Depuis octobre 2026, la documentation d'administration de la version stable de Nextcloud 35 met en lumière un point important, plus clairement que de nombreux tutoriels antérieurs : le chiffrement côté serveur (SSE) est principalement destiné à protéger les fichiers stockés sur un stockage externe tiers, et le mode de clé principale par défaut offre de meilleures performances et une compatibilité d'authentification plus étendue que les clés par utilisateur. Cette même documentation indique également que les fichiers chiffrés n'ajoutent désormais qu'environ 1 % d'espace de stockage supplémentaire, contre une surcharge bien plus importante dans les versions antérieures à Nextcloud 25.
Cela ne signifie pas pour autant que le chiffrement est totalement gratuit. Chaque opération de lecture et d'écriture chiffrée nécessite un traitement cryptographique ; par conséquent, aucun guide fiable ne peut garantir un coût nul en termes de CPU ou de latence sur tous les serveurs. L'objectif pratique est différent : activer le chiffrement de manière à éviter tout ralentissement perceptible pour les utilisateurs, à maîtriser la charge sur la base de données et les mécanismes de verrouillage, et à chiffrer uniquement les données qui en ont réellement besoin.
Nextcloud SSE chiffre le contenu des fichiers sur le serveur avant leur stockage. Lorsqu'un utilisateur télécharge ou ouvre un fichier via Nextcloud, le serveur le déchiffre avant de le transmettre à l'utilisateur autorisé. Les clés de chiffrement restent sur le serveur Nextcloud, ce qui rend le SSE particulièrement utile lorsque les données du fichier sont stockées chez un fournisseur de stockage externe auquel vous n'accordez pas une confiance totale.
Le chiffrement côté serveur (SSE) ne masque ni les noms de fichiers ni la structure des répertoires, et ne protège pas les fichiers contre un administrateur Nextcloud malveillant ou un serveur d'applications entièrement compromis. Si l'on exige que même l'administrateur du serveur ne puisse pas lire les fichiers, le modèle de chiffrement de bout en bout de Nextcloud constitue la couche de sécurité appropriée. Une comparaison officielle est disponible dans la documentation relative au chiffrement côté serveur de Nextcloud .
| Décision | choix à frais généraux réduits | Quand choisir autre chose |
|---|---|---|
| Gestion des clés | Clé principale, qui est actuellement le mode par défaut et recommandé pour la plupart des déploiements | N’utilisez les clés par utilisateur que lorsque ce compromis de sécurité est spécifiquement requis et que ses limitations en matière d’authentification et de récupération sont acceptables. |
| Étendue de stockage | Chiffrez le stockage externe tout en laissant le stockage local non chiffré lorsque le modèle de menace est le fournisseur externe. | Chiffrez également le stockage local lorsque la protection des données au repos sur le stockage Nextcloud local est également requise. |
| Verrouillage du backend | Verrouillage transactionnel de fichiers basé sur Redis ou Valkey | Le verrouillage de la base de données peut être acceptable pour les très petits systèmes, mais il ajoute une charge inutile à la base de données en cas de trafic plus important. |
Les clés de chiffrement et le secret de l'instance sont des éléments essentiels à la récupération. Nextcloud recommande vivement de sauvegarder la configuration de l'instance et les clés de chiffrement avant d'activer le chiffrement sécurisé (SSE). La perte de ces clés ou du secret de l'instance peut rendre les données chiffrées irrécupérables.
Avant toute modification, établissez une base de référence simple en utilisant la charge de travail la plus pertinente pour vos utilisateurs. Mesurez quelques chargements et téléchargements représentatifs, notez l'utilisation du processeur par PHP-FPM, la charge de la base de données, la latence de stockage et le temps de réponse de l'application Fichiers. Inutile de réaliser un test en laboratoire. Un test reproductible avant/après est nécessaire pour déterminer si le déploiement a modifié le comportement visible pour l'utilisateur.
Déterminez également si le chiffrement de votre stockage local est réellement nécessaire. Si votre objectif est de protéger un serveur S3, SMB, un stockage objet ou tout autre système de stockage externe contre les menaces du fournisseur, il est préférable de conserver votre stockage local hors du protocole SSE afin d'éviter des opérations de chiffrement inutiles face à ce type de menace.
