Vous installez Nextcloud sur un vieux mini-PC à la cave. Ça tourne magnifiquement. Synchronisation des photos du téléphone, calendrier, contacts, 200 Go de documents familiaux. L'ordinateur à la maison - vole. Le téléphone sur le Wi-Fi domestique - fonctionne. Vous configurez l'app mobile, le client desktop, tout est vert.
Le lendemain vous partez à un salon professionnel. L'hôtel propose du « Wi-Fi gratuit ». Vous ouvrez le portable, vous voulez récupérer le deck que vous avez uploadé hier sur Nextcloud. Le client desktop affiche « connection failed ». L'app mobile - pareil. WireGuard vers la maison - ne se connecte pas. Vous regardez l'IP routeur dans le panneau - 100.74.x.x. CGNAT chez le FAI de l'hôtel, et CGNAT aussi chez votre FAI à la maison. Vous ne récupérerez pas ce deck aujourd'hui ni demain. Résultat : 3 heures un samedi avant le salon avec une présentation manquante.
Pourquoi Nextcloud est plus difficile à exposer que HA#
Exposer Home Assistant, c'est une chose : un seul port HTTP, un écran de login, parfois un WebSocket pour les intégrations. Les attaquants ont trois vecteurs : brute-force du login, exploits sur les intégrations custom, CVE connues du core. Désagréable mais borné.
Nextcloud est une plateforme. Derrière une seule adresse il y a WebDAV (synchro fichiers), CalDAV/CardDAV (calendrier, contacts), Talk (WebRTC, vidéo), Office (édition collaborative), Mail, Notes, Deck, Photos, plus des dizaines d'add-ons de l'app store. Chaque couche a son endpoint, son historique CVE, sa logique de permissions.
HTTPS est obligatoire dès le jour un. Les navigateurs modernes bloquent le drag-and-drop de fichiers en HTTP simple. Le client desktop exige aussi TLS. HTTP simple = le client ne se connecte jamais.
C'est une cible populaire. Les bots Shodan scannent /remote.php/webdav 24/7. Au moment où vous publiez le port 443 avec Nextcloud, vous avez les premières tentatives de login en 6 heures. Pas « un jour » - en moins de 24 h.
Synology et QNAP ont leurs propres apps (DSM File Station, QSync) - pratiques mais fermées, pas de 200 add-ons, pas de Talk, pas de federation. Nextcloud auto-hébergé donne tout, à condition de l'exposer en sécurité.
N'exposez jamais Nextcloud sans 2FA. Premier jour en production = premier jour de brute-force. Sans deuxième facteur, le mot de passe Ete2024! survit 11 heures.
4 façons d'accéder à Nextcloud à distance - classement brutal#
Chaque méthode est correcte dans des conditions précises. Le problème, c'est que l'internet dit rarement lesquelles.
1. Port forwarding + DynDNS#
Comment ça marche : vous ouvrez le port 443 (derrière un reverse proxy) sur le routeur. Un domaine type cloud.duckdns.org pointe sur l'IP publique, un client DynDNS met à jour l'enregistrement. Let's Encrypt délivre le cert. Nextcloud visible depuis tous les internets de la planète - y compris les 50 millions de bots qui s'y trouvent.
Quand c'est pertinent : vous avez une IPv4 publique (vérifiez d'abord - la plupart des opérateurs mobiles ne vous en donnent pas, plus sur CGNAT dans le pillar HA), vous savez configurer Nginx + LE renew, vous lancez fail2ban, vous surveillez auth.log, vous patchez Nextcloud chaque mois, vous n'exposez que le 443 (pas le panel admin), vous avez 2FA, GeoIP block et un WAF.
Pourquoi presque aucun hobbyiste ne remplit ces conditions : parce que personne n'a fail2ban correctement réglé pour /login, personne ne restreint /remote.php/dav par IP source. « Marche » 4 mois. Puis CVE dans l'app Mail, quelqu'un dépose une bibliothèque via upload WebDAV, vous rentrez de vacances et trouvez vos documents sur un onion marketplace.
Verdict : piège pour 99 %. Pour les 1 % dont l'IT est le métier, faisable - je ne le recommanderais quand même pas.
