Qu'est-ce que le chiffrement côté client pour les sauvegardes, et en ai-je besoin sur un serveur loué ?

Pourquoi un serveur loué a-t-il besoin du chiffrement côté client ?

Un serveur que vous louez est une machine que d'autres personnes peuvent toucher. Les disques tombent en panne et sont remplacés : Lorsqu'un disque tombe en panne, ouvrez un ticket : l'équipe le remplace sans frais, et la reconstruction de la grappe sur le nouveau disque dépend de votre configuration. Les disques sont effacés à la fin d'une location : Chaque serveur est payé d'avance depuis votre solde crypto, pour 30 jours, 3 mois, 6 mois ou 12 mois selon le choix effectué au paiement. Le renouvellement automatique recharge la même durée au prix de départ, sauf si vous définissez une autre durée pour le renouvellement suivant dans le tableau de bord ; si le solde est insuffisant, le serveur s'arrête à la fin de sa période, ses disques sont conservés pendant 7 jours puis effacés. Et quiconque s'introduit sur le serveur en cours d'exécution lit tout ce qu'il contient en clair.

Avec le chiffrement côté client, aucun de ces événements n'expose vos données. Le serveur stocke du texte chiffré, et la clé reste sur les machines que vous sauvegardez.

Chiffrez là où les données naissent, et le serveur ne stockera jamais que du bruit.

En quoi est-ce différent du chiffrement de disque ou du chiffrement côté serveur ?

Trois couches sont appelées chiffrement, et elles protègent contre des choses différentes.

• Le chiffrement de disque sur le serveur (LUKS ou chiffrement natif ZFS) protège les disques au repos. La documentation de Nextcloud suggère LUKS pour le stockage local, car cela couvre aussi le vol du serveur physique. Il ne fait rien une fois que le serveur tourne avec la clé chargée. Vous pouvez chiffrer chaque disque de données avec LUKS ou le chiffrement natif ZFS ; les clés restent chez vous et personne dans l'équipe ne vous les demande.
• Le chiffrement côté serveur dans une application, comme celui de Nextcloud, garde les clés sur le serveur. Nextcloud indique qu'il ne protège pas contre un serveur compromis ou un administrateur malveillant.
• Le chiffrement côté client a lieu avant l'envoi. Le serveur ne détient jamais la clé, donc un serveur compromis ne voit toujours que du texte chiffré.

Utilisez le premier et le troisième ensemble. Le chiffrement de disque nécessite un déverrouillage à chaque démarrage ; déverrouiller à distance un serveur loué chiffré avec LUKS montre comment faire.

Comment chaque outil gère-t-il la clé ?

La clé, c'est la sauvegarde. Perdez-la, et la copie chiffrée ne vaut plus rien pour vous non plus.

• restic : votre mot de passe ouvre la clé maîtresse. Sans lui, rien dans le dépôt ne peut être lu.
• Borg : lancez borg key export et conservez le résultat hors du système sauvegardé. La doc de Borg précise qu'une copie sur ce système ne suffit pas en mode keyfile.
• Proxmox Backup Server : le fichier de clé se trouve par défaut dans ~/.config/proxmox-backup/encryption-key.json. Une paire de clés maîtresses place une copie chiffrée en RSA dans chaque sauvegarde, et paperkey affiche la clé maîtresse sous forme de QR code. Depuis la 4.2, les jobs de push sync peuvent chiffrer les snapshots avant de les envoyer.
• Hyper Backup : Synology prévient qu'il ne peut pas récupérer un mot de passe perdu, et le perdre signifie une perte de données définitive.
• Veeam : un mot de passe perdu bloque les restaurations, sauf si des clés Enterprise Manager ont été utilisées.
• Réplication ZFS : zfs send --raw envoie les datasets chiffrés tels qu'ils sont sur le disque. OpenZFS indique que la machine réceptrice n'a jamais les clés.

Les deux outils les plus courants sont comparés sur restic ou Borg pour des sauvegardes hors site.

Que ne cache pas le chiffrement côté client ?

Il cache le contenu et, pour la plupart des outils, les noms. Il ne cache ni le volume que vous stockez ni le moment. Les notes de conception de restic indiquent qu'un observateur ayant accès au stockage peut déduire la taille des sauvegardes à partir des horodatages des objets. Ses fichiers de clé conservent aussi le nom d'hôte, le nom d'utilisateur et la date de création en clair.

Les applications qui travaillent sur vos fichiers, comme Nextcloud ou Immich, ont besoin de les avoir en clair sur le serveur pour indexer, prévisualiser et rechercher. Pour celles-là, utilisez le chiffrement de disque sur le serveur, et le chiffrement côté client pour leurs sauvegardes hors site. Le chiffrement n'empêche pas non plus la suppression : associez-le à des sauvegardes immuables.

Ai-je encore besoin du chiffrement si l'hébergeur ne demande pas de pièce d'identité et ne garde pas de logs ?

Oui, parce que les deux répondent à des questions différentes. L'absence de KYC couvre qui vous êtes ; le chiffrement couvre ce que vous stockez.

Sur 23 vendeurs de serveurs de stockage Basalthold vérifiés le 2 November 2026, seuls 3 indiquent ne pas demander de pièce d'identité. Pour les autres, 12 la demandent selon certains déclencheurs, 2 avant la livraison, et 6 ne le précisent pas. De notre côté : Sans KYC : pas de pièce d'identité, pas de selfie, pas de documents, pas de carte et pas de numéro de téléphone, à aucun moment. Aucun journal n'est conservé : aucun enregistrement de connexion, aucun enregistrement de trafic et aucune adresse IP de visiteur ou de client, ni sur le site, ni dans le tableau de bord, ni sur les serveurs.

Aucune des deux règles ne change ce que contient un disque quand il quitte la machine. Ce qu'il advient des disques après la fin d'une location est détaillé sur vos données après l'annulation d'un serveur de stockage loué. Les tarifs sont sur la liste des prix de la location.