incompatible avec les instances où le chiffrement est activé, le compte cible doit s’être déjà connecté une première fois, et les actions réalisées pendant la session sont journalisées comme celles de l’utilisateur impersonné.

Dans quels cas Impersonate aide vraiment le support ?

L’application est utile quand le défaut dépend du contexte exact du compte et ne peut pas être reproduit avec un compte de test générique. Par exemple :

un dossier partagé est visible pour un utilisateur mais pas pour un autre ;
une application apparaît avec un menu, un quota ou une configuration différents ;
un groupe, une délégation ou une règle de partage produit un résultat inattendu ;
l’interface web échoue uniquement avec les données ou préférences du compte ;
le support doit confirmer la correction sans transmettre ni réinitialiser le mot de passe.

Le guide Nextcloud explique la séparation entre comptes, fichiers et applications. Pour les droits eux-mêmes, le guide Nextcloud multi-utilisateurs détaille les groupes, les quotas et les partages. Impersonate intervient après ces contrôles, lorsqu’il faut observer le résultat depuis le compte concerné.

En revanche, l’outil ne sert pas à surveiller silencieusement un salarié, à contourner une procédure d’accès aux données ou à remplacer un environnement de test. Il ne prouve pas non plus qu’un problème vient du serveur. Une extension de navigateur, un client de synchronisation ou un poste local peut rester hors du périmètre de la session web impersonnée.

Une session de support reste un accès au compte

N’ouvrez pas une session Impersonate sans base organisationnelle claire. Notez le ticket, l’administrateur, le compte visé, le périmètre autorisé, l’heure de début et l’heure de fin. Évitez d’ouvrir des fichiers sans lien avec l’incident.

Quelles limites vérifier avant l’installation ?

Compatibilité avec la version de Nextcloud

Au 29 octobre 2026, l’App Store officiel associe Impersonate 6.0.0 à Nextcloud 35. La branche de développement vise déjà Nextcloud 36, mais elle n’est pas la version stable à installer sur un serveur 35. Vérifiez donc la compatibilité depuis l’interface Apps ou l’App Store avant chaque mise à niveau majeure.

Vous pouvez relever la version et l’état de l’application avec occ :

sudo -E -u www-data php /var/www/nextcloud/occ status
sudo -E -u www-data php /var/www/nextcloud/occ app:list

Le chemin de occ et l’utilisateur système varient selon le paquet. Sur Docker, All-in-One ou Snap, utilisez la méthode prévue par votre installation plutôt qu’une commande copiée pour une archive classique.

Chiffrement activé

Le manifeste officiel d’Impersonate 6.0.0 indique que l’application n’est pas compatible avec les instances où le chiffrement est activé. La documentation ne réduit pas cette réserve à un mode précis. Ne transformez donc pas cette phrase en promesse de compatibilité avec une autre forme de chiffrement sans test et sans validation de l’éditeur.

Si l’instance utilise une fonction de chiffrement Nextcloud, arrêtez l’évaluation avant l’installation et documentez le besoin avec l’intégrateur ou l’éditeur. Désactiver un mécanisme de sécurité pour obtenir l’usurpation de session n’est pas une procédure de support acceptable.

Première connexion du compte cible

Le contrôleur de l’application refuse l’opération lorsque la date de dernière connexion du compte vaut zéro. Un compte créé ou synchronisé depuis un annuaire doit donc terminer sa première connexion avant de pouvoir être impersonné. Le support ne doit pas contourner cette vérification en modifiant la base.

Attribution des actions

Impersonate écrit le début de l’opération dans le journal Nextcloud au niveau warning, puis le retour au compte d’origine au niveau info. La réserve la plus importante se trouve entre ces deux événements : les opérations réalisées pendant l’impersonation sont enregistrées comme celles du compte cible.

Le guide Activity et admin_audit montre pourquoi un journal d’application ne répond pas à toutes les questions d’audit. Ici, le log de début prouve qu’une impersonation a commencé, mais une modification de fichier effectuée ensuite peut porter l’identité de l’utilisateur impersonné. Il faut conserver le ticket et les bornes horaires pour relier les événements.

Qui peut impersonner qui ?

L’application applique deux niveaux de contrôle.

D’abord, le demandeur doit déjà disposer d’un rôle d’administration reconnu par Nextcloud : administrateur global, administrateur délégué ou sous-administrateur autorisé à gérer le compte cible. Ajouter une personne à la configuration d’Impersonate ne lui donne donc pas automatiquement accès à tous les utilisateurs.

Ensuite, Impersonate vérifie sa liste de groupes autorisés. La valeur par défaut contient le groupe admin. Dans Paramètres d’administration, puis Paramètres supplémentaires, l’interface permet d’ajouter des groupes. Le libellé officiel précise que leurs membres pourront impersonner les utilisateurs qu’ils ont déjà le droit d’administrer.

Une politique prudente consiste à :

garder le groupe admin ;
créer au besoin un petit groupe dédié au support ;
attribuer à ses membres seulement le périmètre de sous-administration nécessaire ;
tester avec un compte support et deux utilisateurs placés dans des groupes différents ;
vérifier qu’une cible hors périmètre reste inaccessible ;
retirer l’autorisation dès qu’elle n’est plus nécessaire.

Évitez un groupe général comme « employés » ou « informatique » si tous ses membres n’assurent pas le support. L’application manipule une session utilisateur réelle, pas une simple prévisualisation en lecture seule.

Comment installer et configurer Impersonate ?

