Nextcloud avec Docker : construire un cloud privé pour PME

💡 En résumé (TL;DR)

• Nextcloud peut fournir fichiers, partage, calendrier et collaboration sur une infrastructure contrôlée par la PME, mais l'auto-hébergement transfère aussi la responsabilité des mises à jour, sauvegardes et incidents.
• Une base professionnelle minimale associe Nextcloud, PostgreSQL ou MariaDB, Redis, un service cron, des volumes persistants et un reverse proxy HTTPS.
• Ne publiez pas directement le port du conteneur sur Internet. Le proxy termine TLS et Nextcloud doit connaître le domaine et les adresses de proxy autorisées.
• Une sauvegarde n'est valide qu'après un test de restauration comprenant base, données, configuration et version compatible de l'application.
• Le verdict AngleFormation : pour une petite équipe sans administrateur, Nextcloud AIO ou une offre gérée peut être préférable ; un Compose personnalisé convient si la PME assume l'exploitation.

Nextcloud est souvent présenté comme une alternative privée à un service de stockage SaaS. La réalité est plus large : c'est une plateforme collaborative qui peut centraliser fichiers, partages, contacts, calendriers et applications. Cette souplesse en fait un bon candidat pour une PME, à condition de traiter le projet comme un service de production.

Ce guide propose une architecture Docker Compose compréhensible et maintenable. Il ne remplace pas les recommandations spécifiques de l'hébergeur ni une analyse de conformité.

Choisir entre AIO, Compose personnalisé et service géré

Nextcloud AIO est pertinent pour standardiser un déploiement. Le Compose personnalisé est utile si vous possédez déjà PostgreSQL, Redis, un proxy et une supervision. Une offre gérée est souvent plus économique lorsqu'aucune personne ne peut intervenir rapidement sur le serveur.

Étape 1 — Dimensionner l'infrastructure

Évaluez :

• le nombre d'utilisateurs actifs ;
• le volume initial et la croissance mensuelle ;
• la taille moyenne des fichiers ;
• les synchronisations simultanées ;
• l'usage de prévisualisation, antivirus ou bureautique ;
• la durée de conservation ;
• le RPO : quantité maximale de données qu'on accepte de perdre ;
• le RTO : durée maximale d'interruption.

Prévoyez séparément le disque système, le volume de données, la base et une cible de sauvegarde située sur un autre système.

Un miroir RAID améliore la disponibilité, mais ne protège ni contre une suppression, ni contre un chiffrement malveillant, ni contre une erreur d'administration. Il ne remplace pas les sauvegardes.

Étape 2 — Préparer DNS, HTTPS et secrets

Créez un nom dédié, par exemple cloud.exemple.fr, et dirigez son enregistrement DNS vers le reverse proxy. Les ports 80 et 443 sont les seuls généralement nécessaires depuis Internet.

Créez un fichier d'environnement non versionné :

NEXTCLOUD_VERSION=34
POSTGRES_VERSION=17-alpine
REDIS_VERSION=8-alpine
POSTGRES_DB=nextcloud
POSTGRES_USER=nextcloud
POSTGRES_PASSWORD=REMPLACER_PAR_UN_SECRET_FORT
REDIS_PASSWORD=REMPLACER_PAR_UN_SECRET_FORT
NEXTCLOUD_ADMIN_USER=admin-initial
NEXTCLOUD_ADMIN_PASSWORD=REMPLACER_PAR_UN_SECRET_FORT
NEXTCLOUD_TRUSTED_DOMAINS=cloud.exemple.fr

Les numéros illustrent une stratégie d'épinglage ; vérifiez les versions officiellement compatibles avant le déploiement. Stockez les vrais secrets dans un gestionnaire adapté, pas dans un exemple publié.

Étape 3 — Déployer les services

services:
  db:
    image: postgres:17-alpine
    restart: unless-stopped
    environment:
      POSTGRES_DB: nextcloud
      POSTGRES_USER: nextcloud
      POSTGRES_PASSWORD: CHANGE_ME
    volumes:
      - db_data:/var/lib/postgresql/data
    networks: [nextcloud_internal]

  redis:
    image: redis:8-alpine
    restart: unless-stopped
    command: ["redis-server", "--requirepass", "CHANGE_ME"]
    volumes:
      - redis_data:/data
    networks: [nextcloud_internal]

  app:
    image: nextcloud:34-apache
    restart: unless-stopped
    depends_on: [db, redis]
    environment:
      POSTGRES_HOST: db
      POSTGRES_DB: nextcloud
      POSTGRES_USER: nextcloud
      POSTGRES_PASSWORD: CHANGE_ME
      REDIS_HOST: redis
      REDIS_HOST_PASSWORD: CHANGE_ME
      NEXTCLOUD_ADMIN_USER: admin-initial
      NEXTCLOUD_ADMIN_PASSWORD: CHANGE_ME
      NEXTCLOUD_TRUSTED_DOMAINS: cloud.exemple.fr
    volumes:
      - nextcloud_html:/var/www/html
    ports:
      - "127.0.0.1:8080:80"
    networks: [nextcloud_internal]

  cron:
    image: nextcloud:34-apache
    restart: unless-stopped
    depends_on: [db, redis]
    entrypoint: /cron.sh
    environment:
      POSTGRES_HOST: db
      POSTGRES_DB: nextcloud
      POSTGRES_USER: nextcloud
      POSTGRES_PASSWORD: CHANGE_ME
      REDIS_HOST: redis
      REDIS_HOST_PASSWORD: CHANGE_ME
    volumes:
      - nextcloud_html:/var/www/html
    networks: [nextcloud_internal]

volumes:
  db_data:
  redis_data:
  nextcloud_html:

networks:
  nextcloud_internal:

Dans un vrai projet, remplacez les valeurs sensibles par des variables ou secrets Docker. Le port applicatif écoute uniquement sur 127.0.0.1, afin que le reverse proxy local soit le point d'entrée.

