Vos photos, vos règles.
Hors du cloud, pour de bon.

Un Raspberry Pi 5 (8 Go) avec une carte microSD pour le système et deux supports USB pour le stockage, en miroir pour que chacun contienne une copie complète de vos fichiers : clés USB, SSD, disques durs ou cartes microSD dans des lecteurs USB, tout fonctionne. Branchez-les sur les deux ports USB bleus du Pi (les ports rapides ; l’appareil vous indique alors lequel remplacer si l’un d’eux tombe un jour en panne). Ajoutez une alimentation et un ventilateur actif : que du matériel du commerce. Le Pi et deux clés USB de 512 Go reviennent à environ 310 €, soit environ 340 € en tout pour 512 Go de stockage protégé. Consultez le README pour la liste exacte des composants recommandés. Un Pi 5 avec 4 Go peut aussi fonctionner, avec l’étiquetage des images et la reconnaissance faciale désactivés.

Oui, pour un Raspberry Pi 5 avec au moins 8 Go de RAM (un modèle de 4 Go ne fonctionne qu’avec l’étiquetage des images et la reconnaissance faciale désactivés dans les Paramètres) : voir l’onglet Image Raspberry Pi 5 en haut de la page. Flashez-la, allumez le Pi et configurez-le depuis votre téléphone : touchez « Configurer un nouvel appareil » dans l’app iOS ou Android, qui trouve le Pi par Bluetooth et vous guide pour la suite. Pour toute autre machine Debian/Ubuntu, utilisez le script d’installation.

Oui. Le script d’installation fonctionne sur toute machine 64 bits, Intel/AMD ou ARM, sous Ubuntu, Debian ou une autre distribution Linux basée sur Debian : un vieux PC ou portable, un mini-PC, ou une carte comme un Orange Pi avec une image Debian ou Ubuntu. Il compile le logiciel sur la machine elle-même : vous obtenez donc la même app, avec sauvegarde des photos, synchronisation de dossiers, étiquetage des images, reconnaissance faciale, amis, partage et mises à jour depuis les Paramètres. Prévoyez 8 Go de mémoire, comme le Raspberry Pi 5 pour lequel il a été conçu.

Quelques fonctions que seul le Raspberry Pi 5 propose :

• L’image prête à l’emploi et la configuration depuis votre téléphone par Bluetooth. Ailleurs, vous exécutez une commande dans un terminal, et le premier mot de passe saisi sur l’appareil devient son mot de passe : ouvrez-le donc et choisissez-en un immédiatement.
• Savoir quel disque remplacer. Sur un Pi, l’alerte indique le port USB dans lequel se trouve le disque défaillant ; ailleurs, elle indique « l’un des deux disques de stockage » et donne le nom système et le numéro de série du disque.
• Les voyants d’état, qui sont câblés sur les broches du Pi lui-même (voir ci-dessous).

Le script peut aussi mettre deux disques en miroir sur d’autres machines, mais uniquement si vous le lui demandez, car il les efface tous les deux. S’il ne trouve aucun disque à mettre en miroir, il s’arrête et vous explique comment installer sur un seul disque. Pour donner à la machine une adresse off-the.cloud, ajoutez d’abord le nom sur la page de votre compte et copiez l’identité qu’elle affiche sur la machine avant d’exécuter le script.

Les voyants sont facultatifs : un par disque de stockage, vert quand tout va bien et rouge quand il a besoin de vous. Chaque voyant se compose d’une LED rouge et d’une LED verte côte à côte (ou d’une LED bicolore à trois pattes), et chaque couleur se branche sur une broche du Raspberry Pi via une résistance de 330 Ω. Câblez-les avec le Pi éteint. L’appareil les allume de lui-même ; il n’y a rien à configurer.

Les mêmes branchements, en toutes lettres :

• Voyant 1, rouge : broche 11 (GPIO17), via une résistance de 330 Ω, vers la patte longue de la LED rouge.
• Voyant 1, vert : broche 13 (GPIO27), via une résistance de 330 Ω, vers la patte longue de la LED verte.
• Voyant 1, les deux pattes courtes : broche 9 (GND).
• Voyant 2, rouge : broche 15 (GPIO22), via une résistance de 330 Ω, vers la patte longue de la LED rouge.
• Voyant 2, vert : broche 16 (GPIO23), via une résistance de 330 Ω, vers la patte longue de la LED verte.
• Voyant 2, les deux pattes courtes : broche 14 (GND).

