Hoodik : le cloud chiffré qui protège vos fichiers sans compromis

Mine de rien, quand vous laissez traîner vos photos de vacances et vos fichiers ultra-confidentiels sur un serveur Nextcloud maison ou chez un hébergeur lambda, vous faites un pari. Le pari que personne ne va farfouiller dans vos données. Le problème ? Ce pari, vous êtes presque toujours perdant. Parce que le chiffrement de bout en bout sur ces solutions, c’est comme le Wi-Fi de votre voisin : une option oubliée dans les paramètres, avec un petit avis en bas de page écrit en 4 points. La semaine dernière encore, un client m’a appelé parce qu’un stagiaire avait trouvé la clé SSH de son serveur privatisé derrière l’étagère. Autant dire que si je devais résumer la situation en une phrase, ce serait : vos fichiers ne sont jamais vraiment à vous tant qu’ils passent par une machine qui les voit en clair. Alors quand j’ai découvert Hoodik, je me suis dit : « Enfin ! Un projet qui ne fait pas semblant. »

Nextcloud et ses promesses en carton : quand le chiffrement devient un accessoire de cuisine

Vous connaissez probablement Nextcloud. Vous l’utilisez peut-être même. Sur le papier, c’est une solution géniale : auto-hébergée, open source, avec des tonnes de plugins pour tout faire. Sauf que. Sauf que le chiffrement de bout en bout ? Ce n’est pas activé par défaut. Pire : pour l’activer, il faut installer un plugin tiers, End-to-End Encryption, qui traîne dans un coin comme un meuble Ikea non monté depuis deux ans. Et même là, la majeure partie des utilisateurs ne se donnent pas la peine. Résultat ? Vos fichiers s’envolent vers le serveur en clair, et l’administrateur (vous ou un hébergeur tiers) peut ouvrir ce qu’il veut, quand il veut. Sans même avoir à se lever de sa chaise.

Pire encore : certains hébergeurs Nextcloud « prêts à l’emploi » désactivent carrément cette option. Pourquoi ? Parce que ça complique la gestion des sauvegardes. Autrement dit, pour éviter de casser des scripts maison, on sacrifie votre vie privée. Alors oui, je sais ce que vous allez dire : « Marc, c’est toi l’admin, t’as qu’à bien configurer. » Sauf que je passe 30% de mon temps à rattraper les bourdes des clients qui ont cliqué sur « suivant » sans lire les cases cochées. Entre nous, si Nextcloud avait eu un module de chiffrement intégré ET activé par défaut, je n’aurais pas à expliquer à Monsieur Dupont pourquoi sa liste de mots de passe Excel est maintenant en libre accès sur son propre serveur. Du coup, quand j’ai vu Hoodik, j’ai cru à un canular… jusqu’à ce que je lise deux fois les docs.

Le cauchemar des sauvegardes « transparentes »

Autre problème avec Nextcloud et consorts : les sauvegardes. Quand vous faites une sauvegarde de votre instance, vous sauvegardez aussi les clés de chiffrement. Parce que sinon, comment faire pour restaurer les données si vous perdez votre mot de passe ? Sauf que du coup, votre sauvegarde devient aussi lisible que le contenu original. Félicitations, vous avez externalisé votre problème de sécurité vers votre disque dur externe. Et si un pirate récupère ce disque ? Il a accès à tout. C’est comme cacher sa clé sous le paillasson en espérant que le voleur ne pensera pas à regarder là. Sauf que là, le paillasson, c’est votre NAS qui traîne dans le salon.

Hoodik : quand le chiffrement devient une religion, pas une option

Alors Hoodik, c’est quoi ? Un fork de Nextcloud ? Une alternative open source ? Non. C’est un projet radical, conçu par Tibor Hudik, qui part du principe que le chiffrement n’est pas une option, mais la base absolue de l’architecture. Pas de plugin à installer. Pas de case à cocher oubliée. Pas de « si vous voulez vraiment sécuriser vos données, faites ceci et cela ». Hoodik chiffre vos fichiers dans votre navigateur, avant même qu’ils ne quittent votre machine. Et une fois ça parti ? Le serveur ne voit que de la bouillie incompréhensible. Pas de clés échangées. Pas de risque de fuite. Rien.

Comment ça marche ? Même votre grand-mère pourrait comprendre (enfin presque)

• Vous ouvrez Hoodik dans votre navigateur. Le client Web chiffré s’installe dans votre session, comme un add-on de navigateur.
• Vous uploadez un fichier. Au moment où il quitte votre disque dur, il est chiffré grâce à une clé générée dans votre navigateur. Cette clé ? Elle ne quitte jamais votre machine.
• Le fichier chiffré arrive sur le serveur Hoodik. Celui-ci ne peut pas le déchiffrer, même s’il le voulait. Et il ne peut pas le déchiffrer parce qu’il n’a pas la clé.
• Quand vous voulez récupérer le fichier, vous le téléchargez. Votre client local le déchiffre automatiquement. Bim. Vos données sont privées, même si le serveur est compromis.