2. VPN (WireGuard / OpenVPN)#
Comment ça marche : vous montez WG sur le routeur ou dans un container séparé à côté de Nextcloud. Chaque client (votre laptop, le téléphone du conjoint, celui des beaux-parents) installe l'app WG, importe la conf. Ils se connectent comme s'ils étaient à la maison, Nextcloud accessible à son adresse LAN.
Avantages : chiffrement fort, zéro exposition de Nextcloud sur internet public, accès aussi à d'autres services (NAS, imprimante).
Inconvénients :
- Une app sur chaque appareil de la famille. Votre conjoint lance WireGuard avant d'ouvrir les photos du week-end ? Bonne chance.
- Les liens de partage publics ne marchent pas. Vous avez envoyé à un ami
cloud/s/xyz123? Il n'a pas WG, il ne télécharge pas. - Ne fonctionne pas derrière CGNAT. Votre routeur derrière CGNAT = serveur WG inaccessible de l'extérieur. Cercle fermé.
- Les clients mobiles Nextcloud ne gèrent pas toujours élégamment les coupures VPN - la synchro pend, redémarrage manuel nécessaire.
Verdict : bon pour un développeur solo. Faible pour les familles. Inutile derrière CGNAT.
3. Cloudflare Tunnel#
Comment ça marche : vous installez cloudflared sur la machine Nextcloud. Connexion sortante vers Cloudflare. Dans le dashboard CF vous mappez cloud.votredomaine.fr → tunnel. HTTPS automatique.
Avantages : gratuit, fonctionne derrière CGNAT, votre propre domaine, protection DDoS.
Inconvénients que la doc n'imprime pas en gras :
- Les ToS Cloudflare interdisent le trafic fichiers excessif via le free tier (section 2.8). Nextcloud synchronisant 200 Go de photos familiales est le cas d'école pour l'enforcement. Certains se font bannir au bout d'un mois, d'autres au bout d'un an, d'autres jamais. Loterie.
- Limite d'upload 100 Mo par requête HTTP via Cloudflare sur le plan gratuit. Vous tentez de synchroniser une vidéo 4K de vacances ? Bloqué.
- Streaming vidéo depuis Nextcloud (galerie, lecture de films) - même limite ToS que Jellyfin.
- Le WAF bloque parfois des requêtes Nextcloud légitimes - debugger c'est jouer à « pourquoi la synchro est morte à 3:42 du matin ».
Verdict : gratuit, mais les ToS Cloudflare en font une roulette russe pour le file-storage. Comparaison plus large ici.
4. Tunnel SSH inversé (ex. SmartHomeEntry)#
Comment ça marche : un agent sur la machine Nextcloud ouvre un tunnel SSH sortant vers un serveur relais. Le relais expose votre Nextcloud sur un sous-domaine HTTPS stable comme cloud.smarthomeentry.com. Zéro port chez vous. Aucune config routeur.
Avantages :
- Fonctionne derrière CGNAT (tunnel sortant, peu importe où vous êtes).
- Sous-domaine HTTPS stable, wildcard Let's Encrypt automatique au niveau du relais.
- Aucune limite de transfert ToS (contrairement à CF).
- Family-friendly - lien dans le navigateur, clients mobile et desktop fonctionnent out of the box.
- Multi-services - une seule machine peut servir Nextcloud + Home Assistant + Jellyfin + NAS. Chacun a son propre agent, son tunnel et son sous-domaine, et votre offre détermine leur nombre.
Inconvénients :
- Dépendance au relais. Si managed (à partir de 7 EUR/mois plan hobby), votre accès externe = leur uptime. Localement Nextcloud continue de tourner indépendamment.
- Payant pour managed - à partir de 7 EUR/mois pour hobby, à partir de 23 EUR/mois pour B2B avec domaine custom.
