Migrer de Plex vers Jellyfin après le paywall de juillet 2026

Pendant des années, Plex laissait regarder sa médiathèque hors de chez soi sans payer. Ce n'est plus le cas : selon la page des offres Plex, le streaming distant de contenus personnels exige soit un Plex Pass sur le compte administrateur du serveur, soit un Remote Watch Pass sur le compte de chaque spectateur. Ce second abonnement, lancé à prix d'introduction, se renouvelle depuis le 1er juin 2026 à 2,99 $ par mois ou 29,99 $ par an. Le refus d'accès depuis un mobile ou chez un proche est souvent le déclencheur : on cherche une sortie immédiate, pas une évaluation longue.

Jellyfin est la réponse directe. C'est un fork communautaire de la base de code Emby, publié sous licence GPL-2.0, sans compte obligatoire, sans télémétrie et sans fonction bridée derrière un mur payant. Il n'imite pas l'API de Plex : il expose sa propre API, servie par les applications Jellyfin officielles (Android, iOS, Android TV, Roku, webOS, Tizen, Xbox) et par des clients tiers qui la prennent en charge nativement, comme Infuse. Les fichiers médias ne bougent pas : seule la couche serveur change.

La migration prend quelques heures ou quelques jours, et Plex tourne encore pendant ce temps. Ne le laissez pas sur une version ancienne : deux vulnérabilités corrigées à partir de la build 1.43.3.10861 ont reçu leurs identifiants le 23 septembre 2026.

CVE-2026-96656 (CVSS 3.1 : 7,2) permet à un compte administrateur d'écrire des fichiers exécutés au chargement : la préférence TranscoderH264Options est recopiée telle quelle dans les options de x264, et les bibliothèques .so sont chargées au démarrage sans contrôle de signature ni de bit d'exécution. La CISA l'a inscrite le 20 octobre 2026 à son catalogue des vulnérabilités activement exploitées.

CVE-2026-96651 (CWE-22, CVSS 3.1 : 6,5) est une traversée de répertoires sur /system/agents/media/get : une session authentifiée lit n'importe quel fichier accessible à l'utilisateur système de Plex, y compris le jeton PlexOnlineToken, qui donne la main sur le compte et le serveur.

Enchaînées, les deux failles mènent du vol de session à l'exécution de code. Mettez Plex à jour avant de commencer, gardez son port fermé à Internet le temps de la bascule, et appliquez les correctifs système du VPS en parallèle (cf. les mises à jour de sécurité automatiques sous Debian et Ubuntu). Pour Jellyfin, le réflexe est le même : suivez les releases et rafraîchissez l'image régulièrement.

La migration suppose que vous avez déjà un VPS avec Docker installé. Jellyfin en Direct Play (les appareils lisent le fichier sans transcodage) tourne correctement avec 2 vCPU et 2 Go de RAM. Si vous anticipez du transcodage logiciel 1080p, comptez 4 vCPU minimum par flux simultané : Jellyfin sollicite fortement le CPU sans accélération matérielle. Pour du 4K, un GPU ou une puce Intel avec Quick Sync sont fortement recommandés.

Le stockage est le poste dimensionnant : une médiathèque de taille moyenne pèse plusieurs téraoctets. Vos fichiers médias restent là où ils sont — il n'y a aucune copie à faire. Côté réseau, votre domaine doit pointer vers le VPS et le port 8096 doit être accessible en interne (le reverse proxy s'occupe de l'exposition HTTPS).

Ce qu'il vous faut en résumé : un VPS sous Linux (Debian 12 ou Ubuntu 22.04+), Docker et docker compose v2, un domaine configuré, un reverse proxy (Caddy ou Nginx), et l'accès SSH au serveur.

Avant de toucher à quoi que ce soit, prenez un instantané (snapshot) du VPS depuis votre panneau d'hébergement : c'est le filet qui permet de revenir à l'état Plex en quelques minutes si la bascule tourne mal. La dernière version de Jellyfin au 7 novembre 2026 est la 12.4 (publiée le 26 octobre 2026) ; l'image jellyfin/jellyfin:latest la suit.

Si votre VPS sert déjà d'autres sites avec Nginx, gardez-le. La configuration ci-dessous reprend les directives recommandées par la documentation Jellyfin : redirection HTTP vers HTTPS, en-têtes X-Forwarded-*, tampon désactivé pour les flux, et un bloc /socket dédié aux WebSockets qu'utilisent les clients pour la lecture synchronisée et les notifications.

# /etc/nginx/sites-available/jellyfin
server {
    listen 80;
    server_name media.yourdomain.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    server_name media.yourdomain.com;

    ssl_certificate     /etc/letsencrypt/live/media.yourdomain.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/media.yourdomain.com/privkey.pem;
    ssl_protocols TLSv1.3 TLSv1.2;

    client_max_body_size 20M;
    add_header X-Content-Type-Options "nosniff";

    location / {
        proxy_pass http://127.0.0.1:8096;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $http_host;
        proxy_buffering off;
    }

    location /socket {
        proxy_pass http://127.0.0.1:8096;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection "upgrade";
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

Le certificat s'obtient avec Certbot (le bloc du port 80 doit rester en place pour ses renouvellements), ou via votre CDN en mode Full (strict). Activez le site puis rechargez Nginx :

ln -s /etc/nginx/sites-available/jellyfin /etc/nginx/sites-enabled/
nginx -t && systemctl reload nginx

Ne publiez jamais le port 8096 directement sur Internet : le mapping 127.0.0.1:8096:8096 du fichier Compose garantit que seul Nginx le joint. Pour Navidrome, dupliquez le bloc avec un autre sous-domaine et le port 4533.

