L’Agence nationale de la sécurité des systèmes d’information (ANSSI) a délivré à l’éditeur allemand Nextcloud, spécialiste des plateformes collaboratives open source, une Certification de sécurité de premier niveau (CSPN) pour son produit Nextcloud Files. L’annonce, publiée le 19 août par l’entreprise, s’accompagne d’une reconnaissance parallèle en Allemagne, où l’homologue de l’ANSSI, le BSI, valide un hébergement Nextcloud opéré selon son référentiel IT-Grundschutz. Un double signal réglementaire qui vient consolider, des deux côtés du Rhin, l’offre européenne d’alternatives souveraines aux suites collaboratives américaines.
Un visa technique délivré après six mois d’évaluation
Le certificat, référencé ANSSI-CSPN-2026/03 et valable trois ans, sanctionne une évaluation menée par Synacktiv, centre d’évaluation agréé basé à Paris. Selon le rapport officiel de l’agence, daté du 10 avril 2026, les experts ont procédé à l’installation du produit, à une revue documentaire, à un examen complet du code source, à des tests de conformité des fonctions de sécurité, à des tests de pénétration ainsi qu’à une analyse des mécanismes cryptographiques, conformément à la méthodologie CSPN.
Le périmètre testé porte sur la version 31.0.7.2 de Nextcloud Files, installée en environnement on-premise sur une pile technique précise : Ubuntu 22.04 LTS, MariaDB 10.6.22, Apache 2.4.52, PHP 8.1.2 et Redis 6.0.16. Les fonctions examinées couvrent l’authentification des utilisateurs et des invités, les contrôles d’accès, la protection des données stockées, la sécurisation des communications HTTPS et la journalisation des événements. Conclusion du laboratoire : le produit « répond aux caractéristiques de sécurité spécifiées », sans vulnérabilité exploitable identifiée, sous réserve d’une configuration correcte imposant la redirection systématique du trafic HTTP vers HTTPS.
Ce que la certification ne couvre pas
L’ANSSI prend soin de délimiter la portée de son visa. La CSPN qualifie un produit dans une configuration donnée, pas un service dans son ensemble : l’hébergement, l’exploitation quotidienne, les futures mises à jour, les extensions tierces ou d’autres architectures de déploiement restent explicitement hors périmètre. Autrement dit, ce visa ne se substitue ni à la qualification SecNumCloud, référentiel plus exigeant réservé aux offres de cloud de confiance, ni à une certification globale de conformité au RGPD. Les acheteurs publics souhaitant s’appuyer sur cette certification devront donc évaluer séparément leur hébergeur, leurs administrateurs système et leurs éventuels sous-traitants.
Cette nuance n’enlève rien à la portée symbolique de l’annonce. Nextcloud revendique plus de 500 000 serveurs déployés dans le monde, principalement auprès d’administrations et d’entreprises soucieuses de reprendre la main sur leurs données. En Allemagne, le prestataire public Dataport héberge d’ores et déjà une vingtaine d’instances Nextcloud certifiées, utilisées par environ 3 500 agents, dans un environnement conforme au référentiel BSI IT-Grundschutz — un cadre qui dépasse la simple check-list technique pour couvrir l’organisation, les ressources humaines, la sécurité physique et les contrôles techniques.
Une reconnaissance croisée à l’échelle européenne
L’intérêt de la double certification tient aussi à son interopérabilité réglementaire. Le BSI allemand reconnaît officiellement la CSPN française comme équivalente à sa propre certification accélérée, les deux référentiels se rattachant à la norme européenne EN 17640 et au Cybersecurity Act de l’Union européenne. Ce maillage transfrontalier facilite, en théorie, la confiance mutuelle entre administrations des deux pays et s’inscrit dans la logique de la directive NIS2, qui étend les exigences de cybersécurité aux opérateurs d’infrastructures critiques dans l’ensemble de l’Union.
Nextcloud met également en avant une architecture dite « zero access », dans laquelle l’éditeur ne dispose d’aucun accès technique aux fichiers hébergés par ses clients, limitant de fait la surface d’exposition en cas d’incident. L’entreprise a par ailleurs fait réaliser par le cabinet néerlandais Privacy Company une analyse d’impact relative à la protection des données (AIPD), destinée à guider les déploiements dans des environnements sensibles.
Un jalon dans la stratégie française de souveraineté numérique
Cette certification s’inscrit dans un mouvement plus large engagé par Paris pour réduire la dépendance de l’administration et des opérateurs d’importance vitale aux suites bureautiques et de stockage américaines — Microsoft 365 ou Google Workspace en tête. Elle intervient alors que la qualification SecNumCloud, pierre angulaire du cloud de confiance français, continue de structurer l’offre des acteurs nationaux comme OVHcloud ou Scaleway, et que le débat sur l’exposition des données publiques au droit extraterritorial américain (Cloud Act, FISA) reste vif dans les administrations et chez les opérateurs de santé, de défense ou de collectivités locales.
Pour les décideurs publics comme privés en France, le message est clair : une alternative européenne, open source, à la suite collaborative américaine dispose désormais d’un visa de sécurité national vérifiable, même partiel. Reste à transformer cette reconnaissance technique en déploiements concrets à grande échelle — un chantier qui, lui, dépendra moins de la technique que des choix d’achat public et des arbitrages budgétaires des prochains mois.