Avec une LED bicolore, la patte commune (généralement celle du milieu) va sur GND ; il doit s’agir d’une LED dont la patte négative est partagée, dite à cathode commune. Ce que disent les voyants :

• Deux verts : les deux disques fonctionnent et contiennent les mêmes fichiers.
• Un rouge, un vert : le disque au rouge ne fonctionne plus ou a été retiré. Vos fichiers sont en sécurité sur l’autre : remplacez bientôt celui qui est au rouge.
• Un rouge clignotant, un vert : un nouveau disque est en cours de remplissage avec une copie de vos fichiers. Ne retirez pas le disque au vert avant que les deux soient de nouveau verts.
• Deux rouges : aucun miroir ne fonctionne : l’appareil a été configuré sans deux disques, ou aucun disque ne fonctionne.
• Deux éteints : l’appareil est éteint ou encore en cours de démarrage.

Chaque voyant suit l’un des deux disques du miroir, et non un port USB : consultez l’alerte dans l’app pour savoir quel disque retirer.

Un seul appareil suffit. En tant que propriétaire, vous ajoutez un compte pour chaque personne dans Paramètres › Utilisateurs (dans l’app web, l’app iPhone ou l’app Android), et chacun choisit son propre mot de passe lors de sa première connexion. Chaque compte a sa propre sauvegarde de photos et sa propre bibliothèque, et ses photos et fichiers sont chiffrés avec le mot de passe de cette personne : vous ne pouvez donc pas les ouvrir depuis votre compte. Tout le monde partage le même appareil et ses deux disques en miroir ; l’écran Utilisateurs indique l’espace occupé par chaque compte, et vous pouvez suspendre un compte, ou le supprimer avec ses fichiers, à tout moment.

Il n’y a pas de limite fixe au nombre de comptes, mais chacun exécute sa propre copie du logiciel de l’appareil et occupe de la mémoire : plus il y en a, plus l’appareil ralentit. Nous recommandons de ne pas dépasser cinq comptes par appareil.

Pour utiliser son compte hors de chez soi, un membre de la famille a besoin de sa propre adresse off-the.cloud, tout comme un appareil. Vous lui en attribuez une lorsque vous ajoutez son compte dans l’app web : dans Paramètres › Utilisateurs, laissez Demander l’accès à la passerelle coché, et l’adresse <nom d’utilisateur>.off-the.cloud lui est attribuée (si elle est prise, choisissez un autre nom d’utilisateur). Décidez-le au moment d’ajouter le compte, car aucun réglage ne permet d’attribuer une adresse à un compte existant par la suite. Les apps iPhone et Android ne le proposent pas encore : les comptes ajoutés depuis ces apps ne fonctionnent que sur votre réseau domestique.

L’appareil enregistre ces adresses lui-même, en dehors de votre compte de passerelle : elles ne comptent donc pas dans ses cinq adresses et n’apparaissent pas sur la page de votre compte. Avec une telle adresse, un membre de la famille accède à son compte depuis n’importe où, et vous pouvez devenir amis dans le fil privé et y partager des photos.

Remplacez les deux cartes par des cartes plus grandes, l’une après l’autre, pendant que l’appareil continue de fonctionner. Retirez une carte et insérez-en une plus grande, au moins aussi grande que celle que vous avez retirée : l’appareil y copie tout de lui-même (tout ce que contient déjà la nouvelle carte est effacé). Vous recevez une alerte indiquant qu’un disque ne fonctionne plus, ce qui est normal ici, puis une autre, « Les deux disques de stockage fonctionnent de nouveau », une fois la copie terminée ; cela peut prendre quelques heures pour une grande carte. Ensuite seulement, faites de même avec l’autre carte. Une fois les deux cartes plus grandes, l’appareil agrandit de lui-même son stockage à la taille de la plus petite, en une dizaine de minutes environ, sans s’arrêter. Vos fichiers restent disponibles pendant tout ce temps, mais pendant une copie, ils ne sont que sur une seule carte : ne retirez donc jamais la seconde carte avant la fin de la première copie.

