rclone crypt 2026 : chiffrer ses fichiers cloud côté client avant l'upload

L'essentiel

rclone crypt est une surcouche de chiffrement côté client intégrée à rclone, l'outil open-source en ligne de commande qui gère et synchronise des fichiers sur 70+ fournisseurs cloud. Le backend crypt enveloppe un autre remote et chiffre le contenu de vos fichiers — et, en option, leurs noms — sur votre propre machine avant l'upload, puis les déchiffre au téléchargement. Le fournisseur ne stocke jamais que du chiffré. Cela rend zero-knowledge n'importe quel cloud que vous lui désignez.

Pour qui ? Toute personne à l'aise dans un terminal qui veut un chiffrement scriptable et automatisable : sauvegardes chiffrées chaque nuit, serveur headless sans interface, ou simplement ajouter du chiffrement côté client par-dessus un fournisseur — Google Drive, Backblaze B2, S3, OneDrive — sans mode zero-knowledge natif. Si vous préférez éviter la ligne de commande, Cryptomator couvre le même objectif avec un coffre graphique, et nous comparons les deux plus bas.

Ce guide explique précisément comment rclone crypt chiffre, comment le configurer étape par étape, les modes de noms, et un piège honnête que la plupart des tutos oublient : la façon dont rclone.conf stocke votre mot de passe.

Comment il chiffre (contenu et noms)

rclone crypt fait tout son travail localement, avec des primitives documentées :

• Le contenu des fichiers est chiffré avec XSalsa20-Poly1305, le chiffrement authentifié de la construction NaCl SecretBox. Authentifié signifie que toute altération est détectée au téléchargement.
• La clé de chiffrement est dérivée de votre mot de passe via scrypt (une fonction de dérivation memory-hard), avec un second mot de passe optionnel — appelé sel, ou password2 — pour la renforcer.
• Les noms de fichiers, dans le mode standard par défaut, sont chiffrés avec EME (un mode AES à bloc large) : un caractère modifié change tout le nom chiffré.

Ce qui reste visible par le fournisseur, chiffrement complet activé : à peu près la taille de chaque fichier chiffré et le nombre de fichiers. Pas le contenu, pas les noms. C'est le même principe — déplacer la confiance vers un mot de passe local — qui fonde tout le chiffrement côté client.

Mettre en place rclone crypt (étapes de config)

La mise en place repose sur deux remotes : un remote de base qui parle à votre cloud, et un remote crypt qui l'enveloppe. Tout passe par rclone config.

1. Créer le remote de base. Lancez rclone config, choisissez n (nouveau remote), nommez-le (ex. gdrive) et suivez les invites du fournisseur (OAuth pour Google Drive, clés pour S3/B2, etc.).
2. Créer le remote crypt. Relancez rclone config, n pour nouveau, nommez-le (ex. secret) et choisissez le backend crypt.
3. Pointez-le vers un sous-dossier du remote de base, pour que les blobs chiffrés atterrissent dans un dossier dédié :

remote> gdrive:encrypted

4. Choisissez les modes de chiffrement des noms de fichiers et de dossiers (voir la section suivante), puis définissez un mot de passe et, en option, un second mot de passe (sel). Vous pouvez laisser rclone en générer un fort, aléatoire.

Une fois le remote secret: créé, chiffrer et uploader tient en une commande :

rclone copy ~/fichiers secret:

Tout ce qui est écrit dans secret: est chiffré localement et stocké sous gdrive:encrypted. La relecture (rclone copy secret: ~/restore) déchiffre de façon transparente. Le même schéma marche avec rclone sync, rclone mount et toute autre commande rclone.

Modes de chiffrement des noms

À la création du remote crypt, rclone demande comment traiter les noms de fichiers. Trois modes :

Le chiffrement des noms de dossiers est un réglage oui/non distinct. L'activer cache aussi votre arborescence au fournisseur. Si vous mettez le chiffrement des noms de fichiers et de dossiers sur off, seul le contenu est protégé et le fournisseur voit toute votre structure de dossiers — métadonnée utile à un attaquant. Préférez standard sauf raison précise.

Le piège du rclone.conf (mot de passe obscurci)

C'est le point que la plupart des guides oublient, et il compte. Par défaut, rclone stocke votre mot de passe crypt dans rclone.conf obscurci — pas fortement chiffré. L'obscurcissement est réversible : quiconque peut lire le fichier peut récupérer le mot de passe (rclone reveal fait exactement ça). Un rclone.conf qui fuit fait donc fuiter votre clé de chiffrement.

Deux choses à faire :

1. Définir un mot de passe de configuration. Dans rclone config, choisissez Set configuration password (s). Cela chiffre tout le fichier rclone.conf, de sorte que le mot de passe crypt obscurci n'est plus lisible sans ce mot de passe de config.
2. Verrouiller le fichier. Restreignez les permissions (chmod 600 rclone.conf), gardez-le hors des emplacements partagés ou sauvegardés en clair, et traitez-le comme un secret sur tout serveur headless.

Et une règle sans contournement : si vous perdez le mot de passe crypt, vos données sont irrécupérables. Aucune réinitialisation, aucune clé de secours, aucune hotline. Sauvegardez le mot de passe dans un gestionnaire de mots de passe avec une copie hors-ligne chiffrée.

rclone crypt vs Cryptomator (lequel choisir)

Les deux sont open-source, côté client et zero-knowledge. La différence porte sur l'interface et le workflow, pas sur le modèle de sécurité.

Choisissez rclone crypt si vous automatisez des sauvegardes, faites tourner une machine headless ou voulez chiffrer par-dessus n'importe quel remote rclone en ligne de commande. Choisissez Cryptomator si vous voulez un coffre à monter d'un clic, ouvrable aussi sur votre téléphone. Ce ne sont pas des rivaux — beaucoup utilisent rclone crypt pour les sauvegardes serveur et Cryptomator pour les fichiers desktop quotidiens. Pour choisir le fournisseur à placer sous l'un ou l'autre outil, voyez notre panorama des services de cloud chiffré.

Conclusion

rclone crypt transforme n'importe lequel des 70+ fournisseurs cloud en cible zero-knowledge avec des primitives éprouvées — XSalsa20-Poly1305 pour le contenu, scrypt pour la clé, EME pour les noms. C'est le bon outil quand vous voulez un chiffrement côté client automatisable et scriptable, surtout sur un serveur. Les deux points à bien régler sont honnêtes : prenez le chiffrement de noms standard sauf raison contraire, et protégez rclone.conf avec un mot de passe de configuration, car le mot de passe crypt y est seulement obscurci, pas chiffré. Faites cela, gardez une sauvegarde sûre du mot de passe, et vous avez un chiffrement côté client qui survit à une faille ou une réquisition chez le fournisseur.

FAQ

Les questions les plus fréquentes sont couvertes dans le bloc FAQ structuré ci-dessus (également affiché dans le rich snippet Google) : ce qu'est rclone crypt et pour qui, la cryptographie utilisée, le chiffrement des noms de fichiers et dossiers, la sécurité du mot de passe dans rclone.conf, et la comparaison avec Cryptomator.