Activez le chiffrement côté serveur Nextcloud avec Measured Impact

Si vous envisagez le chiffrement côté serveur pour Nextcloud car vos fichiers sont stockés sur un serveur tiers, activez-le uniquement après avoir vérifié que le chiffrement côté serveur (SSE) est adapté à votre modèle de sécurité. Aucun paramètre ne garantit un chiffrement sans impact sur les performances : le serveur doit chiffrer et déchiffrer le contenu des fichiers, ce qui peut entraîner des variations de transferts et d'utilisation du processeur. Pour limiter cet impact, testez des fichiers représentatifs, activez le chiffrement uniquement pour le stockage concerné et planifiez les conversions en masse pendant les périodes de faible activité.

Le manuel d'administration de Nextcloud 35 (mis à jour le 10 octobre 2026) décrit le chiffrement côté serveur (SSE) intégré comme une protection principalement destinée aux fichiers stockés sur un support externe. Il ne masque ni les noms de fichiers ni l'arborescence des dossiers, et ne protège pas les fichiers contre un serveur Nextcloud compromis ou un administrateur malveillant. Pour les disques locaux ou en cas de vol physique, le chiffrement de disque du système d'exploitation est plus adapté ; pour garantir l'illisibilité des données pour l'administrateur du serveur, il est recommandé d'utiliser le chiffrement de bout en bout.

Avant d'activer le chiffrement

Prévoyez la gestion des clés et la récupération avant de modifier les paramètres. Sauvegardez la configuration Nextcloud et les données de clés de chiffrement, et assurez-vous que cette sauvegarde est stockée séparément et avec un contrôle d'accès. Les clés sont stockées dans le répertoire de données ; leur perte ou celle du secret de l'instance peut rendre les données chiffrées irrécupérables. Conservez une procédure de récupération éprouvée, et non une simple copie de la base de données.

Enregistrez également une mesure de référence avant la modification : testez les temps de chargement et de téléchargement de fichiers représentatifs, observez l’activité du processeur et du stockage, et notez toute latence perçue par les utilisateurs. Répétez les mêmes tests après l’activation. Cela permettra de vérifier si la modification est acceptable sur votre matériel, au lieu de se fier à une affirmation générale concernant les performances.

Activez le module de chiffrement par défaut de Nextcloud

1. Connectez-vous en tant qu'administrateur Nextcloud et ouvrez la section « Chiffrement côté serveur » des paramètres d'administration.
2. Sélectionnez « Activer le chiffrement côté serveur ». Si Nextcloud indique qu'aucun module de chiffrement n'est chargé, ouvrez la page Applications et activez le module de chiffrement par défaut , puis retournez dans les paramètres de chiffrement.
3. Veuillez vérifier le mode de chiffrement avant de poursuivre. Le mode par défaut (clé principale) est recommandé pour la plupart des déploiements, mais permet aux administrateurs de déchiffrer les fichiers. Le mode par clé utilisateur présente des limitations supplémentaires en matière de compatibilité et de récupération, et n'optimise pas les performances.
4. Déconnectez-vous puis reconnectez-vous pour initialiser les clés de chiffrement, comme indiqué par l'interface. Vérifiez l'état du chiffrement depuis la ligne de commande :

sudo -E -u www-data php /var/www/nextcloud/occ encryption:status

Remplacez le chemin et l'utilisateur HTTP indiqués en exemple par ceux utilisés par votre installation. Nextcloud exige qu'OCC soit exécuté avec les droits d'utilisateur HTTP afin de préserver les permissions de fichiers correctes. Dans un environnement Docker, AIO, Snap ou un hébergement géré, utilisez le shell et l'utilisateur compatibles avec votre déploiement plutôt que de copier littéralement cette commande hôte. Consultez le guide officiel d'OCC pour plus de détails sur l'exécution des commandes.

Déterminez ce qu'il faut chiffrer et quand.