Les deux disques en miroir conservent déjà deux copies de tout, mais ils se trouvent dans le même boîtier : ils vous protègent de la panne d’un disque, pas du vol, d’un incendie, de la panne des deux disques ou d’un fichier supprimé par erreur. Pour garder une copie ailleurs, vous pouvez procéder à une rotation de l’un des disques :

1. Pendant que l’appareil fonctionne et qu’aucun envoi n’est en cours, retirez l’un des deux disques. L’appareil continue avec l’autre, et vous recevez une alerte indiquant qu’un disque ne fonctionne plus, ce qui est normal ici.
2. Mettez à sa place un disque de rechange, au moins aussi grand que celui que vous avez retiré. L’appareil l’efface et y copie tout de lui-même. Une fois l’opération terminée, vous recevez une autre alerte, « Les deux disques de stockage fonctionnent de nouveau » ; cela peut prendre quelques heures.
3. Conservez le disque retiré en lieu sûr, loin de l’appareil. Pour mettre votre copie à jour plus tard, recommencez : le disque qui sort devient votre nouvelle copie, et celui qui entre est effacé puis rempli de nouveau.

Tant qu’une copie n’est pas terminée, vos fichiers ne sont que sur un seul disque : ne retirez donc jamais l’autre disque avant. Tant qu’un disque manque, l’appareil prend comme remplaçant tout disque assez grand que vous branchez, et l’efface : ne branchez donc pas d’autres disques entre-temps.

Le disque que vous conservez est une copie complète de l’appareil tel qu’il était au moment où vous l’avez retiré : vos fichiers, sa base de données, ses paramètres et son adresse. Un ordinateur ne peut pas le lire directement. Pour le restaurer, configurez un Raspberry Pi avec l’image, branchez ce disque et choisissez « Récupérer cet appareil » lors de la configuration : tout revient comme avant, et dès que vous ajoutez un second disque, l’appareil le remplit de nouveau. Il vous faut le mot de passe de l’appareil tel qu’il était au retrait du disque, car les fichiers du disque sont chiffrés avec ce mot de passe. Utilisez ce disque uniquement à la place de l’appareil d’origine, jamais en même temps, puisque les deux répondraient à la même adresse. Les fichiers qu’il contient sont chiffrés, mais pas leurs noms, leurs étiquettes ni vos publications : conservez-le donc aussi précieusement que l’appareil lui-même.

Vos téléphones et ordinateurs conservent aussi leurs propres copies : les apps copient vos photos et vos dossiers sur l’appareil, elles ne les déplacent pas. Pour garder sur un ordinateur une copie de quelque chose qui se trouve sur l’appareil, sélectionnez-le dans Fichiers dans l’app web et choisissez « Télécharger en ZIP », ou ajoutez l’un des dossiers de l’appareil à l’app Mac, Windows ou Linux. Il s’agit d’une synchronisation, pas d’une sauvegarde : un fichier supprimé d’un côté est supprimé de l’autre.

Nous sommes désolés : non. Le mot de passe de votre appareil est la seule chose qui déverrouille la clé avec laquelle vos fichiers sont chiffrés. L’appareil ne le conserve pas, nous non plus, et il n’existe ni réinitialisation ni porte dérobée : sans lui, personne ne peut ouvrir les photos, vidéos et fichiers qu’il protège, ni vous, ni personne d’autre sur l’appareil, ni nous. C’est ce qui les protège si l’appareil est un jour volé.

Ce que vous pouvez faire :

• L’une de vos apps est-elle encore connectée ? Elle peut alors encore tout ouvrir, car elle conserve le mot de passe. Ne vous en déconnectez pas, et servez-vous-en pour copier ce dont vous avez besoin avant d’aller plus loin.
• Cherchez vos originaux. Les apps copient les photos et les dossiers sur l’appareil sans les supprimer : l’essentiel de ce qu’il contient se trouve peut-être encore sur vos téléphones et vos ordinateurs.
• Recommencez. Flashez une nouvelle carte et configurez de nouveau l’appareil en choisissant « Repartir de zéro » (cela efface les deux disques), choisissez un nouveau mot de passe et laissez vos apps tout sauvegarder de nouveau.
• Un membre de la famille a oublié le sien ? Le propriétaire ne peut pas non plus le réinitialiser. La seule solution est de supprimer son compte, ce qui supprime ses fichiers, puis de le recréer.

Le mot de passe de votre compte off-the.cloud est différent : si vous l’oubliez, la page du compte vous envoie par e-mail un lien pour le réinitialiser, et votre appareil et vos fichiers ne sont pas concernés. Pour éviter tout cela, conservez le mot de passe de votre appareil dans un gestionnaire de mots de passe ou notez-le en lieu sûr. Vous pouvez le modifier à tout moment dans les Paramètres, à condition de connaître le mot de passe actuel, et vos fichiers restent tels quels.

