MacSouverain

FREN

Ma stack

Ma stack, l'infrastructure souveraine que j'utilise vraiment

MAJ juillet 2026. J’ai refondu cette page en trois temps, les outils tiers que je recommande, le socle qui porte tout, et ce que j’héberge moi-même. Gros changement au passage, mon mail est passé en self-host sur Stalwart, filtré par mon portier maison le Stripper et lu dans mon outil Sigil, et le site que tu lis tourne désormais sur un générateur Astro que j’héberge moi aussi.

Quand un site te recommande un outil, la première question qui devrait te venir, c’est : « Et toi, tu l’utilises ? »

Bonne question. Voici ma stack. Pas une liste de sponsors déguisée en page perso, pas un fantasme d’architecte cloud. C’est ce qui tourne chez moi, tous les jours, pour gérer mon activité et ma vie numérique. Chaque brique a été choisie, testée, cassée au moins une fois, et reconstruite.

J’ai rangé tout ça en trois temps. D’abord les outils tiers que je te recommande et que j’utilise moi-même. Ensuite le socle, l’infrastructure que je loue chez des tiers et qui porte tout le reste. Et enfin ce que j’héberge sur mes propres serveurs, là où je ne fais plus confiance à personne d’autre qu’à moi.

Si je recommande quelque chose sur MacSouverain, c’est que ça fait partie de cette stack ou que je l’ai suffisamment éprouvé pour en parler honnêtement.

Sommaire

Les outils tiers que je recommande et que j’utilise

Le socle, l’infra tierce qui porte tout le reste

Ce que j’héberge moi-même

Les outils tiers que je recommande et que j'utilise

On commence par le plus simple, les outils que je n’ai pas écrits ni hébergés moi-même, mais que j’ai choisis, éprouvés, et que je te recommande sans réserve. Tu peux les installer ce week-end sans être ingénieur système. Pour la plupart des gens, cette première liste suffit déjà à reprendre une bonne part du contrôle.

Proton

Proton, c’est une suite suisse chiffrée de bout en bout qui regroupe à peu près tout ce qu’on demande à un Google Workspace : mail, calendrier, drive, documents, visioconférence, VPN, gestionnaire de mots de passe. Sept services, un seul abonnement, un seul fournisseur.

Si tu démarres ta démarche de souveraineté numérique et que tu ne veux installer qu’une seule brique, c’est celle-là. Tu coupes ta dépendance à Google ou Microsoft d’un coup, sans jongler avec dix comptes. Un mot de passe, une facture, une interface. Et tout est chiffré côté client par défaut, ce qui veut dire que même Proton ne peut pas lire tes données. C’est suisse, donc hors UE, hors Five Eyes, hors CLOUD Act, et leur datacenter principal est un ancien bunker militaire enterré sous les Alpes. On fait difficilement plus sérieux.

Moi, je recommande toute la suite Proton pour qui débute, mais je ne l’utilise pas en entier. La seule pièce que je garde au quotidien, c’est Proton Meet, leur visioconférence. Le reste, le mail, le drive, le calendrier, je l’ai remplacé par des briques que j’héberge moi-même, tu verras ça plus bas dans le troisième bloc. Ce n’est pas un reproche à Proton, c’est juste que je pousse le curseur plus loin que ce dont la plupart des gens ont besoin.

Proton Meet, en deux mots : de la visio chiffrée de bout en bout, sans historique conservé, que mes invités peuvent rejoindre sans même avoir de compte. Ça remplace Google Meet et Zoom sans que personne, Proton compris, puisse écouter la réunion.

Transparence : je suis affilié Proton. Pas parce que ça me rapporte, mais parce que j’adhère à leur philosophie et que je continue de les recommander à qui débute.

Mots de passe, Apple Passwords

Pour le quotidien, j’utilise le gestionnaire de mots de passe intégré à Apple. Il est natif, synchronisé entre mes appareils, et il gère aussi bien les mots de passe classiques que les passkeys et les codes de double authentification. Avec la protection avancée des données activée (Advanced Data Protection, à cocher dans les réglages iCloud), mon coffre est chiffré de bout en bout : il vit sur les serveurs d’Apple, oui, mais sous une forme illisible dont moi seul détiens la clé. Apple ne peut pas lire mes mots de passe, et même face à une injonction d’un tribunal américain, il n’a rien d’exploitable à remettre.