L'image officielle Nextcloud propose plusieurs variantes. Adaptez les chemins, utilisateurs et commandes à la variante exacte consultée dans son README.

Étape 4 — Configurer le reverse proxy

Avec Caddy sur l'hôte :

cloud.exemple.fr {
    encode zstd gzip
    reverse_proxy 127.0.0.1:8080
}

Caddy peut gérer automatiquement HTTPS si le DNS, les ports et le domaine sont corrects. Avec Nginx ou Traefik, utilisez les recommandations de la documentation Nextcloud pour les en-têtes, les redirections .well-known et les limites de téléchargement.

Après le démarrage :

docker compose up -d
docker compose ps
docker compose logs --tail=100 app

Vérifiez dans Nextcloud :

• le domaine de confiance ;
• le protocole HTTPS détecté ;
• les proxies de confiance ;
• les URL générées ;
• l'absence d'alerte dans la vue d'administration.

Ne copiez pas au hasard les paramètres trusted_proxies ou overwritehost. Une valeur trop large peut permettre de faire confiance à des en-têtes envoyés par un client.

Étape 5 — Tâches de fond, cache et messagerie

Nextcloud nécessite des tâches régulières pour la maintenance et les notifications. Le service cron du Compose exécute ces travaux en arrière-plan. Sélectionnez le mode Cron dans l'administration si nécessaire.

Redis sert au cache et au verrouillage de fichiers lorsque la configuration est correcte. Contrôlez les recommandations de l'écran d'administration plutôt que de supposer que la présence du conteneur suffit.

Configurez un serveur SMTP avec TLS et une adresse dédiée. Testez :

• invitation d'un utilisateur ;
• notification de partage ;
• réinitialisation du mot de passe ;
• erreur d'authentification SMTP.

Sans messagerie fonctionnelle, la récupération de compte devient difficile.

Étape 6 — Sécuriser les accès

• activez l'authentification multifacteur pour les administrateurs ;
• créez des comptes nominatifs ;
• limitez le nombre d'administrateurs ;
• utilisez des mots de passe d'application pour les clients lorsque nécessaire ;
• désactivez les comptes au départ d'un salarié ;
• définissez des groupes et quotas ;
• mettez en place une protection contre les tentatives répétées ;
• ne montez pas le socket Docker dans le conteneur applicatif ;
• surveillez les alertes de sécurité et les versions ;
• chiffrez les sauvegardes et contrôlez leurs accès.

Le chiffrement côté serveur protège certains scénarios, mais ne remplace pas la sécurité du système, du stockage et des clients. Définissez précisément la menace avant d'activer une option complexe.

Étape 7 — Sauvegarder et restaurer

Une sauvegarde complète comprend la base PostgreSQL, le volume Nextcloud, les secrets nécessaires à la reconstruction, le fichier Compose, les versions d'images et la configuration du reverse proxy.

Procédure logique :

1. activer le mode maintenance ;
2. effectuer un dump cohérent de la base ;
3. sauvegarder les volumes ;
4. chiffrer et envoyer la copie hors du serveur ;
5. désactiver le mode maintenance ;
6. tester la restauration sur un environnement isolé.

Exemple de commandes à adapter :

docker compose exec -u www-data app php occ maintenance:mode --on
docker compose exec -T db pg_dump -U nextcloud nextcloud > nextcloud.sql
# Sauvegarder les volumes avec un outil prévu à cet effet.
docker compose exec -u www-data app php occ maintenance:mode --off

N'exécutez pas cet exemple sans vérifier le lieu de stockage du dump. Une sauvegarde sur le même disque que Nextcloud ne couvre pas la panne du serveur.

Mettre à jour sans interruption évitable

1. lire les notes de version et le chemin de mise à niveau ;
2. vérifier la compatibilité des applications ;
3. créer une sauvegarde restaurable ;
4. tester sur une copie ;
5. changer la version épinglée ;
6. redémarrer et suivre les journaux ;
7. exécuter les commandes de mise à niveau documentées ;
8. vérifier synchronisation, partage, WebDAV et tâches cron.

Évitez les sauts de versions majeures non pris en charge.

Intégrer Nextcloud avec n8n

n8n peut utiliser WebDAV ou des appels HTTP pour déposer, lire ou déplacer des fichiers, selon les nœuds disponibles et l'API. Créez un compte technique limité à un dossier dédié, avec un mot de passe d'application.

Ne donnez pas à un workflow d'automatisation l'accès à l'ensemble des documents. Journalisez les opérations et empêchez les doublons avec une clé d'idempotence.

Pour l'orchestration, consultez notre guide n8n pour PME.

Checklist de recette

• domaine et certificat valides ;
• connexion web et client de synchronisation ;
• partage interne et externe selon la politique ;
• upload d'un fichier volumineux ;
• notification email ;
• tâche cron visible ;
• verrouillage Redis fonctionnel ;
• sauvegarde exécutée ;
• restauration sur une instance isolée ;
• alertes et journaux consultables ;
• propriétaire opérationnel désigné.

FAQ

Conclusion

Nextcloud avec Docker peut devenir un excellent cloud privé de PME si l'entreprise assume l'exploitation. La qualité du déploiement ne se mesure pas au premier écran de connexion, mais à la restauration testée, aux mises à jour maîtrisées, aux accès limités et à la capacité de détecter un incident.

Sources officielles consultées le 21 août 2026

• Nextcloud — manuel d'administration
• Image Docker officielle Nextcloud
• Nextcloud — paramètres de configuration
• Nextcloud — configuration Nginx