Le plus beau ? Hoodik est conçu pour être auto-hébergé. Vous installez le serveur où vous voulez (un Raspberry Pi dans le placard, un VPS à 5€/mois, ou votre machine sous Linux qui prend la poussière au fond du bureau). Le serveur ne stocke que des fichiers illisibles. Si quelqu’un pirate votre instance, il récupère des données inutilisables. Et vous, vous dormez tranquille. Alors oui, ça demande un peu plus de setup qu’un clic sur « Nextcloud » dans votre panel d’hébergement. Mais entre un serveur que vous contrôlez et une solution cloud où le proprio peut ouvrir vos photos de famille en buvant son café, je sais ce que je choisirais.

Pourquoi Hoodik est une gifle aux « solutions sécurisées » qui vendent du rêve en boîte

Parce que la plupart des services cloud qui se targuent d’être « sécurisés » le sont seulement sur le papier. Souvenez-vous de l’affaire Dropbox où des employés pouvaient regarder les fichiers des utilisateurs. Ou de Microsoft OneDrive qui, pendant des années, a scanné vos documents pour vous vendre des pubs. Même ProtonDrive, que j’aime bien par ailleurs, a eu des problèmes de fuites de données récemment. Bref, tant que le serveur peut voir vos fichiers, vous dépendez de sa bonne volonté. Et croyez-moi, la bonne volonté des hébergeurs, c’est comme la patience de Windows après une MAJ : ça finit toujours en catastrophe.

Hoodik, lui, il ne triche pas. Il construit une architecture où le serveur est littéralement incapable de voir vos fichiers en clair. Pas de contournement possible. Pas de faille de configuration. Pas de « si vous avez bien suivi les étapes ». C’est du chiffrement intégré, pas du chiffrement ajouté comme une rustine. Et ça change tout. Pour être honnête, quand j’ai vu ça, j’ai failli fermer mon atelier et partir en vacances au soleil. Parce que la moitié de mes interventions consistent justement à expliquer aux gens pourquoi leurs données ne sont pas aussi privées qu’ils le croient.

Le piège des « solutions tout-en-un » qui vous volent votre vie privée

Vous avez déjà vu ces services qui promettent « un cloud personnel ultra-sécurisé » avec un abonnement à 20€/mois ? Spoiler : la sécurité, c’est du marketing. Si le serveur peut voir vos fichiers, vous n’avez pas de cloud personnel. Vous avez un entrepôt de données loué à une entreprise qui fait semblant d’être votre ami. Hoodik, c’est l’inverse : votre cloud, c’est VOTRE machine. Le serveur n’est qu’un intermédiaire stupide qui stocke des données. Point.

Et je ne parle même pas des solutions comme Google Drive ou iCloud, où vos données sont analysées, vendues, et parfois piratées avant que vous n’ayez fini de lire les CGU. Non, Hoodik, c’est pour ceux qui veulent vraiment contrôler leurs données. Pas pour ceux qui veulent une solution clé en main qui semble sécurisée… jusqu’à ce qu’un employé mal intentionné ou un bug expose tout.

Au secours, mon serveur est compromis ! Hoodik vs. la réalité des failles

Je vais vous faire un aveu : je ne suis pas à 100% certain que Hoodik soit infaillible. Rien ne l’est en informatique. Mais ce que je sais, c’est que si votre serveur Hoodik est compromis, le pirate récupère des fichiers chiffrés. Et sans votre clé locale (qui, je le rappelle, ne quitte jamais votre machine), ces fichiers sont aussi utiles qu’un disque dur rempli de zéros. Alors que si votre Nextcloud est piraté ? Le pirate a accès à tout, y compris aux clés de chiffrement si vous avez activé le plugin E2E… mais surtout, il a accès à vos données en clair parce que, dans 90% des cas, personne n’active jamais ce plugin. Alors oui, il faut configurer Hoodik correctement. Mais au moins, la base est solide.

D’ailleurs, une anecdote pour illustrer : l’autre jour, un client m’a appelé parce que son serveur Nextcloud maison avait été compromis via une faille dans un plugin tiers. Résultat ? 15 Go de données clients en clair, accessibles à quiconque passait par l’interface web. Le temps que je nettoie tout, que je réinstalle le serveur, que je change toutes les clés, le client avait perdu confiance. Il a basculé sur un Dropbox « parce que c’est plus simple ». Sauf que personne ne lui a expliqué que Dropbox scanne ses fichiers. Du coup, il a perdu en sécurité ET en simplicité. Avec Hoodik, même s’il y a une faille dans le serveur, ses données restent privées. Alors oui, il faut un peu plus de rigueur. Mais c’est le prix à payer pour ne pas finir en une ligne dans un article de 20 Minutes sur « la fuite de données qui a touché 10 000 personnes ».

