Hoodik : le cloud perso chiffré de bout en bout, auto-hébergé

Le 9 juillet 2026, le projet Hoodik confirme une promesse rare dans le monde du cloud personnel : votre serveur ne voit jamais vos fichiers en clair, et ne reçoit jamais vos clés de chiffrement. Développé par Tibor Hudik, cet outil auto-hébergé chiffre chaque fichier directement dans votre navigateur, avant même qu'il ne quitte votre machine.

Contexte rapide pour ceux qui découvrent le sujet : héberger son propre cloud (photos, documents, sauvegardes) permet de reprendre la main face aux offres grand public hébergées à l'étranger. Le souci, c'est que la plupart des solutions self-hosted traitent le chiffrement de bout en bout comme une option annexe, activable via un module complémentaire, plutôt que comme un principe d'architecture. Résultat : l'administrateur du serveur, vous-même ou un tiers en cas d'intrusion, garde techniquement la capacité d'ouvrir n'importe quel fichier stocké. Hoodik inverse ce postulat dès la conception.

Comment fonctionne le chiffrement

La mécanique repose sur deux briques cryptographiques distinctes. Une paire de clés RSA 2048 sert uniquement à faire circuler les clés de session entre appareils. Le chiffrement des données elles-mêmes est confié à AEGIS-128L, un algorithme finaliste du concours international CAESAR et actuellement en cours de standardisation à l'IETF. Il équipe déjà la bibliothèque libsodium, ce qui rassure sur sa maturité malgré son jeune âge dans l'écosystème grand public. Le calcul se fait en direct dans le navigateur via WebAssembly, sans plugin ni extension à installer.

Cette architecture ne sacrifie pas les usages du quotidien. Hoodik propose du partage entre comptes avec trois niveaux de rôle (lecture, édition, co-propriétaire), des notes au format Markdown chiffrées avec historique de versions, et des aperçus photo et vidéo générés sans jamais déchiffrer quoi que ce soit côté serveur, HEIC de l'iPhone compris. Même la recherche fonctionne en aveugle : le navigateur découpe les noms de fichiers en fragments, les hashe, et le serveur ne compare que ces empreintes, jamais de texte en clair.

Pour le partage public de fichiers, la clé de déchiffrement voyage dans le fragment de l'URL (la partie après le caractère #), que le navigateur n'envoie jamais au serveur. Le lien complet est donc la seule chose qui permette d'ouvrir le fichier.

Une empreinte système minimaliste

Le serveur est écrit en Rust avec le framework Actix-web, et le frontend en Vue 3. Résultat concret : environ 20 Mo de RAM au repos, ce qui rend l'outil adapté à un Raspberry Pi, un NAS d'entrée de gamme ou un vieux PC ressorti du placard. Le déploiement se fait via une image Docker disponible pour AMD64 et ARM :

docker run --name hoodik -d -e DATA_DIR='/data' -e APP_URL='https://my-app.example.com' --volume "$(pwd)/data:/data" -p 5443:5443 hudik/hoodik:latest

Des applications mobiles existent aussi pour iOS et Android, avec un chiffrement écrit en Rust et compilé directement dans l'application native, plutôt qu'une simple page web encapsulée. Elles passent en version payante après 30 jours d'essai, sans grille tarifaire publique affichée sur le site à ce jour.

Licence et maturité : les points à surveiller

Le code source est disponible publiquement, sous licence Creative Commons, avec un usage commercial interdit sans accord préalable de l'éditeur. C'est un point à vérifier avant toute intégration dans un contexte professionnel facturé à un client. Autre élément à garder en tête : Hoodik reste un projet jeune, et aucun audit de sécurité indépendant n'a été publié à ce jour. Ce n'est pas rédhibitoire, mais cela mérite d'être su avant de lui confier des données sensibles à grande échelle.

Notre lecture chez CZSyn

Pour une PME française ou un développeur qui veut reprendre la main sur ses données sans dépendre d'un hébergeur tiers, Hoodik coche des cases concrètes : léger, facile à déployer, et surtout construit autour du chiffrement plutôt qu'avec le chiffrement ajouté après coup. C'est une différence d'architecture qui compte, notamment pour les entreprises soumises à des obligations de confidentialité (données clients, contrats, documents RH) qu'un hébergement entièrement maîtrisé en France ou en Europe simplifie déjà bien.

Notre recommandation reste nuancée : pour un usage personnel (photos de famille, sauvegardes, documents sensibles), le compromis se défend largement, d'autant que l'empreinte mémoire permet de le loger sur un matériel déjà amorti. Pour un usage professionnel critique, tant qu'aucun audit indépendant n'a été publié, mieux vaut le cantonner à des données non stratégiques, ou accompagner son déploiement d'une revue de sécurité maison avant mise en production. Le modèle économique (applications mobiles payantes sans tarif public, licence non commerciale) mérite aussi d'être clarifié directement avec l'éditeur avant tout déploiement pour des clients.

Si le sujet vous intéresse, la comparaison avec d'autres approches est utile : certains outils chiffrent par-dessus un cloud existant plutôt que de vous faire héberger l'ensemble, ce qui change la surface de confiance à accorder à l'hébergeur sous-jacent. Le choix dépend surtout de la question que vous voulez résoudre : ne plus confier vos données en clair à personne, ou simplement ajouter une couche de chiffrement à un service que vous utilisez déjà.

Sources primaires

• hoodik.io, site officiel du projet.
• hoodik.io/get-started, guide d'installation officiel.