Jellyfin sait lire de la musique, mais ce n'est pas son point fort. Si vous écoutiez votre discothèque avec Plexamp, notez que le paywall Plex ne vise que la vidéo : d'après la page des offres de Plex, la musique et les photos restent accessibles à distance dans Plexamp et Plex Photos sans abonnement. Navidrome devient donc utile quand vous voulez quitter Plex entièrement. C'est un serveur de musique libre (GPL-3.0, écrit en Go), compatible avec l'API Subsonic : tous les clients Subsonic, Madsonic et Airsonic s'y connectent, sur mobile comme sur ordinateur. Il transcode à la volée, gère l'Opus et importe automatiquement les playlists .m3u. La version courante au 7 novembre 2026 est la 0.64.2. Le guide héberger Navidrome sur un VPS détaille une installation complète ; voici la bascule depuis Plex.

Une fois la migration terminée, quelques réglages améliorent l'expérience au quotidien.

Métadonnées. Jellyfin utilise TheMovieDB et TheTVDB par défaut. Si certains films ou séries ne sont pas reconnus automatiquement, renommez les fichiers selon la convention Titre (Année)/Titre (Année).mkv pour les films et Série/Saison 01/Série - S01E01.mkv pour les séries — Jellyfin applique ces conventions lors du scan.

Sous-titres. Activez OpenSubtitles ou sous-titres intégrés dans Tableau de bord → Plugins. La récupération est automatique lors du scan de la bibliothèque.

Transcodage matériel. Si votre VPS dispose d'une puce Intel, activez VAAPI dans Tableau de bord → Lecture → Transcodage. Cela réduit significativement la charge CPU lors des conversions de flux.

Quelques erreurs reviennent systématiquement lors d'une migration Plex → Jellyfin.

Connection refused sur le port 8096. Le conteneur est démarré mais rien ne répond. Vérifiez que le mapping de port est bien 127.0.0.1:8096:8096 et non 0.0.0.0:8096:8096 si vous voulez passer par le reverse proxy. Commande de diagnostic : docker logs jellyfin.

Les métadonnées ne se chargent pas. Le scan initial peut durer de 10 minutes à plusieurs heures selon la taille de la bibliothèque. Surveillez la progression dans Tableau de bord → Activité. Si des fichiers restent sans affiches, vérifiez que le nom de fichier respecte la convention et forcez un nouveau scan avec « Analyser les métadonnées ».

L'accès distant ne fonctionne pas. Si https://media.yourdomain.com répond depuis le serveur mais pas depuis l'extérieur, vérifiez que le pare-feu autorise le port 443 (ufw allow 443), que le DNS pointe vers la bonne IP, et que la variable JELLYFIN_PublishedServerUrl correspond exactement à l'URL publique configurée dans le reverse proxy.

Infuse ne trouve pas le serveur. Ajoutez-le comme serveur Jellyfin, pas comme serveur Plex, et saisissez l'URL HTTPS complète à la main. La découverte automatique ne fonctionne que sur le réseau local ; à distance, l'URL manuelle est la seule voie fiable.

Le transcodage CPU monte à 100 %. Sans accélération matérielle, un seul flux 4K transcode peut saturer plusieurs cœurs. Passez en VAAPI si votre processeur le supporte, ou encouragez vos utilisateurs à activer le Direct Play dans les réglages de leur client.

La bibliothèque reste vide après le premier scan. Le chemin monté dans Docker ne correspond pas au dossier réel. Vérifiez ce que voit le conteneur, puis l'état du service à travers le proxy :

docker exec jellyfin ls /media
curl -s https://media.yourdomain.com/health

Si ls ne liste rien, corrigez le volume dans docker-compose.yml et relancez le conteneur ; /health doit répondre Healthy.

Le transcodage échoue avec une erreur ffmpeg. C'est presque toujours le transcodage matériel activé sur un VPS qui n'expose pas de GPU au conteneur. Désactivez l'accélération dans Tableau de bord → Lecture et laissez Jellyfin transcoder en logiciel : sur un VPS sans GPU, c'est la configuration normale.

La migration couvre le remplacement de Plex, mais Jellyfin s'intègre dans un écosystème plus large. Si vous partez de zéro (sans Plex préalable), le guide Héberger Jellyfin sur votre propre VPS couvre l'installation initiale depuis le début. Pour un comparatif fonctionnel approfondi entre les deux plateformes, consultez Jellyfin vs Plex : quel serveur multimédia choisir. Pour la musique, le guide Navidrome va plus loin que la bascule décrite ici.

Si cette migration fait partie d'un mouvement plus large vers le self-hosting pour réduire vos coûts SaaS, héberger Ghost sur votre VPS couvre un autre cas courant. La logique est la même : un logiciel libre, un VPS, un accès dont vous contrôlez les règles.

La documentation officielle Jellyfin (jellyfin.org/docs) est complète et maintenue activement — c'est la référence pour les cas avancés (transcodage matériel, LDAP, plugins, reverse proxy avancé).