Oui : mettez-le en envoi uniquement, avec le cadenas à côté du dossier dans Fichiers (dans l’app web, l’app iPhone ou l’app Android). Dès lors, rien dans ce dossier ne peut être supprimé, que ce soit depuis un téléphone, un ordinateur ou le Web, et quand un fichier est envoyé de nouveau sous le même nom, l’appareil conserve aussi l’ancienne version : une modification n’écrase donc jamais votre original. Les apps de synchronisation pour Mac et Windows/Linux le font d’elles-mêmes pour un dossier que vous choisissez de sauvegarder. Vous pouvez le désactiver avec le même cadenas ; les versions conservées jusque-là restent.

Votre appareil se trouve derrière le routeur de votre domicile : Internet ne peut donc pas le joindre tout seul. La passerelle est notre relais sur off-the.cloud : elle donne à votre appareil une adresse comme casa.off-the.cloud et lui transmet les connexions de vos apps et des appareils de vos amis. Elle vous est nécessaire pour joindre votre appareil hors de chez vous, pour les amis et les publications, pour les liens de partage qui fonctionnent partout et pour les notifications sur votre téléphone. Chez vous, vous n’en avez pas besoin : fichiers, sauvegarde des photos depuis vos téléphones et ordinateurs, galerie, étiquettes et personnes fonctionnent tous sur votre propre réseau.

Pour l’utiliser, créez un compte ; la configuration de l’appareil vous en demande un, et vous pouvez aussi passer cette étape et rejoindre la passerelle plus tard depuis les Paramètres. Sans la passerelle, vous pouvez toujours joindre votre appareil depuis l’extérieur avec Tailscale Funnel ou votre propre passerelle (voir la question suivante).

Oui. Tout Off The Cloud est un logiciel libre et open source, sous licence GNU AGPL : l’appareil, les apps et la passerelle. Utilisé chez vous, il ne coûte rien de plus que votre matériel.

La passerelle est la seule partie payante, et elle est facultative. Votre compte est gratuit pendant ses deux premières années ; ensuite, il coûte 9,99 € + TVA par an avec jusqu’à cinq adresses off-the.cloud incluses, et nous vous envoyons un e-mail avant la fin de la période gratuite. Chaque adresse au-delà de ces cinq coûte 2 € par an : la page de votre compte en enregistre jusqu’à cinq, donc pour en avoir plus, écrivez-nous à info@off-the.cloud ou avec le formulaire ci-dessous. Si vous arrêtez de payer, vos adresses sont libérées et votre appareil continue de fonctionner chez vous.

Pour joindre votre appareil depuis l’extérieur sans la passerelle :

• Tailscale Funnel, intégré (Paramètres › Tailscale Funnel), publie votre appareil à une adresse personnelle sur ts.net. Il vous faut un compte Tailscale, Tailscale limite le volume de données qui peut transiter, et les amis, les publications et les comptes familiaux n’y fonctionnent pas : cette option convient à un appareil utilisé comme stockage privé personnel.
• Votre propre passerelle : la passerelle est elle aussi open source, vous pouvez donc la faire tourner sur votre propre serveur et votre propre domaine. Vos amis doivent alors utiliser la même passerelle.
• Votre propre VPN vers votre réseau domestique : les apps joignent alors l’appareil comme si vous étiez chez vous.

Chez vous, c’est généralement beaucoup plus rapide. Les apps iPhone, Android, Mac et Windows/Linux se connectent directement à votre appareil via votre propre Wi-Fi ou réseau : sauvegardes, gros envois et vidéos circulent donc à la vitesse du réseau local. Un service cloud doit faire passer chaque fichier par votre connexion Internet domestique, dont le débit montant n’est souvent qu’une petite fraction de celui de votre Wi-Fi. Hors de chez vous, les apps passent comme d’habitude par la passerelle. La connexion à domicile est chiffrée et vérifiée avec la clé propre à votre appareil : rien n’est donc jamais envoyé à une machine qui se ferait passer pour la vôtre.

Vos fichiers sont chiffrés au repos avec une clé que seul votre mot de passe déverrouille, et le mot de passe lui-même n’est jamais stocké sur l’appareil. Les photos et vidéos que vous publiez, et les publications que vos amis partagent avec vous, sont l’exception : elles sont conservées non chiffrées pour que les appareils de vos amis puissent les récupérer à tout moment. Les noms de fichiers et les étiquettes restent aussi lisibles pour que la recherche fonctionne. Rien n’est vendu, utilisé pour entraîner des modèles d’IA ni montré à quiconque avec qui vous n’avez pas choisi de le partager. Les deux questions suivantes expliquent ce que voient la passerelle et les autres services, et où vos photos sont analysées.

