Héberger Syncthing sur votre propre VPS

Syncthing est un outil de synchronisation de fichiers décentralisé : chaque appareil parle directement aux autres, sans serveur central ni copie chez un fournisseur. Le problème du pair-à-pair pur, c'est que vos machines ne sont pas toujours allumées en même temps — votre portable est éteint quand votre poste de bureau veut synchroniser. Un VPS résout exactement cela : il sert de nœud permanent disponible 24/7, présent sur Internet avec une IP publique stable, vers lequel tous vos appareils convergent. Les fichiers transitent chiffrés (TLS) et le VPS détient une copie synchronisée qui sert aussi de sauvegarde déportée. Contrairement à un mutualisé, un VPS autorise l'ouverture des ports de transfert et le maintien d'un démon Syncthing actif en permanence.

Syncthing est remarquablement frugal en CPU et en RAM, mais c'est le disque qui dimensionne le serveur : il faut autant d'espace que le volume de données à synchroniser. Comptez 1 vCPU et 1 Go de RAM, plus le stockage adapté à vos dossiers (20, 50 Go ou plus selon vos besoins). Côté réseau, deux ports doivent être joignables : 22000 (TCP/UDP, transfert de données) et 21027 (UDP, découverte locale, optionnel sur un VPS distant). L'interface d'administration tourne sur le port 8384 et doit impérativement rester protégée. Docker et Docker Compose suffisent ; un sous-domaine sync.votredomaine.com est utile pour accéder à l'interface en HTTPS via reverse proxy.

Une fois le déploiement de base fonctionnel, ouvrez l'interface GUI (via sync.votredomaine.com) pour affiner la configuration de chaque dossier. Pour chaque dossier partagé, définissez le type : Envoi-Réception (bidirectionnel), Envoi seulement (le VPS ne peut pas modifier vos fichiers) ou Réception seulement (le VPS archive sans écraser). Le champ Folder ID dans la configuration — visible dans config.xml sous /opt/syncthing/config/ — doit être identique sur tous les appareils partageant un même dossier : c'est lui qui lie les nœuds. Pour le chiffrement côté stockage, Syncthing propose depuis la version 1.15 le mode Encrypted (dossiers chiffrés sur le VPS avec un mot de passe distinct) : le VPS ne voit jamais vos données en clair, il ne fait que stocker des blobs chiffrés. Activez-le dans l'onglet Sharing d'un dossier, option Encrypted pour l'appareil VPS. Les ACLs de partage s'gèrent par appareil : dans chaque dossier, sélectionnez les appareils autorisés à accéder à ce dossier — un appareil non listé ne reçoit rien même s'il connaît votre Device ID.

La force du VPS comme nœud central apparaît quand vous connectez un écosystème complet. Sur Android, installez Syncthing via F-Droid (l'application officielle, gratuite, sans telemetrie Google) — la version Play Store est dépréciée depuis 2024. Ouvrez Syncthing sur le téléphone, copiez son Device ID, et ajoutez-le côté VPS via « Ajouter un périphérique ». Réciproquement, ajoutez le VPS sur le téléphone avec son Device ID et l'adresse explicite tcp://IP_VPS:22000 dans le champ « Adresses ». Sur laptop, la procédure est identique : installez syncthing via le gestionnaire de paquets (apt install syncthing ou binaire officiel), lancez-le avec systemctl --user enable --now syncthing, et appairez-le au VPS de la même façon. Pour un NAS Synology ou TrueNAS, Syncthing est disponible comme paquet officiel ou conteneur Docker — configurez le même Device ID et les mêmes dossiers partagés. L'avantage du VPS comme point de rendez-vous est que le NAS et le laptop se synchronisent même quand l'un est hors réseau local : les données passent par le VPS et se propagent dès la reconnexion. Désactivez les serveurs de relais publics dans les préférences avancées (relays disabled) et déclarez explicitement tcp://IP_VPS:22000 comme adresse statique sur chaque nœud pour des connexions directes et rapides, sans dépendance aux services Syncthing Foundation.

