Correction de l'avertissement « Certains fichiers n'ont pas passé le contrôle d'intégrité » de Nextcloud

Après une mise à jour ou une modification manuelle, il est possible que vous consultiez la vue d'ensemble de l'administration de Nextcloud et voyiez le message « Certains fichiers n'ont pas passé le contrôle d'intégrité ». Cet avertissement peut être inquiétant, mais il n'indique pas une panne unique. Nextcloud vérifie que le code serveur et applicatif installé correspond aux fichiers signés attendus. Un fichier modifié ou manquant, un fichier inattendu ou un problème de signature d'application peuvent déclencher cette alerte. Une nouvelle analyse permet de connaître l'état actuel ; elle ne répare pas les fichiers.

La page de téléchargement officielle de Nextcloud indique que la version Server 35.0.0, sortie le 16 septembre 2026, est la plus récente à ce jour. La documentation d'administration actuelle recommande toujours aux administrateurs d'examiner le rapport de fichier invalide, de corriger la cause du problème et de relancer une analyse. La procédure décrite ci-dessous est la même ; le libellé exact des menus peut varier selon la version ou l'offre d'hébergement.

1. Lisez le rapport de fichier invalide avant de modifier quoi que ce soit.

Connectez-vous en tant qu'administrateur et ouvrez Paramètres d'administration > Vue d'ensemble . Dans l'avertissement d'intégrité, sélectionnez Liste des fichiers non valides… (l'intitulé peut légèrement différer). Enregistrez ou copiez le rapport dans un emplacement privé afin de pouvoir le comparer après une réparation. Il identifie l'application ou la zone principale concernée et répertorie les conditions telles que : INVALID_HASH[ MISSING_FILEliste des conditions ].EXTRA_FILEEXCEPTION

Avant de remplacer des fichiers serveur, sauvegardez la configuration Nextcloud, la base de données et tout code d'application personnalisé. Ne modifiez pas signature.jsonles fichiers, ne générez pas de signature de remplacement pour faire taire l'avertissement et ne les supprimez pas simplement parce que leur nom apparaît dans le rapport. Cette vérification garantit l'authenticité du code et peut également révéler un fichier inattendu nécessitant une investigation.

2. Associez le type d'erreur à la réparation appropriée.

Ces étiquettes fournissent des indices de diagnostic, et non la preuve d'une attaque ou de la sécurité de l'installation. Une modification locale par un développeur, une copie d'un fichier de sauvegarde, un déploiement incomplet ou du code non autorisé peuvent générer des résultats différents. Si vous ne parvenez pas à expliquer la présence d'un fichier PHP inattendu ou la modification d'un fichier système, conservez le rapport et effectuez des investigations avant de le supprimer ou de l'écraser.

3. Restaurez les fichiers principaux à partir de la version exacte de Nextcloud.

Si le rapport mentionne des fichiers sous core, tels que index.phpou version.php, vérifiez d'abord si une mise à niveau a été interrompue ou si un déploiement a modifié le code. Confirmez la version installée dans la vue d'ensemble de l'administration ou dans vos journaux de déploiement habituels. Ne copiez pas un fichier depuis une version différente de Nextcloud : son hachage ne correspondra pas à la version installée sur le serveur.

Utilisez l'outil de mise à jour fourni pour terminer une mise à niveau interrompue, si possible. Si vous devez restaurer des fichiers manuellement, téléchargez l'archive serveur correspondante depuis la page de téléchargement officielle de Nextcloud, vérifiez-la à l'aide de la somme de contrôle ou de la signature PGP publiée, puis remplacez uniquement les fichiers de code applicatif concernés en suivant les instructions de mise à niveau de Nextcloud. Conservez config/le répertoire de données, ainsi que toutes les applications ou thèmes gérés localement. Suivez la procédure de sauvegarde et de maintenance correspondant à votre méthode d'installation ; Docker, Snap, les appliances et l'hébergement géré peuvent nécessiter leur propre procédure de mise à jour.

Le guide d'intégrité de Nextcloud applique le même principe en cas de hachage de noyau invalide : restaurer les fichiers corrects, puis relancer l'analyse. Lors du transfert de fichiers par FTP, le guide recommande expressément d'utiliser le mode de transfert binaire. Évitez d'effectuer une mise à jour avec la vérification de signature désactivée, même par souci de simplicité. Une archive installée manuellement et non vérifiée peut engendrer de nouveaux problèmes d'intégrité et de sécurité.

4. Examinez attentivement les fichiers supplémentaires et les modifications personnalisées.

Une EXTRA_FILEentrée peut être un fichier temporaire résiduel, une sauvegarde d'éditeur, un script personnalisé ou un élément inconnu. Vérifiez son chemin complet, son horodatage, son propriétaire et son historique de déploiement. S'il s'agit d'un outil personnalisé légitime, déplacez-le hors du répertoire de code Nextcloud et exposez-le via une application compatible ou un service distinct, le cas échéant. S'il s'agit d'une sauvegarde obsolète, supprimez-la uniquement après avoir conservé les données nécessaires. Si un fichier exécutable ou PHP inexpliqué est apparu récemment, considérez cela comme une investigation de sécurité : conservez les preuves, examinez les journaux d'accès et du serveur web, et suivez votre procédure de réponse aux incidents au lieu de simplement supprimer l'avertissement.