Verdict : pour la plupart des utilisateurs Nextcloud hors single-user-avec-IP-publique - meilleur équilibre sécurité/confort/temps de setup. Ci-dessous je montre pourquoi - en 60 secondes.
| Méthode | Fonctionne derrière CGNAT | Setup | Family-friendly | Limites de stockage | HTTPS |
|---|---|---|---|---|---|
| Port forwarding | non | difficile | oui | aucune | manuel |
| WireGuard | non | moyen | non | aucune | s. o. |
| Cloudflare Tunnel | oui | moyen | oui | limites ToS | auto |
| Reverse SSH | oui | 60 sec | oui | aucune | auto |
Setup Nextcloud + tunnel SSH en 60 secondes#
Je suppose que vous avez déjà un Nextcloud qui tourne en local sur quelque chose comme http://192.168.1.50 ou http://nextcloud.local. Sinon - pillar d'installation d'abord à /nextcloud.
-
Créez un compte SmartHomeEntry, choisissez un sous-domaine (ex.
monnuage.smarthomeentry.com). À l'inscription nous le lions à votre tunnel en base et allouons un port relais unique. -
Renseignez l'adresse locale de Nextcloud dans le dashboard (champ « Adresse locale » de l'onboarding). C'est l'adresse sur laquelle Nextcloud écoute dans votre réseau - l'agent y redirige le trafic du tunnel. Nextcloud tourne généralement sur le port 80 (ou 443, ou un port personnalisé sous Docker), pas sur 8080. En cas de doute, vérifiez sur la machine Nextcloud :
sudo ss -tlnp | grep -E ':(80|443|8080|8081|9000)\b'Saisissez par exemple
localhost:80. Cette adresse est intégrée à la commande d'installation de l'étape suivante. -
Récupérez la commande d'installation depuis le dashboard et collez-la dans un terminal de la machine Nextcloud :
curl -sSL https://api.smarthomeentry.com/api/install/VOTRE_TOKEN | sudo bashLe script installe l'agent en service systemd, récupère la clé SSH via un install token à usage unique (TTL 15 min), écrit l'adresse locale dans
/etc/smarthomeentry/agent.envet ouvre le tunnel vers le relais. -
Ajoutez le sous-domaine à
trusted_domainsdans leconfig/config.phpde Nextcloud (typiquement/var/www/nextcloud/config/config.phpou/var/snap/nextcloud/current/nextcloud/config/config.php) :'trusted_domains' => array ( 0 => 'localhost', 1 => '192.168.1.50', 2 => 'monnuage.smarthomeentry.com', ), -
Réglez
overwrite.cli.urletoverwriteprotocolpour que Nextcloud génère des URL correctes (liens fichiers, share, callback OAuth) :'overwrite.cli.url' => 'https://monnuage.smarthomeentry.com', 'overwriteprotocol' => 'https', 'overwritehost' => 'monnuage.smarthomeentry.com', -
Redémarrez Nextcloud / rechargez le serveur web (
systemctl reload apache2ousystemctl reload nginxselon votre stack) et ouvrezhttps://monnuage.smarthomeentry.com. Vous devriez voir l'écran de login Nextcloud en HTTPS - sans avertissement de cert, sans config routeur, sans ouvrir de port.
Si à la première ouverture Nextcloud renvoie « Access through untrusted domain », c'est que vous n'avez pas sauvegardé config.php ou pas rechargé PHP-FPM. Après modification de trusted_domains, rechargez tout le stack, pas seulement occ.
Le sous-domaine renvoie 502 ? Le tunnel fonctionne, mais l'agent redirige vers une adresse locale où rien n'écoute - le plus souvent le port Domoticz par défaut au lieu de celui de Nextcloud. Vérifiez et corrigez sans réinstaller l'agent :
grep LOCAL_ADDR /etc/smarthomeentry/agent.env
sudo sed -i 's|^SMARTHOMEENTRY_LOCAL_ADDR=.*|SMARTHOMEENTRY_LOCAL_ADDR=localhost:80|' /etc/smarthomeentry/agent.env
sudo systemctl restart smarthomeentry-agent
Si l'agent tourne dans Docker (macOS, ou pas de paquet .deb/.rpm pour votre architecture), il n'y a pas de agent.env - l'adresse est intégrée au conteneur. Dans ce cas, corrigez l'adresse locale dans le dashboard, supprimez le conteneur et relancez la commande d'installation :
docker rm -f smarthomeentry-agent
La suite - best practices après le setup#
Le tunnel marche, vous avez HTTPS, vous pouvez tirer des fichiers depuis le Wi-Fi de l'hôtel. Maintenant 5 minutes d'hygiène - pour ne pas avoir à revenir là-dessus dans 6 mois.