Une précision honnête, parce qu’elle compte : la protection avancée des données ne couvre pas tout iCloud. Ton mail, tes contacts et ton calendrier iCloud restent en dehors de ce chiffrement de bout en bout, même protection activée, pour des raisons de compatibilité avec les standards du web. C’est précisément une des raisons pour lesquelles j’ai sorti mon mail, mes contacts et mon agenda de chez Apple pour les héberger moi-même, comme tu le verras plus bas.

J’en parle en détail dans le comparatif des gestionnaires de mots de passe.

Le navigateur, c’est le logiciel par lequel passe la plus grande partie de ce que tu fais en ligne. C’est lui qui parle aux sites que tu visites, qui exécute leur code, qui décide ce qu’il garde et ce qu’il bloque. Chez moi, deux navigateurs cohabitent, avec deux usages nettement séparés.

Safari pour le quotidien. C’est le navigateur natif du Mac, le plus intégré au système, le plus sobre en énergie, et Apple y a mis une protection anti-pistage correcte par défaut. Pour l’immense majorité de ma navigation, il fait le travail sans que j’aie à y penser. Et surtout, il profite du blocage de pubs et de traceurs que j’applique plus bas au niveau du réseau, dans la section Réseau souverain, une protection qui vaut pour tous mes appareils d’un coup, navigateur ou pas.

Mullvad Browser pour les sessions sensibles. Chaque navigateur laisse aux sites une sorte d’empreinte technique, une combinaison de détails (taille d’écran, polices installées, réglages) qui, mise bout à bout, te rend reconnaissable même sans cookies. Mullvad Browser, développé avec le projet Tor, prend le problème à l’envers. Au lieu d’essayer de te rendre unique pour te cacher, il rend tous ses utilisateurs identiques : même configuration, même empreinte présentée aux sites. Résultat, impossible de te distinguer d’un autre utilisateur de Mullvad Browser dans la foule. C’est un dérivé de Tor Browser, mais sans le réseau Tor, donc rapide et utilisable au quotidien. Je le sors pour les recherches sensibles, les identités que je veux garder séparées, les sites qui profilent leurs visiteurs de façon agressive.

Deux navigateurs, deux usages, pas de mélange, un peu comme on a une paire de chaussures pour la ville et une pour la randonnée.

Little Snitch, le pare-feu sortant du Mac

Little Snitch est un pare-feu sortant pour macOS : il intercepte chaque connexion qu’une application tente d’établir vers l’extérieur et te demande si tu l’autorises. Tu découvres très vite que ton Mac, même au repos, parle en douce à des dizaines de serveurs sans rien te demander : télémétries, traceurs, services tiers planqués au fond d’une app que tu croyais inoffensive. Avec Little Snitch, c’est toi qui décides ce qui sort, app par app, domaine par domaine. C’est la première brique de souveraineté concrète sur un Mac, parce qu’elle rend visible l’invisible. J’en parle en détail dans le comparatif Little Snitch vs LuLu.

Santa, le videur à l'entrée du Mac

Santa est un outil développé par Google, qui l’utilise en interne sur ses propres flottes de Macs. Son principe est radical : ne laisser s’exécuter sur la machine que les logiciels explicitement autorisés. Tout le reste est refusé à l’entrée. Si un attaquant réussit à déposer un programme malveillant sur ton Mac, il ne pourra tout simplement pas le lancer, comme un videur qui refuse quiconque n’est pas sur la liste. Tu tiens à jour cette liste des éditeurs de confiance, et le monde entier reste dehors. C’est brutal, et c’est précisément l’intérêt.

Le socle, l'infra tierce qui porte tout le reste

Avant de parler de ce que j’héberge, il faut parler de l’endroit où je l’héberge et du réseau qui relie le tout. Ces deux briques-là, je ne les fabrique pas moi-même, je les loue chez des tiers que j’ai choisis avec soin. Ce sont les fondations. Tout le troisième bloc pose dessus.

Infomaniak, mes serveurs et mes sauvegardes en Suisse

Mes serveurs sont des VPS, des serveurs privés virtuels, hébergés chez Infomaniak, dans des datacenters suisses. C’est là que tourne presque tout ce que j’héberge moi-même.

Pourquoi la Suisse : la loi suisse sur la protection des données est l’une des plus strictes au monde. Hors UE, hors Five Eyes, hors CLOUD Act. Un tribunal américain ne peut pas débarquer avec une injonction et exiger mes données, il doit passer par l’entraide judiciaire suisse, ce qui suppose un juge suisse, un vrai motif, et des délais qui découragent la pêche au chalut.