Si INVALID_HASHvous avez intentionnellement modifié un fichier principal, la solution durable consiste à restaurer le fichier principal signé et à déplacer le comportement personnalisé vers une application, un thème ou un point d'extension documenté et pris en charge. Ne modifiez pas le hachage attendu ni les métadonnées de la version pour que la vérification réussisse. Les distributions Nextcloud personnalisées ont des considérations spécifiques relatives aux branches de publication dans la documentation sur la signature de code ; la modification de ce paramètre est réservée aux responsables de la maintenance d'une distribution personnalisée et ne constitue pas une réparation courante pour une installation standard.

5. Réparer la signature ou le fichier d'une application

Si le rapport mentionne un répertoire d'application, identifiez son ID et déterminez si l'application a été mise à jour, copiée manuellement ou modifiée localement. Utilisez l'interface Applications de Nextcloud ou votre méthode de déploiement pour mettre à jour ou réinstaller une version compatible provenant d'une source fiable. Sauvegardez d'abord les données et la configuration spécifiques à l'application et vérifiez sa compatibilité avec votre version majeure de Nextcloud. Pour une application personnalisée ou développée en interne, demandez à son responsable un package signé ou une version corrigée. Nextcloud exige la signature du code pour les applications publiées via sa boutique d'applications ; les exigences et l'application de la signature peuvent différer pour les autres catégories d'applications, consultez donc la documentation développeur pertinente plutôt que de créer une signature locale.

Ne remplacez pas le répertoire d'une application par une archive quelconque et ne le copiez pas signature.jsondepuis une autre version. La signature décrit un code spécifique ; mélanger des fichiers provenant de versions différentes peut engendrer des erreurs supplémentaires. Si vous devez supprimer une application, utilisez la procédure de gestion des applications prévue à cet effet et assurez-vous que la suppression ne supprimera pas les données importantes pour votre organisation.

6. Effectuez une nouvelle vérification d'intégrité

Une fois les fichiers signalés réparés, retournez dans Paramètres d'administration > Vue d'ensemble et sélectionnez Analyser à nouveau… . Attendez la fin de l'analyse, puis rouvrez la liste des fichiers invalides. Si vous administrez le serveur via SSH, Nextcloud 35 documente ces commandes depuis le répertoire d'installation de Nextcloud :

sudo -E -u www-data php occ integrity:check-core
sudo -E -u www-data php occ integrity:check-app calendar
sudo -E -u www-data php occ integrity:check-app --all

Remplacez calendar`<app_ID>` par l'identifiant de l'application figurant dans votre rapport. Ce www-datacompte est généralement utilisé sur les installations Debian ou Ubuntu, mais l'utilisateur de votre serveur web et l'exécutable PHP peuvent différer. Utilisez le compte et l'environnement PHP appropriés à votre système ; pour les installations conteneurisées, exécutez la commande équivalente à l'intérieur du conteneur. Le manuel OCC actuel indique qu'une vérification d'application réussie peut ne produire aucun résultat, sauf si le mode verbeux est activé, tandis que les échecs fournissent des informations détaillées.

Comment savoir si l'avertissement est résolu

Rouvrez la vue d'ensemble de l'administration et vérifiez que l'avertissement d'intégrité a disparu après la nouvelle analyse. S'il persiste, comparez le nouveau rapport avec votre copie enregistrée : un chemin d'accès identique signifie que le fichier sous-jacent n'a pas été restauré ou qu'une version incorrecte a été utilisée ; un chemin d'accès différent peut révéler un autre problème. Relancez la vérification du noyau ou de l'application concernée et consultez le journal Nextcloud pour détecter une erreur de signature. Vérifiez également que l'instance effectue correctement les opérations de connexion, de navigation dans les fichiers, de chargement et de téléchargement.

Si l'avertissement réapparaît après un déploiement, recherchez les scripts d'automatisation, les plugins ou les scripts de maintenance manuelle qui réécrivent des fichiers dans l'arborescence de code signé. Si le rapport d'intégrité est vierge mais que les utilisateurs rencontrent toujours des erreurs, le problème initial peut avoir une cause distincte et doit être résolu séparément. Pour Nextcloud hébergé, transmettez au fournisseur le rapport exact et la version installée ; n'incluez pas les mots de passe, les clés privées ni le contenu des fichiers utilisateur.

Pour plus de détails spécifiques à chaque version, consultez la documentation sur la signature de code et l'intégrité de Nextcloud , la référence de vérification d'intégrité OCC , le manuel de mise à jour de Nextcloud et la page de téléchargement officielle .