Comment synchroniser ses coffres Obsidian en sécurité

Obsidian est une application de gestion des connaissances orientée local-first (le local d'abord). Chaque note est un fichier markdown stocké sur votre appareil et reste entièrement sous votre contrôle. Cependant, nous souhaitons souvent disposer du même coffre (vault) sur notre ordinateur portable, notre téléphone et nos autres appareils, ou pouvoir y accéder à distance via un navigateur web.

Plusieurs solutions de synchronisation existent pour Obsidian, mais elles font toutes des compromis en matière de gestion des conflits, de chiffrement ou de souveraineté des données. Synch est une application open-source qui synchronise votre coffre Obsidian avec un chiffrement de bout en bout et une gestion automatique des conflits sur un serveur auto-hébergé.

Bien que l'approche local-first d'Obsidian fonctionne parfaitement la plupart du temps, il arrive que nous devions accéder à notre coffre à distance depuis un navigateur web. Ignis est une application open-source qui fait tourner Obsidian dans un navigateur web dans un format très proche du natif, vous permettant de lire et de modifier votre coffre de n'importe où.

Dans ce guide, nous allons installer Synch et Ignis sur un VPS (Serveur Privé Virtuel), en les hébergeant de manière sécurisée dans un réseau privé Cloudflare Zero Trust plutôt que de les exposer directement sur l'internet public.

Guide connexe

Comment exposer Hermes Agent de manière privée avec Cloudflare WARP

Découvrez comment exposer et accéder en toute sécurité à votre Hermes Agent à l'échelle mondiale à l'aide de Cloudflare WARP et Zero Trust sans ouvrir de ports pare-feu entrants.

8 MIN DE LECTURE

Synchronisation sécurisée des coffres Obsidian avec Synch

Synch offre les fonctionnalités suivantes :

• Synchronise votre coffre dès que des modifications sont détectées
• Chiffre les données du coffre avant leur téléversement
• Permet la restauration à partir de l'historique des versions
• Comprend une gestion automatique des conflits

Synch génère une clé de coffre aléatoire de 32 octets sur votre appareil, qui sert à chiffrer les données de votre coffre. Lorsque vous créez un coffre distant, vous choisissez un mot de passe de coffre ; ce mot de passe est utilisé pour protéger la clé de coffre afin que celle-ci puisse être stockée en toute sécurité sur le serveur et déverrouillée sur d'autres appareils.

Notez que la résolution des conflits est gérée sur vos appareils clients plutôt que sur le serveur. Si deux appareils modifient simultanément la même note, le serveur conserve la version qui arrive en premier et marque l'autre appareil comme obsolète. L'appareil obsolète fusionne alors automatiquement la version la plus récente avec ses modifications locales avant de téléverser la note finale fusionnée.

Installer Synch sur votre VPS

Créer un nom de domaine

Créez un enregistrement A dans Cloudflare et réglez le statut du proxy sur DNS uniquement (en contournant le CDN de Cloudflare).

Installer Synch via Docker sur Ubuntu

Cloner le dépôt

git clone https://github.com/hjinco/synch.git       
        
# Accéder au dossier de l'API
cd synch/apps/api
        
# Copier le fichier d'environnement d'exemple :
cp .env.example .env

Modifier les valeurs du .env

• PUBLIC_URL=synch.pafor.me : Saisissez le nom de domaine public de votre serveur Synch (le domaine créé à l'étape précédente).
• BETTER_AUTH_SECRET et SYNC_TOKEN_SECRET : Générez des clés sécurisées à l'aide de cet outil de clé secrète en ligne ou en exécutant deux fois openssl rand -hex 32 dans votre terminal.
• AUTH_ALLOWED_EMAILS : Une liste d'adresses e-mail séparées par des virgules autorisées à s'inscrire et à créer des comptes.