Exposer le port 8384 directement sur Internet est une erreur critique : n'importe qui peut tenter de s'y connecter. La bonne pratique est de lier Syncthing à 127.0.0.1:8384 dans la config (réglage GUI > Adresse de l'interface GUI : 127.0.0.1:8384) et de fronter avec nginx ou Caddy en HTTPS. Avec nginx, créez un vhost dans /etc/nginx/sites-available/sync : définissez un bloc server sur le port 443 avec votre certificat Let's Encrypt, un location / avec proxy_pass http://127.0.0.1:8384 et les headers X-Real-IP, X-Forwarded-For. Ajoutez une authentification HTTP basique (auth_basic, htpasswd) en couche supplémentaire : même si quelqu'un accède à l'URL, il doit franchir deux barrières — nginx et le mot de passe GUI de Syncthing. Dans le config.xml, assurez-vous que <insecureAdminAccess>false</insecureAdminAccess> : sans cette option, un accès sans authentification resterait possible depuis localhost dans le conteneur. Enfin, sauvegardez régulièrement /opt/syncthing/config/ — ce dossier contient les clés TLS du nœud, la configuration des dossiers et les Device IDs appairés : sa perte implique de reconfigurer tous les appareils depuis zéro.

Syncthing expose une API REST complète sur http://127.0.0.1:8384/rest/. Le token d'API se trouve dans l'interface GUI sous Paramètres > GUI > Clé API. Quelques requêtes utiles depuis le VPS : curl -H 'X-API-Key: VOTRE_CLE' http://127.0.0.1:8384/rest/db/status?folder=ID_DOSSIER retourne l'état de synchronisation d'un dossier (clés globalFiles, localFiles, needFiles, state). L'état idle confirme que tout est synchronisé ; syncing indique une synchronisation en cours ; error signale un problème à investiguer dans les logs. Pour surveiller en temps réel les événements : GET /rest/events?since=0 retourne le flux d'événements (connexions, transferts, erreurs). Pour un monitoring minimal en production, ajoutez une crontab ou un check Uptime-Kuma qui interroge /rest/noauth/health — cet endpoint ne nécessite pas de clé API et retourne {"status":"OK"} si Syncthing tourne. Les logs du conteneur (docker logs syncthing --tail 100) fournissent aussi les détails sur chaque connexion, transfert et erreur de configuration.

Port 22000 non joignable. Les appareils distants apparaissent en « Déconnecté » bien que Syncthing tourne. Vérifiez que ufw allow 22000/tcp et ufw allow 22000/udp ont bien été appliqués (ufw status). Vérifiez aussi que le compose mappe bien 22000:22000/tcp et 22000:22000/udp — oublier le mapping UDP bloque la découverte. Confirmez avec nc -zv IP_VPS 22000 depuis une machine distante. Appareil non trouvé. Si l'auto-découverte échoue, déclarez l'adresse du VPS manuellement dans la config de chaque client : onglet Périphériques > Adresses > tcp://IP_VPS:22000. Désactivez les serveurs de découverte globaux si vous utilisez exclusivement le VPS comme point de rendez-vous. Conflit de version. Deux appareils ont modifié le même fichier hors ligne. Syncthing crée un fichier .sync-conflict-YYYYMMDD-HHMMSS-DEVICEID à côté de l'original — c'est intentionnel, aucune donnée n'est perdue. Consultez les deux versions et supprimez manuellement celle que vous n'avez pas besoin de conserver. Espace disque insuffisant. Syncthing s'arrête de synchroniser et passe en état error si l'espace disponible descend sous le seuil configuré (défaut : 1 % du disque). Libérez de l'espace ou augmentez le disque du VPS ; vérifiez aussi que le versionnement staggered ne conserve pas des années de révisions — limitez la durée de rétention dans les paramètres du dossier.