Il s'agit de la préparation la plus importante en matière de performances. Nextcloud recommande la mise en cache en mémoire pour des performances optimales et préconise plus particulièrement l'utilisation d'APCu pour la mise en cache locale, ainsi que de Redis ou d'un système de stockage compatible pour le verrouillage transactionnel des fichiers. Ce verrouillage est essentiel pour les fichiers chiffrés, car Nextcloud doit gérer les modifications de fichiers de manière sécurisée pendant les opérations de chiffrement et de stockage.
Une configuration courante à serveur unique utilise APCu pour le cache local et Redis pour les verrous :
'memcache.local' => '\OC\Memcache\APCu',
'memcache.locking' => '\OC\Memcache\Redis',
'redis' => [
'host' => '127.0.0.1',
'port' => 6379,
'dbindex' => 0,
],Si Redis est installé sur le même serveur, la documentation de Nextcloud relative au verrouillage des fichiers recommande l'utilisation d'un socket Unix lorsque cela est possible. La documentation plus récente de Nextcloud 35 décrit également l'option KeyValueCache intégrée pour les serveurs compatibles Redis ou Valkey, qui permet un verrouillage transactionnel sans nécessiter l'extension PHP phpredis. Utilisez la configuration adaptée à votre déploiement plutôt que de copier un exemple sans discernement.
Il est également recommandé d'activer et de dimensionner le cache PHP (OPcache) afin d'éviter l'éviction répétée de code compilé. Le guide d'optimisation du serveur Nextcloud indique qu'OPcache améliore les performances des applications PHP et avertit les administrateurs lorsque les limites configurées dépassent 90 % d'utilisation. Consultez le guide officiel sur la mise en cache de la mémoire , le guide sur le verrouillage transactionnel des fichiers et le guide d'optimisation du serveur avant le déploiement.
Pour la plupart des déploiements actuels, le mode de clé maîtresse est le point de départ idéal. Nextcloud 35 le décrit comme le mode par défaut, le recommande pour la plupart des déploiements et souligne qu'il offre de meilleures performances et une compatibilité accrue avec davantage de méthodes d'authentification. Le compromis est évident : les administrateurs qui contrôlent le serveur peuvent déchiffrer les fichiers des utilisateurs. Si cela est inacceptable, le chiffrement SSE avec une clé maîtresse ne constitue pas un niveau de sécurité adéquat.
Dans l'interface web, ouvrez la section « Chiffrement côté serveur » des paramètres d'administration, activez le chiffrement côté serveur, puis activez le module de chiffrement par défaut de Nextcloud depuis les applications si Nextcloud indique qu'aucun module de chiffrement n'est chargé. Retournez dans les paramètres de chiffrement et vérifiez que le module est sélectionné. Déconnectez-vous puis reconnectez-vous pour que les clés de chiffrement soient initialisées.
Vous pouvez également gérer le chiffrement avec occ. La documentation de référence des commandes actuelles décrit la séquence suivante :
sudo -E -u www-data php occ app:enable encryption
sudo -E -u www-data php occ encryption:enable
sudo -E -u www-data php occ encryption:statusSi le chiffrement SSE est destiné uniquement au stockage externe, désactivez l'option de chiffrement du stockage local avant de procéder à un déploiement plus large. Ce choix peut réduire considérablement la quantité de données devant transiter par la couche de chiffrement.
Le chiffrement du stockage externe est configuré pour chaque point de montage. Activez le chiffrement uniquement pour les points de montage qui le requièrent, puis téléchargez un fichier représentatif via Nextcloud et retéléchargez-le. Vérifiez l'accès via le même flux de travail (ordinateur, mobile, WebDAV ou navigateur) que vos utilisateurs utilisent réellement.
Après le test fonctionnel, répétez les mesures de référence de l'étape 1. Comparez le temps de chargement, le temps de téléchargement, l'utilisation du processeur, l'activité de la base de données et la latence de stockage. Si la variation est faible et que le temps de réponse visible par l'utilisateur reste stable, le serveur dispose d'une marge suffisante. En cas de chute brutale des performances, ne concluez pas que le chiffrement est la seule cause. Vérifiez d'abord le verrouillage des fichiers par la base de données, la saturation des processus PHP-FPM, la lenteur du stockage externe, l'insuffisance d'OPcache ou un problème de connexion à Redis.