Ajouter le domaine au Caddyfile

Les détails de l'intégration du module Cloudflare DNS avec Caddy et son lancement dans un conteneur se trouvent dans notre article sur l'auto-hébergement de Buzz.

Guide d'auto-hébergement

Auto-héberger Buzz de Block: Espace collaboratif d'agents IA

Apprenez à configurer Caddy pour générer automatiquement des certificats SSL/TLS via les défis DNS de Cloudflare dans des conteneurs Docker.

12 MIN DE LECTURE

Insérez la directive SYNCH_DOMAIN dans votre Caddyfile, pointant vers le port 8787 (le port utilisé par le conteneur Synch) :

{
  acme_dns cloudflare {env.CLOUDFLARE_API_TOKEN}
}

{$SYNCH_DOMAIN} {
  encode zstd gzip
  reverse_proxy host.docker.internal:8787
}

Lancez le conteneur :

docker compose up -d

Exécutez la commande curl suivante pour vérifier sa disponibilité :

curl https://synch.pafor.me/health

Connecter Obsidian à votre serveur Synch

Installer le plugin Synch sur Obsidian

Ouvrez les paramètres d'Obsidian, accédez à Community plugins (Plugins de la communauté) et cliquez sur le bouton 'Browse' (Parcourir) :

Recherchez et installez 'Synchrun' :

Une fois 'Synchrun' installé, ouvrez les paramètres du plugin et activez 'Use a self-hosted server' (Utiliser un serveur auto-hébergé). Saisissez ensuite https://synch.pafor.me dans le champ 'Server URL' (URL du serveur) et cliquez sur 'Save' (Enregistrer).

Cliquez sur le bouton 'Sign in on this device' (Se connecter sur cet appareil) sous 'Account' (Compte). Inscrivez-vous ensuite en utilisant l'adresse e-mail spécifiée dans votre liste AUTH_ALLOWED_EMAILS ; vous serez redirigé vers la page d'autorisation suivante :

Cliquez sur le bouton 'Allow Obsidian sign-in' (Autoriser la connexion Obsidian) :

Cliquez sur le bouton 'Return to Obsidian' (Retourner à Obsidian), puis cliquez sur 'Create vault' (Créer un coffre) :

Saisissez un nom et un mot de passe sécurisé pour créer votre coffre distant.

Le processus de synchronisation commence immédiatement et peut prendre du temps selon la taille de votre coffre. Une fois terminé, votre utilisation totale du stockage s'affiche.

Accès à Obsidian via un navigateur web avec Ignis

Ignis remplace les API Electron d'Obsidian par des API Web, ce qui permet au code JavaScript d'Obsidian de s'exécuter directement dans un navigateur web standard. Tous vos fichiers markdown et pièces jointes sont stockés directement dans le système de fichiers du serveur hôte.

Cependant, il existe quelques limitations par rapport à l'application de bureau native d'Obsidian. Certaines fonctionnalités ou plugins nécessitant les API Electron ou Node.js (qui n'ont pas d'équivalent direct dans un environnement de navigateur) ne fonctionneront pas. Veuillez vous référer aux guides Ignis Limitations et Compatibilité des plugins pour obtenir la liste détaillée de compatibilité.

Configuration d'Ignis

Nous allons installer Ignis sur notre VPS à l'aide de Docker, en le montant sur le dossier local ./vaults. Ce répertoire de coffres sera synchronisé à l'aide de la Synch CLI pour extraire les mises à jour de notes depuis le coffre distant configuré précédemment.

Comme Ignis ne dispose pas d'authentification intégrée, il doit être sécurisé derrière un réseau privé Cloudflare Zero Trust.