Depuis l’interface d’administration, ouvrez Applications, recherchez Impersonate dans la catégorie Outils, vérifiez la compatibilité affichée, puis activez l’application. En ligne de commande, l’installation standard est :

sudo -E -u www-data php /var/www/nextcloud/occ app:install impersonate
sudo -E -u www-data php /var/www/nextcloud/occ app:list

N’utilisez pas --force pour ignorer une incompatibilité de version. Si l’application est déjà installée mais désactivée, utilisez occ app:enable impersonate. Sa mise à jour doit passer par le gestionnaire Apps ou par la commande adaptée à votre procédure de release Nextcloud.

Ouvrez ensuite Paramètres d’administration, puis Paramètres supplémentaires, et contrôlez les groupes autorisés. La règle doit être écrite avant le premier usage : qui peut intervenir, sur quels comptes, pour quels motifs, avec quelle preuve de consentement et quelle durée maximale.

Comment informer l’utilisateur automatiquement ?

Impersonate 6.0.0 peut notifier le compte cible au début de l’accès. La configuration impersonate.notifications se place dans config/config.php et distingue les comptes ordinaires des comptes administrateurs.

Les valeurs sont des indicateurs cumulables :

0 : aucune notification ;
1 : notification via l’application Notifications ;
2 : e-mail ;
4 : entrée dans l’application Activity.

Par exemple, la valeur 7 active les trois canaux :

'impersonate.notifications' => [
    'user' => 7,
    'admin' => 7,
],

La valeur par défaut est 0 pour les deux catégories. L’utilisateur n’est donc pas averti automatiquement tant que l’administrateur n’a pas configuré ces options.

Avant d’activer 1 ou 4, vérifiez que Notifications ou Activity est disponible pour les comptes visés. Dans Impersonate 6.0.0, la tentative est refusée lorsqu’un canal configuré dépend d’une application désactivée pour la cible. Pour l’e-mail, une adresse doit être renseignée, sinon aucun message ne peut être envoyé par ce canal.

Un e-mail ou une notification ne remplace pas l’accord préalable. Le message automatisé sert de trace et d’alerte supplémentaire. Pour un support normal, prévenez l’utilisateur dans le ticket, attendez son accord, annoncez le début et confirmez la fin.

Quelle procédure suivre pendant une session de support ?

Préparez un ticket court avec le résultat attendu. Demandez à l’utilisateur de fermer les opérations sensibles en cours, puis convenez d’une plage d’intervention. L’administrateur doit ensuite :

se connecter avec son propre compte ;
ouvrir la page Utilisateurs ;
choisir l’action Impersonate sur le compte concerné ;
vérifier une dernière fois l’identité affichée ;
confirmer l’opération ;
reproduire uniquement les étapes autorisées ;
noter chaque changement effectué ;
utiliser l’action de déconnexion prévue pour revenir au compte d’origine ;
confirmer visuellement le retour au compte administrateur ;
compléter le ticket et informer l’utilisateur.

Le code de l’application conserve l’identifiant du compte d’origine dans la session, puis restaure cet utilisateur lors de la sortie. Fermer simplement l’onglet ne constitue pas une fin contrôlée. Utilisez le bouton de déconnexion de la session impersonnée et vérifiez l’identité active avant toute autre action d’administration.

Limitez les modifications. Si le problème peut être observé sans ouvrir le contenu d’un fichier, ne l’ouvrez pas. Si une correction doit être appliquée, décrivez-la dans le ticket avant de la réaliser ou demandez une nouvelle validation lorsque son impact dépasse le périmètre initial.

Comment contrôler la trace après l’intervention ?

Recherchez les entrées de l’application impersonate dans le journal Nextcloud sur la période exacte. Vous devez retrouver au minimum la tentative ou le passage vers le compte cible et, après une sortie normale, le retour au compte initial.

Vérifiez ensuite les canaux activés :

notification reçue par le compte cible ;
e-mail reçu si le canal est configuré et l’adresse présente ;
événement Activity visible si cette application est utilisée ;
ticket contenant les heures, le motif, les observations et les changements.

Ne présentez pas ces éléments comme une journalisation complète de toutes les actions sous l’identité réelle de l’administrateur. Le projet officiel précise que les actions de la session sont attribuées au compte impersonné. Le journal de début, les notifications et le ticket servent à reconstituer le contexte, pas à modifier cette attribution.

Pour réduire le risque résiduel, appliquez aussi les mesures du guide de sécurité Nextcloud : comptes administrateurs nominatifs, authentification multifacteur, mises à jour, revue des applications et accès limités. Impersonate doit rester une capacité de support exceptionnelle, pas une porte d’accès permanente utilisée par habitude.

Quand faut-il désactiver l’application ?

Désactivez Impersonate si son incompatibilité avec le chiffrement concerne votre instance, si aucune règle de consentement n’existe, si les notifications exigées ne fonctionnent pas ou si les équipes ne peuvent pas relier une session à un ticket. Désactivez-la également lorsqu’une campagne de support ponctuelle est terminée et que personne n’en a besoin au quotidien.

sudo -E -u www-data php /var/www/nextcloud/occ app:disable impersonate

Cette commande retire la capacité d’ouvrir de nouvelles sessions via l’application. Elle ne remplace pas la revue des interventions passées ni la conservation des journaux selon la politique de l’organisation.

Conclusion

Nextcloud Impersonate résout un besoin précis : reproduire un défaut dans le contexte réel d’un utilisateur sans connaître son mot de passe. Son intérêt dépend toutefois d’un cadre strict. Vérifiez la compatibilité de version et la réserve sur le chiffrement, limitez les groupes autorisés, exigez l’accord de l’utilisateur, activez les notifications adaptées et terminez explicitement chaque session. Enfin, gardez à l’esprit que les actions sont attribuées au compte cible, ce qui rend le ticket et les bornes horaires indispensables.

Découvrir l’hébergement Nextcloud GaprodNextcloud géré en France, avec administration de la plateforme