Le chiffrement parfait n’existe pas. Mais Hoodik s’en approche

Bien sûr, Hoodik n’est pas une solution miracle. Si un pirate récupère votre mot de passe de session, il peut accéder à vos fichiers en clair. Parce que le déchiffrement se fait côté client. Mais c’est la même logique que pour un coffre-fort : si vous donnez votre clé à quelqu’un, il peut ouvrir le coffre. Hoodik ne vous protège pas contre la bêtise humaine. Mais il vous protège contre le serveur. Et contre les hébergeurs malveillants. Et contre les fuites de données massives. Alors oui, il faut faire attention à votre mot de passe. Mais au moins, vous n’avez pas à surveiller votre colocataire qui a accès au serveur parce que « il gère le backup ».

Hoodik : pour qui ? Pour quoi ? Mode d’emploi express

Alors, Hoodik, c’est fait pour vous si :

• Vous voulez un cloud personnel où personne, pas même vous en cas de mauvaise manipulation, ne peut lire vos fichiers sans votre clé.
• Vous avez un serveur (ou voulez en monter un) et vous voulez une solution ultra-sécurisée sans compromis.
• Vous en avez marre des services cloud qui vendent vos données ou qui se font hacker tous les six mois.
• Vous êtes prêt à passer 10 minutes de plus à configurer votre solution… pour gagner des années de tranquillité d’esprit.

Hoodik n’est pas fait pour vous si :

• Vous voulez une solution « clé en main » où vous cliquez sur un bouton et hop, tout est prêt.
• Vous n’avez pas de serveur et ne voulez pas en monter un.
• Vous faites confiance aveuglement à votre hébergeur et pensez que vos données sont en sécurité parce qu’il a mis « sécurisé » dans son nom de domaine.

Pour installer Hoodik, c’est simple : rendez-vous sur hoodik.io et suivez les instructions. Le projet est toujours en développement, mais il fonctionne déjà très bien. Et si vous voulez un retour d’expérience concret, je vous conseille de tester avec de petits fichiers avant de tout migrer. Parce que même avec Hoodik, une mauvaise configuration peut tout casser. Mais au moins, vous ne perdrez pas vos données en clair.

Et maintenant ? Le futur du cloud personnel passera-t-il par Hoodik ?

Je ne vais pas vous dire que Hoodik va remplacer Nextcloud du jour au lendemain. Mais je vais vous dire une chose : le monde a besoin de plus de projets comme Hoodik. Des projets qui ne font pas semblant. Des projets qui partent du principe que la sécurité n’est pas une option, mais une nécessité. Parce que la réalité, c’est que la plupart des gens qui utilisent un cloud ne savent même pas ce que signifie « chiffrement de bout en bout ». Et ceux qui le savent ne l’activent pas, parce que c’est trop compliqué.

Hoodik montre que c’est possible. Que l’on peut avoir un cloud personnel, auto-hébergé, ultra-sécurisé, sans faire de compromis. Et ça, c’est une révolution. Alors oui, il faut encore attendre quelques années pour que ce genre de solution devienne mainstream. Mais entre nous, si vous avez un serveur qui traîne ou si vous voulez en monter un, Hoodik vaut vraiment le détour. Parce que le cloud personnel de demain ne sera pas celui qui se vante d’être sécurisé. Ce sera celui qui l’est vraiment.

Pour aller plus loin : test, docs, et sources
Hoodik m’a convaincu, et vous ?

Si vous voulez tester Hoodik par vous-même, rendez-vous sur hoodik.io. La documentation est disponible sur GitHub, et la communauté commence à s’organiser. Si vous voulez mes impressions après quelques jours d’utilisation, envoyez-moi un message. Je vous donnerai mon avis sans filtre. Parce que je l’ai déjà dit, et je le répète : en informatique, la sécurité ne se négocie pas.

Et si vous voulez en savoir plus sur les failles des « solutions cloud sécurisées », je vous conseille de regarder du côté de ProtonDrive et de ses problèmes récents. Ou de lire les CGU de Google Drive. Spoiler : vous allez pleurer. Alors autant prendre le taureau par les cornes dès maintenant et opter pour une solution qui ne vous ment pas.

En tout cas, une chose est sûre : Hoodik a changé ma façon de voir les clouds personnels. Et la prochaine fois que je verrai un client me parler de sa solution auto-hébergée « super sécurisée », je lui montrerai Hoodik. Pour lui rappeler que la sécurité, ça ne se configure pas dans un menu caché. Ça se construit dans l’architecture.

Et vous, vous faites confiance à votre cloud ?

Sources et pour aller plus loin
Un article qui a changé ma vision du cloud

Si vous voulez creuser le sujet, je vous invite à lire l’article original sur Korben.info. L’auteur explique en détail le fonctionnement technique de Hoodik et pourquoi ce projet est une bouffée d’oxygène dans un monde où la vie privée devient un luxe. Et si vous voulez tester d’autres solutions similaires, je vous conseille de jeter un œil à Cryptomator pour chiffrer vos fichiers avant de les uploader. Mais attention, Cryptomator ne protège pas contre la gestion des clés. Hoodik, lui, gère tout ça pour vous.