Créer un enregistrement DNS

Ajouter le domaine au Caddyfile

Ajoutez obsidian.pafor.me à votre Caddyfile de la même manière que synch.pafor.me :

{$OBSIDIAN_DOMAIN} {
  encode zstd gzip
  reverse_proxy host.docker.internal:9898
}

Lancer Ignis avec Docker

Enregistrez le code docker compose yml suivant sous le nom ignis-docker-compose.yml sur le VPS :

services:
  ignis:
    image: nobbe/ignis:latest
    ports:
      - "9898:8080"
    environment:
      # correspondre à votre utilisateur hôte (exécutez : id)
      - PUID=1000
      - PGID=1000
      - WS_ORIGINS=https://obsidian.pafor.me
    volumes:
      - ./vaults:/vaults
      - ./data:/app/data
      - obsidian-app:/app/obsidian-app
    restart: unless-stopped

volumes:
  obsidian-app:

• Utilisez le port 9898 sur l'hôte, car le port 8080 est couramment utilisé par d'autres services.
• Exécutez la commande id sur votre VPS pour vérifier l' UID et le GID de votre utilisateur hôte afin de garantir des permissions système appropriées.
• Définissez WS_ORIGINS pour autoriser uniquement les connexions WebSocket provenant de votre nom de domaine spécifique.

Lancez le Docker d' Ignis :

docker compose -f ignis-docker-compose.yml up -d

Lorsque vous naviguez vers votre domaine dans un navigateur web, le 'Vault Manager' s'affiche. Il sera vide car aucun coffre n'est encore configuré. Nous allons installer la 'Synch CLI' dans la section suivante pour synchroniser les contenus de notre coffre distant.

Problème de pare-feu

Par défaut, Docker insère automatiquement ses propres règles DNAT et FORWARD, qui redirigent le trafic public directement vers les conteneurs actifs. Cela contourne la chaîne standard d'Ubuntu UFW/iptables INPUT. Pour bloquer le trafic public externe et garder les conteneurs privés, ajoutez manuellement les règles suivantes à iptables :

# Bloquer tout le trafic public externe
sudo iptables -I DOCKER-USER -i ext_if -j DROP 

# Autoriser uniquement le trafic provenant de l'IP privée de votre client Cloudflare WARP
sudo iptables -I DOCKER-USER -i ext_if -s 100.96.0.10 -j ACCEPT

Configuration de la CLI Synch

La Synch CLI est un outil headless (sans interface graphique) qui permet de synchroniser un répertoire de coffre Obsidian directement sur des serveurs distants sans avoir à installer l'application de bureau complète.

Compilez la Synch CLI à partir de votre dépôt synch cloné. La compilation nécessite Node.js >= 22.5 (car la CLI dépend de node:sqlite et d'API globales du navigateur comme fetch, WebSocket et WebCrypto) et pnpm (puisque le dépôt est structuré comme un espace de travail pnpm utilisant la version 10.33.0) :

# Vérifier les versions
node --version   # doit être >= 22.5
pnpm --version

# À la racine du dépôt
pnpm install

# Compiler le paquet de la CLI
pnpm -C apps/cli build

# Après une compilation réussie, vous obtenez `apps/cli/dist/synch.js`. Rendez-le exécutable et placez-le dans votre PATH
chmod +x apps/cli/dist/synch.js
ln -sf "$PWD/apps/cli/dist/synch.js" "$HOME/.local/bin/synch"

# Vérification
synch --help

Étant donné que la Synch CLI s'exécute sur le même VPS que votre coffre distant Synch, elle peut se connecter directement au serveur API local. Si vous configurez un serveur différent, exécutez synch login --api-url <remote-synch-api-url> pour définir votre point d'accès API cible.

Exécutez synch login dans votre terminal, et vous recevrez une URL d'authentification :

Connectez-vous via la page web en utilisant la même adresse e-mail que celle enregistrée avec le plugin Obsidian desktop Synchrun.

Exécutez synch vault connect --vault ~/vaults/<nom_du_coffre> --vault-id asadqe-7b29-4677-fsad-234asdafasd pour lier votre répertoire de coffre local sur le VPS au coffre distant.