Vos photos, vidéos et fichiers restent sur votre appareil. Rien n’est vendu, utilisé à des fins publicitaires ou pour entraîner une IA, et aucune des apps ne contient d’outil d’analyse, de publicité ou de rapport de plantage. Quelques services interviennent, et voici ce que chacun reçoit :

• La passerelle (gérée par nous, sur des serveurs OVH en France), si vous l’utilisez : votre compte (e-mail, prénom, nom et pays), les noms de vos appareils (comme casa.off-the.cloud), la date à laquelle une app a joint chaque appareil pour la dernière fois, le volume de trafic total par heure (jamais le contenu) et, pendant 90 jours, l’adresse Internet des tentatives échouées de connexion en tant que votre appareil. Les connexions vers la passerelle sont chiffrées, mais elle les déchiffre et les rechiffre au passage : elles ne sont donc pas chiffrées de bout en bout ; rien de ce qui transite n’est stocké. Un appareil sans passerelle ne la contacte que pendant la configuration.
• Apple et Google acheminent les notifications vers les iPhone et les téléphones Android. Une notification indique seulement qui a fait quoi (« Camille a aimé votre publication ») ou qu’il est arrivé quelque chose à votre appareil (un disque ne fonctionne plus, il est hors ligne), jamais le contenu d’une publication ou d’un commentaire, ni une photo. L’app Android utilise pour cela Firebase de Google, et rien d’autre. Dans un navigateur, les notifications passent par le service push de l’éditeur de votre navigateur, chiffrées.
• Proton envoie nos e-mails (confirmation de votre adresse e-mail, réinitialisation du mot de passe, avertissement avant la suppression d’un compte inutilisé) et transmet les journaux de l’appareil que vous choisissez de nous envoyer.
• La connexion avec Apple ou Google, si vous l’utilisez, nous communique votre e-mail et votre nom.
• GitHub distribue le logiciel de l’appareil et ses mises à jour ; pendant l’installation ou une mise à jour, l’appareil télécharge aussi des composants depuis le miroir du langage Go, géré par Google, des paquets depuis les dépôts de son système d’exploitation et de Tailscale et, la première fois, ses modèles d’IA depuis Hugging Face et GitHub. Comme pour tout téléchargement, ces services voient l’adresse Internet de votre domicile.
• Cartes : quand vous ouvrez les détails d’une photo, sa carte provient d’OpenStreetMap (app web et Android) ou d’Apple Plans (iPhone), qui voient le lieu affiché.
• Tailscale, uniquement si vous activez Tailscale Funnel (son logiciel est installé, mais reste désactivé jusque-là).

Il n’y a pas encore de prestataire de paiement. Les détails figurent dans notre politique de confidentialité.

Sur votre appareil. Le modèle d’étiquetage et les modèles de visages sont téléchargés une seule fois, à l’installation du logiciel, et s’exécutent sur le processeur de l’appareil lui-même ; avec plusieurs comptes familiaux, le compte principal les exécute pour tout le monde. Aucune photo n’est envoyée nulle part pour être étiquetée ou reconnue, et les noms de lieux proviennent d’une liste de villes stockée sur l’appareil : la localisation de vos photos n’est donc envoyée nulle part non plus.

La reconnaissance faciale est désactivée tant que vous ne l’activez pas, lors de la configuration ou dans les Paramètres, car les visages sont des données personnelles sensibles. Elle analyse les photos ajoutées pendant qu’elle est activée, et les données de visages qu’elle conserve sont chiffrées avec votre mot de passe, comme vos fichiers ; les noms que vous donnez aux personnes ne le sont pas. L’étiquetage est activé dès le départ et peut être désactivé dans les Paramètres.

Vos photos ne quittent l’appareil que lorsque vous le décidez : quand vous les publiez pour vos amis, envoyez un lien de partage ou les ouvrez depuis vos apps hors de chez vous, via la passerelle.

Oui : l’appareil, la passerelle et chaque client sont open source sur GitHub. Vous pouvez auditer le code, héberger vous-même la passerelle ou compiler votre propre image de l’appareil à partir des sources.

C’est entièrement facultatif. Utilisez OTC uniquement comme NAS pour la sauvegarde et la synchronisation de fichiers si c’est tout ce que vous voulez : le fil social n’affiche que le contenu des amis que vous avez explicitement acceptés.