Mon Homelab Degoogled sous Proxmox : Cloud Souverain, Mots de Passe et Synchronisation Libre

Disponible aussi en : Italiano · English

Pendant plus d'une décennie, les services cloud de Google ont été présentés comme l'unique standard de l'efficacité numérique. Nous avons délégué à un conglomérat publicitaire la garde de nos fichiers, de nos répertoires personnels, de nos agendas, de nos mots de passe et de notre identité en ligne. Ce confort centralisé a un coût exorbitant : une surveillance comportementale permanente, un enfermement propriétaire (vendor lock-in) et la perte complète de notre souveraineté numérique.

Mettre en place une infrastructure autonome n'a rien d'un caprice technique : il s'agit d'une règle élémentaire d'hygiène numérique et d'autodétermination technologique.

Grâce à un serveur domestique propulsé par Proxmox VE, j'ai totalement affranchi mes flux de travail quotidiens (PC portable sous Linux et smartphone Android) de l'écosystème de Mountain View, en remplaçant chaque brique propriétaire par des solutions open-source, isolées dans des conteneurs et protégées par du chiffrement de bout en bout (zero-knowledge).

Le Socle : Proxmox VE et l'Isolation par Conteneurs

La clé de voûte de cette architecture est Proxmox VE (Virtual Environment), un hyperviseur bare-metal basé sur Debian. Contrairement aux machines virtuelles traditionnelles, lourdes et énergivores, la puissance de cette configuration repose sur les conteneurs LXC (Linux Containers) :

• Sobriété et performances : Les conteneurs partagent le noyau de l'hôte avec une surcharge en mémoire et en processeur quasiment nulle. Une configuration modeste de 8 Go de RAM fait tourner simultanément une dizaine de services sans le moindre ralentissement.
• Segmentation et sécurité : Chaque brique applicative (stockage, coffre-fort, synchronisation) évolue dans un conteneur Debian ou Ubuntu unprivileged, compartimenté par un pare-feu strict et relié à des proxys inverses SSL automatisés avec Let's Encrypt.
• Tolérance aux pannes avec ZFS : Les instantanés atomiques ZFS permettent de revenir en arrière immédiatement avant toute mise à jour délicate, garantissant une continuité de service totale.

1. Fichiers et Médias : Seafile face à Google Drive et Google Photos

Google Drive et Photos analysent systématiquement le contenu des documents et les métadonnées des photos. Pour les remplacer, il fallait un système taillé pour la vitesse, la déduplication native et la synchronisation mobile instantanée : Seafile.

• Architecture en blocs : Contrairement aux solutions PHP monolithiques, Seafile découpe les fichiers en blocs chiffrés et indexés (développés en C et Python). La vitesse de synchronisation sature la bande passante locale en Gigabit.
• Déduplication et historique : Seuls les blocs modifiés sont transférés et stockés, ce qui optimise l'espace disque tout en conservant un historique complet et immuable des versions.
• Application mobile robuste : L'application Android téléverse instantanément les photos prises par l'appareil et synchronise les dossiers de travail dans les deux sens avec mon PC portable sous Linux, sans passer par le moindre serveur tiers.

2. Mots de Passe et Identités : AliasVault + 2FA YubiKey face à Google Password Manager

Confier ses trousseaux de clés à Google Chrome ou à Android revient à fusionner sa sécurité avec un compte publicitaire. J'ai déployé AliasVault, una solution moderne et sécurisée écrite en Rust et WebAssembly :

• Chiffrement Zero-Knowledge : Le coffre-fort est chiffré directement sur l'appareil utilisateur avant tout envoi réseau, grâce à Argon2id pour la dérivation de clé et à AES-256-GCM / XChaCha20. Le serveur Proxmox ne stocke que des données brutes chiffrées qu'il est techniquement incapable de lire.
• Génération d'Alias E-mail : En plus de la gestion des identifiants, cartes bancaires et Passkeys (FIDO2), AliasVault intègre un serveur SMTP permettant de générer des adresses e-mail uniques à la volée, neutralisant tout traçage croisé entre les sites web.
• Sécurisation Matérielle par YubiKey : L'accès d'administration de l'infrastructure est verrouillé par une authentification à deux facteurs (2FA) matérielle stockée sur une YubiKey physique via Yubico Authenticator (TOTP dans l'élément sécurisé du composant). Pas de SMS vulnérables, aucun recours à Google Authenticator : la clé secrète réside exclusivement dans la puce physique USB/NFC.

3. Contacts, Agendas et Tâches : EteSync face à Google Contacts et Agenda

Le carnet d'adresses et le calendrier constituent la cartographie relationnelle la plus intime d'un individu. Si les protocoles classiques CalDAV/CardDAV permettent la décentralisation, ils stockent souvent les données en clair sur le serveur. La réponse s'appelle EteSync :

• Chiffrement de Bout en Bout Rigoureux (E2EE) : EteSync fonctionne comme un journal infalsifiable et entièrement chiffré. Même un accès administrateur (root) à la base de données sur l'hôte Proxmox ne permet pas d'accéder au moindre numéro de téléphone ou événement d'agenda.
• Intégration transparente avec Android : Grâce à l'adaptateur de synchronisation EteSync ou à DAVx5, les applications natives de contacts et d'agenda d'Android se synchronisent en temps réel sans jamais solliciter les serveurs de Google.

L'Expérience Mobile : Un Téléphone Android Véritablement Libéré

Une infrastructure auto-hébergée n'a de sens que si elle s'intègre parfaitement dans l'usage quotidien du smartphone :

1. Remplissage automatique du système : AliasVault est défini comme service de saisie automatique par défaut dans les paramètres d'Android, remplaçant totalement la saisie de Google.
2. Saisie textuelle sans pistage : J'utilise le clavier FUTO Keyboard, configuré pour la frappe simultanée en trois langues (IT, FR, EN) avec correction hors-ligne et sans aucune télémétrie.
3. Navigation sans fuite de données : Le navigateur Brave sur Android sollicite directement le coffre-fort AliasVault via les interfaces système natives sécurisées.

En Conclusion

Se dégoogliser ne signifie pas renoncer au confort ou à l'efficacité. Cela exige simplement un changement de paradigme : cesser d'être le locataire surveillé des infrastructures d'autrui pour redevenir le propriétaire exclusif de son matériel et de ses données.

Avec un homelab articulé autour de Proxmox VE, Seafile, AliasVault et EteSync, la vie privée cesse d'être une promesse commerciale pour redevenir une architecture concrète, vérifiable et pérenne.