Si vous devez chiffrer des fichiers existants avant l'activation de SSE, Nextcloud propose une solution encryption:encrypt-all. Considérez cette opération comme une migration et non comme une requête interactive classique. Le volume de données pouvant être important, planifiez-la pendant une fenêtre de maintenance et assurez-vous de la robustesse de votre plan de sauvegarde et de restauration. Les commandes de chiffrement disponibles sont documentées dans la documentation officielle d'occ encryption .
Cela augmente le volume d'E/S chiffrées sans nécessairement corriger une menace réelle. Adaptez le niveau de chiffrement à la raison pour laquelle vous activez le chiffrement séquentiel des transactions (SSE).
La documentation de Nextcloud indique que le système de verrouillage de base de données par défaut impose une charge importante à la base de données. Un cache de verrouillage basé sur Redis ou Valkey est l'un des moyens les plus directs de supprimer ce goulot d'étranglement.
Le trafic interactif et le chiffrement complet des données se disputent la bande passante du processeur, des E/S, des processus PHP et du stockage. Il est impératif de séparer les opérations de migration du trafic de production normal.
Les clés SSE sont accessibles au serveur, ce qui permet à un administrateur malveillant ou à un serveur entièrement compromis de rester dans le périmètre de confiance. Utilisez le chiffrement de bout en bout lorsque c'est le type de menace à contrer.
Pour activer le chiffrement côté serveur Nextcloud en toute sécurité et sans impact notable sur les performances, il est recommandé de limiter la configuration, d'utiliser la clé principale par défaut lorsque son modèle de confiance est adapté, de configurer au préalable le verrouillage APCu et Redis ou Valkey, puis d'évaluer les performances réelles avant et après la modification. Les recommandations actuelles pour Nextcloud 35 préconisent cette approche : le mode clé principale est le mode par défaut optimisé pour les performances, le stockage externe est le principal cas d'utilisation du chiffrement côté serveur, et la surcharge liée à la taille des fichiers chiffrés est désormais d'environ 1 %.
Commencez par consulter le guide officiel de chiffrement côté serveur de Nextcloud 35 et les détails techniques relatifs au chiffrement côté serveur . Ces documents constituent la source de référence pour la gestion des clés, les commandes de migration et les limitations spécifiques à chaque version.
Comparez 10 outils de balayage ping pour une découverte rapide du réseau local, une analyse multiplateforme et la gestion des adresses IP. Découvrez ce qu'un balayage peut – et ne peut pas – vous révéler.
Comparez six outils de gestion de réseau pour la surveillance des performances, notamment la couverture SNMP, la cartographie, les alertes, les modèles de déploiement et les compromis en matière de coûts.
Comparez sept moniteurs de ping gratuits et open source, allant des suites réseau complètes aux sondes de latence ciblées, et choisissez celui qui convient le mieux à vos besoins en matière de disponibilité, de perte de paquets et d'historique.
Comparez les meilleurs analyseurs Wi-Fi pour Windows, iPhone et Android, incluant des outils pour la congestion des canaux, la couverture du signal, les cartes thermiques et le dépannage réseau.
Découvrez ce que signifie la QoS dans le domaine des réseaux, comment les marquages DSCP et les files d'attente de trafic priorisent la voix, la vidéo et les applications professionnelles, et ce que la QoS ne peut pas corriger.
Comparez les logiciels serveurs SFTP fiables pour Windows et Linux, notamment OpenSSH, Bitvise, SolarWinds et SFTPGo. Trouvez la solution idéale pour vos besoins en matière de sécurité et de transfert de fichiers.
Comparez sept outils de gestion d'adresses IP pour la découverte de sous-réseaux, la coordination DNS et DHCP, l'inventaire réseau et l'IPAM open source.
Mettez en place une surveillance réseau pratique avec une couverture claire des périphériques, des indicateurs de performance utiles, des alertes exploitables et une comparaison de SolarWinds NPM, PRTG et OpManager.
Comparez les outils d'analyse réseau pour la découverte rapide des périphériques, les analyses IP multiplateformes et la gestion des identités et des accès IP (IPAM) d'entreprise, avec des conseils pour adapter chaque option à votre réseau.
Utilisez l'option --traceroute de Nmap pour associer les sauts à un hôte autorisé, comprendre les résultats des sauts et du RTT, et résoudre les problèmes de réponses manquantes sans sur-analyse.
