Stockage en Rust, chiffré sur l'appareil avant l'envoi
Hoodik est un serveur de stockage de fichiers auto-hébergé, écrit en Rust avec une interface web en Vue 3. Les fichiers sont chiffrés sur l'appareil avant l'envoi, et le serveur ne garde que des morceaux chiffrés. Le tout tient dans un conteneur Docker, avec SQLite par défaut, et des applications iPhone, Android et Mac complètent l'interface web.
Les pages de comparaison du projet le situent ainsi : chez Nextcloud, le chiffrement de bout en bout est un module désactivé par défaut ; chez Seafile, une option par bibliothèque ; Hoodik l'applique à tous les fichiers. Celle sur Seafile recommande ce dernier pour synchroniser un poste de travail.
Le comparatif du stockage de fichiers auto-hébergé confronte ce chiffrement imposé aux choix des autres outils.
Clés post-quantiques et un serveur qui cherche sans lire l'index
- Chiffrement post-quantique depuis la v2.0.0 : les fichiers sont chiffrés par morceaux, en AEGIS-128L par défaut, et leur clé est enveloppée par un hybride X25519 + ML-KEM-768. L'algorithme est noté pour chaque fichier : changer le chiffrement par défaut laisse les anciens lisibles.
- Mot de passe qui ne quitte pas l'appareil : la connexion passe par OPAQUE (RFC 9807), et les clés privées sont stockées chiffrées sous une clé que seul le mot de passe permet de dériver.
- Recherche sur un index illisible : chaque mot des noms de fichiers et des notes devient, dans le navigateur, une empreinte HMAC calculée avec une clé tirée de la clé privée. Le serveur compare des empreintes qu'il ne sait pas relire.
- Liens publics : la clé du lien suit le
#de l'adresse et n'atteint jamais le serveur. - Partage entre comptes, avec des rôles lecteur, éditeur et copropriétaire.
- Environ 20 Mo de RAM au repos selon le guide d'installation, images amd64, arm64 et armv6/v7.
- Stockage compatible S3 en option, et depuis la v2.5.0, transfert direct entre les clients et le bucket par URL signées.
- Interface en français depuis la v2.3.0.
Licence non commerciale et aucun client de synchronisation de bureau
Sans la clé privée, un mot de passe oublié fait perdre les fichiers. Le README demande de la ranger en lieu sûr : elle seule permet de récupérer un compte dont on a oublié le mot de passe, et sans elle les données sont irrécupérables, précise le guide d'installation.
Ni client de synchronisation de bureau, ni WebDAV. La comparaison avec Seafile ne revendique aucun client de synchronisation pour Hoodik. Des applications Windows et Linux sont prévues, écrivait le mainteneur le 27 juillet 2026 (#105), mais l'éditeur de notes repose sur une vue web qui ne tourne pas sous ces systèmes. WebDAV est demandé depuis mars 2024 (#88), sans réponse du mainteneur. OpenID Connect, réclamé depuis 2023, est visé pour la fin 2026, sans engagement (#195).
Licence CC BY-NC 4.0 : pas d'usage commercial sans accord. L'usage gratuit est réservé aux cas personnels et non commerciaux ; une licence commerciale se négocie avec l'auteur. Le CLA que signent les contributeurs l'autorise à redistribuer leur code sous d'autres termes, licence comprise. Hoodik Cloud, l'offre hébergée, coûte 9 € par mois pour 100 Go ou 19 € pour 500 Go, en région UE ou US, et l'instance s'exporte à tout moment.
Un mainteneur, des versions rapprochées. Tibor Hudik signe 225 des 231 commits de la branche principale, sur un dépôt ouvert en janvier 2023. Quinze versions sont sorties entre le 1er juillet et le 22 septembre 2026, date de la v2.5.5. La v2.0.0 (17 juillet 2026) a remplacé RSA-2048 par le schéma actuel ; les comptes plus anciens migrent à leur connexion suivante.
Deux réglages à fixer avant les premières données. SQLite et PostgreSQL ne sont pas interchangeables : changer de base après coup fait perdre les données, prévient le README. Sans JWT_SECRET fixé, chaque redémarrage invalide toutes les sessions.