L'ID du coffre distant se trouve dans les paramètres du plugin Synchrun en cliquant sur 'Manage remote vaults' (Gérer les coffres distants). Cela affichera une page web listant vos coffres distants, chacun identifié par un GUID unique (par ex. 123e4567-e89b-12d3-a456-426614174000) :

Saisissez le mot de passe de votre coffre lorsque vous y êtes invité pour établir la liaison. Une fois connecté, exécutez synch sync --vault ~/vaults/<nom-du-coffre> pour effectuer votre première synchronisation. Ce premier lancement peut prendre un certain temps en fonction de la taille de votre coffre.

Pour automatiser cela, configurez et activez un service systemd pour exécuter synch watch en continu, garantissant une synchronisation instantanée au démarrage :

sudo tee /etc/systemd/system/synch-watch.service <<'EOF'
[Unit]
Description=Synch vault watcher
After=network-online.target
Wants=network-online.target

[Service]
Type=simple
User=<username>
ExecStart=/home/<username>/.local/bin/synch watch --vault /home/<username>/vaults/<vault-name>
WorkingDirectory=/home/<username>/vaults
Environment="PATH=/home/<username>/.local/bin:/home/<username>/.cargo/bin:/usr/local/sbin:/usr/local/bin:/usr/sbin:/usr/bin:/sbin:/bin"
Environment="HOME=/home/<username>"
Restart=always
RestartSec=5

[Install]
WantedBy=multi-user.target
EOF
sudo systemctl daemon-reload
sudo systemctl enable --now synch-watch.service

Ouvrez obsidian.pafor.me dans votre navigateur web. Vous constaterez que l'interface utilisateur et la mise en page sont pratiquement identiques à celles de l'application de bureau :

En cliquant sur l'icône des paramètres, vous constaterez que presque toutes les configurations de base sont intactes, bien que vos plugins communautaires devront être réinstallés :

Pour tester l'installation, vous pouvez ajouter une nouvelle note via l'interface web :

La note est immédiatement synchronisée avec votre application de bureau Obsidian. Notez que les dossiers vides n'apparaissent pas dans Ignis.

Visualisation de obsidian.pafor.me sur un navigateur web mobile :

Lorsque vous supprimez une note dans Ignis, elle est déplacée en toute sécurité vers le dossier ~/vaults/<nom-du-coffre>/.trash de votre coffre local.

Dernières réflexions sur les coffres auto-hébergés

Ensemble, Synch et Ignis rendent votre coffre Obsidian principal disponible de manière fluide sur tous vos appareils, entièrement hébergé sur une infrastructure sous votre contrôle direct. Positionner ces services au sein d'un réseau privé Cloudflare Zero Trust garantit que vos notes personnelles sont entièrement protégées de l'internet public.

Ignis n'est pas destiné à remplacer complètement l'application de bureau native d'Obsidian. Il sert plutôt de client web léger et temporaire pour accéder et modifier votre coffre lorsque vous êtes loin de votre ordinateur principal. Pour l'écriture quotidienne et la gestion approfondie de vos coffres, l'application native d'Obsidian reste le choix le plus confortable.

Puisque Synch utilise un chiffrement de bout en bout, le mot de passe de votre coffre distant doit être extrêmement fort pour faire face aux attaques par force brute. Il est impératif de ne jamais perdre ce mot de passe : le serveur ne stocke pas la clé de coffre non déchiffrée et, s'il est oublié, vos données seront totalement irrécupérables. De plus, assurez-vous que votre instance VPS, ainsi que les snapshots et sauvegardes automatisés, soient correctement sécurisés et maintenus.

Bien que l'historique des versions chiffré de Synch et les outils de récupération de fichiers supprimés couvrent la plupart des pertes accidentelles, il reste fortement recommandé de conserver une sauvegarde distincte et indépendante de votre coffre Obsidian.

Références

• Déployer Synch avec Docker Compose
• Déployer Ignis avec Docker
• Comment fonctionne le chiffrement de bout en bout dans Synch ?