Héberger Mattermost sur votre propre VPS

Les messageries SaaS facturent par utilisateur actif et conservent l'historique de vos échanges sur leurs serveurs. Mattermost renverse cette logique : une instance auto-hébergée sur VPS abrite des équipes entières sans coût par siège sur l'édition Team, avec l'historique complet et un stockage de fichiers que vous contrôlez. Pour une agence ou une entreprise soumise à des contraintes de confidentialité, héberger la messagerie en propre signifie que ni les messages, ni les fichiers partagés, ni les métadonnées ne transitent par un tiers. Mattermost s'intègre par ailleurs nativement avec des forges Git, des outils de CI/CD et des webhooks entrants/sortants, ce qui en fait un hub de communication central pour les équipes techniques.

Contrairement à Slack qui impose son infrastructure et ses tarifs par palier, une instance Mattermost vous donne un contrôle total sur la rétention des messages, les politiques d'archivage, les journaux d'audit et les intégrations. C'est particulièrement important pour les équipes soumises à des réglementations sectorielles — santé, finance, défense — où les données ne peuvent pas quitter un périmètre défini.

Mattermost est plus exigeant qu'une forge Git car il maintient des connexions WebSocket persistantes. Comptez 2 vCPU et 4 Go de RAM pour une équipe jusqu'à 50 utilisateurs actifs ; visez 8 Go au-delà ou si vous activez la recherche avancée (Elasticsearch). Pour une organisation de 100 à 500 utilisateurs ou si vous activez les appels vidéo HD via le plugin Calls, comptez 16 Go de RAM et 4 vCPU. PostgreSQL est la base recommandée depuis la v10 — MySQL est toujours supporté mais PostgreSQL est plus adapté aux gros volumes et à la recherche plein-texte. Prévoyez 30 Go de SSD minimum, davantage si vous stockez beaucoup de fichiers localement.

Côté logiciel : Docker Engine 24+ et Docker Compose v2, un sous-domaine chat.votredomaine.com avec enregistrement A, et un reverse proxy capable de relayer correctement les connexions WebSocket (Upgrade/Connection). Un certificat TLS valide est requis — les clients mobiles refusent les connexions HTTP. Pensez également à ouvrir le port 8443 si vous activez les appels vidéo (plugin Calls/RTCD) et à configurer le serveur TURN pour les connexions derrière NAT.

Mattermost v10 (sorti fin 2024, branche Extended Support active en 2025–2026) a introduit plusieurs améliorations significatives pour les instances auto-hébergées :

Boards intégré en GA — le plugin Boards (Kanban/Tableau de bord) est désormais pré-packagé et activé par défaut. Vos équipes gèrent leurs projets directement depuis Mattermost sans outil externe.

Calls HD (plugin Calls v0.x) — conférences audio et vidéo HD directement dans les canaux, avec partage d'écran. L'installation Docker inclut le plugin ; il suffit d'activer MM_PLUGINSETTINGS_ENABLE=true.

SAML AES-256-GCM — chiffrement des assertions SAML renforcé pour les environnements Enterprise.

Connected Workspaces en GA — les canaux partagés entre plusieurs instances Mattermost passent de béta à disponibilité générale, permettant des espaces de travail fédérés.

Fin du support E10/E20 — si vous migrez depuis une ancienne licence, vérifiez votre plan avant de mettre à jour.

Mattermost excelle comme hub centralisé pour les équipes techniques. Les intégrations les plus courantes en self-hosted :

Webhooks entrants — chaque canal dispose d'une URL webhook. Votre CI envoie un POST JSON quand un déploiement réussit ou échoue ; Mattermost l'affiche dans #ci-alerts. Configuration dans Intégrations → Webhooks entrants.

Webhooks sortants — Mattermost envoie une requête HTTP lorsqu'un message contient un mot-clé défini. Utile pour déclencher des pipelines depuis une conversation.

Gitea et GitLab — le plugin officiel Mattermost pour GitLab (compatible Gitea via webhooks JSON) notifie push, merge requests et issues dans les canaux de vos dépôts.

Jira — le plugin Jira permet de créer des tickets directement depuis un message Mattermost et de recevoir les mises à jour de statut dans les canaux.

Zoom — le plugin Zoom génère un lien de réunion en une commande slash /zoom dans n'importe quel canal. Alternative : utilisez le plugin Calls natif pour des réunions entièrement on-premise.

Une instance Mattermost repose sur deux composants à sauvegarder régulièrement : la base PostgreSQL et le dossier de données.

Sauvegarde PostgreSQL avec pg_dump (depuis l'hôte, avec le conteneur en cours) :
docker exec mattermost-postgres pg_dump -U mmuser mattermost | gzip > /backups/mm-$(date +%Y%m%d).sql.gz

Sauvegarde du dossier data — montez le volume mattermost/data en externe et archivez-le :
tar czf /backups/mm-data-$(date +%Y%m%d).tar.gz /opt/mattermost/data

Restauration — pour restaurer : stoppez les conteneurs, importez le dump SQL dans un conteneur Postgres propre, remplacez le dossier data, puis docker compose up -d.

Pensez à tester la restauration au moins une fois : une sauvegarde non testée n'est pas une sauvegarde.

À partir de Mattermost 11, l'édition gratuite auto-hébergée — appelée Entry — plafonne l'historique consultable à 10 000 messages, tous canaux confondus et pour l'ensemble du serveur. Le point important est souvent mal compris : les messages plus anciens ne sont pas supprimés. Ils restent dans votre base de données, sur votre machine — ils cessent simplement d'être affichables et cherchables depuis l'application. Le changement a été mal reçu par la communauté, précisément parce qu'il porte sur des données que l'utilisateur héberge lui-même. Deux issues existent : passer à une édition payante pour lever le plafond, ou choisir un outil dont l'édition libre ne limite pas l'historique. Si votre usage est une messagerie d'équipe au long cours, mesurez votre volume mensuel avant de vous engager : 10 000 messages se consomment vite à plusieurs. Il existe une troisième voie, souvent ignorée : l'édition Team, gratuite elle aussi, ne plafonne PAS l'historique — mais elle ne gère pas le SSO et s'arrête à 250 utilisateurs. Le choix se fait donc entre un plafond d'historique (Entry) et un plafond d'utilisateurs sans SSO (Team).

WebSocket SSL ne s'établit pas — vérifiez que votre bloc Nginx inclut proxy_set_header Upgrade $http_upgrade; et proxy_set_header Connection "upgrade";. Si le proxy est derrière Cloudflare, activez le mode WebSocket dans le dashboard Cloudflare (Network → WebSockets).

Erreur de connexion à la base de données — contrôlez que MM_SQLSETTINGS_DATASOURCE pointe bien vers le service postgres du Compose (postgres://mmuser:motdepasse@db:5432/mattermost). Le conteneur Mattermost doit être sur le même réseau Docker que postgres.

Mise à jour entre versions majeures — ne sautez pas de versions majeures. De v9 à v11 : passez d'abord par v10, attendez que la migration de schéma se termine (vérifiez les logs), puis montez vers v11. Consultez CHANGELOG.md officiel pour les breaking changes avant chaque saut.

Clients mobiles refusent de se connecter — SiteURL doit être en https:// et le certificat valide. Un certificat auto-signé est refusé par les apps iOS/Android sans configuration MDM.