- Activez 2FA TOTP (Settings → Security → Two-Factor Authentication). Authy / Aegis. Sans ça, le premier bot qui devine le mot de passe prend tout.
- Désactivez l'admin par défaut et créez un compte admin séparé avec mot de passe fort (16+ caractères, générateur). Le compte avec lequel vous vous connectez tous les jours doit être un user normal.
- Activez la brute-force protection - par défaut elle est activée ; vérifiez que
bruteforce.protection.enabledesttruedansconfig.php. Après 10 logins ratés elle bloque l'IP 24 h. - Mise à jour vers latest stable - Nextcloud livre un major trimestriel et un patch sécurité mensuel.
occ upgradedepuis cron ou depuis le dashboard. Vieille version sur tunnel public = problème de quand, pas de si. - End-to-end encryption pour les dossiers sensibles - Nextcloud E2EE chiffre les fichiers avec la clé client, le serveur ne voit que du chiffré. Ralentit la synchro, mais pour les impôts/contrats ça vaut le coup.
- Le backup, c'est vous - le relais ne fait que forwarder le trafic. Backups de
data/+ dump DB +config.phpsont votre responsabilité. Borg / Restic sur un storage séparé.
Mettez aussi log_level => 2 (warning) en production, pas 0 (debug). Les logs Nextcloud grossissent vite et debug bouffe le disque en une semaine.
FAQ#
| Question | Réponse |
|---|---|
| Nextcloud Talk (vidéo, audio) fonctionne via le tunnel ? | Oui. WebRTC sur HTTPS est tunnelisé par le relais. La latence dépend de l'emplacement du relais (relais à Varsovie + utilisateur FR = ~30-80 ms). Pour les appels 1-vers-1 fluide ; pour 10+ participants envisager un serveur TURN. |
| Les clients desktop / mobile synchronisent via le sous-domaine ? | Oui. Entrez https://monnuage.smarthomeentry.com comme adresse serveur, login normal. Sync, share, push notifications - tout fonctionne identiquement à une adresse directe. |
| Puis-je utiliser mon propre domaine au lieu d'un sous-domaine ? | Oui, sur le plan B2B / Pro. CNAME nextcloud.votredomaine.fr vers notre relais, nous délivrons un cert LE pour votre domaine. Plan hobby = sous-domaines *.smarthomeentry.com. |
| Et les backups de mes fichiers ? | Votre Nextcloud, vos fichiers, votre backup. Le relais ne stocke aucune donnée, il ne fait que forwarder le trafic. Recommande Borg / Restic offsite + snapshots ZFS si vous avez un NAS. |
| WebDAV (montage en lecteur réseau) fonctionne ? | Oui. URL WebDAV : https://monnuage.smarthomeentry.com/remote.php/dav/files/USERNAME/. Mount via Windows Explorer, macOS Finder, GNOME Files, rclone. |
| Puis-je tunneliser d'autres services depuis le même hôte ? | Oui. Un agent gère plusieurs sous-domaines - cloud.smarthomeentry.com → Nextcloud, media.smarthomeentry.com → Jellyfin, ha.smarthomeentry.com → Home Assistant. |
Verdict#
Le tunnel SSH inversé est le meilleur choix Nextcloud si : vous êtes derrière CGNAT (FAI mobile, partie de la fibre), vous avez une famille qui utilise le cloud, vous voulez ajouter d'autres services (Jellyfin, HA), ou vous ne voulez tout simplement pas passer vos samedis après-midi à configurer Nginx + fail2ban + Let's Encrypt + WAF.
Alternative ? Si vous êtes solo, vous avez une IPv4 publique, vous surveillez les logs et vous aimez le feeling panel Nginx de 2018 - le port forwarding marchera et je ne vous paierai rien. WireGuard a aussi du sens quand vous n'envoyez pas de liens publics. Cloudflare Tunnel - si vous acceptez la loterie ToS-storage. Pour le reste - Nextcloud + SmartHomeEntry - lien dans le navigateur, fonctionne partout, setup en 60 secondes. C'est aussi la voie que nous recommandons aux installateurs B2B servant de nombreux clients.