Une fois le chiffrement SSE activé, les fichiers nouveaux et modifiés sont chiffrés. Les fichiers existants ne sont pas automatiquement convertis du simple fait de l'activation de cette option. Si vous souhaitez chiffrer votre bibliothèque de fichiers existante, Nextcloud propose la commande OCC suivante :

sudo -E -u www-data php /var/www/nextcloud/occ encryption:encrypt-all

Avant de lancer cette opération, vérifiez que vos sauvegardes sont à jour et planifiez une fenêtre de maintenance. Elle traite les fichiers de tous les utilisateurs, affiche la progression et peut consommer beaucoup de temps et de ressources sur une instance importante. Nextcloud recommande aux utilisateurs de ne pas accéder aux fichiers pendant ce processus. Ne l'exécutez pas en période de forte utilisation et ne la considérez pas comme une simple activation/désactivation. Si seul un montage externe spécifique nécessite le chiffrement SSE, configurez l'option de chiffrement de ce montage plutôt que de lancer inutilement une conversion à l'échelle du serveur.

Certaines données restent hors du périmètre du chiffrement du contenu des fichiers. Le manuel actuel répertorie les noms de fichiers et l'arborescence des dossiers, les fichiers de la corbeille, l'historique des versions des fichiers, les vignettes et aperçus des images, ainsi que l'index de recherche plein texte parmi les éléments non chiffrés par SSE. Le partage de fichiers chiffrés sur un stockage externe doit se faire via Nextcloud ; il est impossible de les partager directement depuis le fournisseur de stockage.

Réduire et mesurer l'impact sur la performance

Utilisez une vérification par étapes au lieu de tout chiffrer en une seule fois :

• Commencez par un petit ensemble de tests ou un emplacement de stockage externe nouvellement installé où l'option de chiffrement peut être évaluée.
• Comparez les temps de téléchargement et d'envoi, l'utilisation du processeur et les délais visibles par l'utilisateur par rapport à la valeur de référence sous une charge similaire.
• Répétez le test pour les fichiers plus volumineux et les flux de travail courants, tels que les chargements et téléchargements du client de synchronisation, car le chiffrement est effectué sur le serveur.
• N’étendez le périmètre que si l’impact mesuré est acceptable et si le processus clé de sauvegarde et de restauration est vérifié.

Nextcloud ne garantit pas une surcharge nulle, et l'impact réel dépend du matériel, de la taille des fichiers, du stockage, de la concurrence et de la charge de travail. L'utilisation de SSE peut également augmenter légèrement la taille des fichiers stockés ; le manuel actuel indique une augmentation d'environ 1 % pour les versions récentes, contre une surcharge plus importante pour les versions plus anciennes. Ne considérez pas qu'une ancienne estimation de performance s'applique à votre version.

Vérifiez le résultat et conservez une procédure de retour en arrière sécurisée.

Après avoir activé le chiffrement par envoi unique (SSE), vérifiez occ encryption:statuset testez le comportement du chargement, du téléchargement, du partage et de la synchronisation avec un fichier non critique. Assurez-vous que les données sur le stockage prévu sont lisibles via Nextcloud et que les délais mesurés restent acceptables. Pour les fichiers existants, ne présumez pas qu'ils sont chiffrés tant que l'opération groupée n'est pas terminée.

Si vous décidez ultérieurement de désactiver le chiffrement SSE, ne vous contentez pas de fermer l'application ou le module tant que des fichiers chiffrés restent présents. La procédure documentée de Nextcloud consiste à déchiffrer d'abord les fichiers, puis à désactiver le chiffrement ; la commande de déchiffrement peut passer en mode maintenance et doit également être exécutée après avoir effectué des sauvegardes.

sudo -E -u www-data php /var/www/nextcloud/occ encryption:decrypt-all

Avant de modifier les paramètres de chiffrement, assurez-vous que l'opération est terminée et vérifiez l'accès aux fichiers. Si la surcharge mesurée est trop importante, réduisez la portée du stockage chiffré ou choisissez une protection de la couche stockage adaptée à votre modèle de menaces. Conservez une sauvegarde des clés et du secret de l'instance tant que des données chiffrées existent.

Références officielles

• Chiffrement côté serveur de Nextcloud 35 : configuration, limitations, sauvegardes et commandes OCC
• Détails et types de clés du chiffrement côté serveur de Nextcloud
• Référence des commandes Nextcloud OCC