Pourquoi Infomaniak : une entreprise suisse indépendante, pas cotée en bourse, donc pas d’actionnaire qui réclame qu’on monétise tes données. Des datacenters alimentés à 100 % en énergie renouvelable. Pas de revente de données, pas de pub, pas de pistage, un support humain basé en Suisse. Chez eux, tu es un client, pas un produit. Et je ne mets jamais tout sur un seul gros serveur : mes services vivent sur plusieurs machines, pour que la chute ou la compromission de l’une laisse les autres intactes. On ne met pas tous ses œufs dans le même panier.

Infomaniak me fournit aussi ma cible de sauvegarde, Swiss Backup, un espace de stockage hébergé en Suisse lui aussi. C’est là qu’atterrissent mes backups, mais chiffrés avant l’envoi par un autre outil dont je parle plus bas, Kopia. Autrement dit, Infomaniak garde mes sauvegardes sans jamais pouvoir en lire une seule ligne.

Tailscale, le réseau qui relie tout

Tailscale est un réseau privé qui relie tous mes appareils entre eux, Macs et serveurs, par un tunnel chiffré permanent. Là où un VPN classique fait passer tout ton trafic par un serveur central (qui tombe, et tout tombe), Tailscale connecte chaque appareil directement aux autres, sans point de passage unique.

En clair : depuis n’importe où dans le monde, mon Mac atteint mes serveurs et mes services comme s’ils étaient dans la même pièce que moi, sans que j’aie besoin d’ouvrir la moindre porte sur Internet. C’est aussi le poste de commande de toute ma flotte : c’est par Tailscale que je décide quels appareils se voient, et vers quel annuaire DNS ils pointent. Cette dernière fonction, je m’en sers pour brancher toute ma flotte sur mon propre résolveur, mais ça, c’est une brique que j’héberge moi-même, on en reparle dans le bloc suivant.

Ce que j'héberge moi-même

Voilà le cœur du sujet. Tout ce qui suit tourne sur mes propres serveurs, sous mon seul contrôle. Pas de fournisseur à qui faire confiance, pas de conditions d’utilisation qui changent un matin, pas de compte qu’un algorithme suspend sans prévenir. C’est plus de travail, et ce n’est clairement pas pour tout le monde, mais c’est le bout du chemin de la souveraineté.

Stalwart, mon serveur mail à moi

Stalwart est le serveur qui gère désormais tout mon courrier électronique. C’est lui qui reçoit et envoie mes mails, à la place de Proton Mail. Il tourne sur un de mes serveurs suisses, avec mon propre nom de domaine, et je suis le seul à y avoir la main.

Pourquoi passer d’un service clé en main à mon propre serveur mail ? Pour le contrôle total. Mes messages sont stockés chez moi, dans un format que je maîtrise, avec les règles de tri, les adresses et les automatisations que je veux, sans dépendre des choix d’un fournisseur.

C’est aussi la brique la plus difficile de toute la stack, et je le dis franchement : héberger son propre mail, c’est un métier. Il faut soigner sa réputation d’expéditeur pour que tes messages n’atterrissent pas dans les spams des autres, surveiller tout ça de près, et accepter qu’une fausse manip puisse te couper le courrier pendant plusieurs jours. Si tu débutes, reste sur Proton, c’est très bien et ça suffit largement. Le mail auto-hébergé, c’est une destination, pas un point de départ.

Stripper, le portier de ta boîte mail

Le Stripper, c’est une brique maison que j’ai écrite et qui tourne sur mon propre serveur mail. Son job : inspecter chaque email, à l’entrée comme à la sortie, et le nettoyer avant qu’il ne touche quoi que ce soit.

À l’entrée, il déshabille le mail. Il vire tout l’habillage HTML, ces mises en page léchées qui cachent des pièges, et surtout il tue les images-espionnes, ces pixels invisibles qui préviennent l’expéditeur de l’instant exact où tu ouvres son message, d’où, et sur quel appareil. Ce qui arrive dans ma boîte, c’est du texte brut, lisible, sans mouchard planqué dedans.

Ensuite, il ouvre les pièces jointes et regarde sous le capot. Un document Word piégé, un PDF vérolé, un fichier déjà fiché comme malveillant : s’il flaire quelque chose, il met la pièce de côté et me livre quand même le message, avec une note en bas qui me dit ce qu’il a retiré et comment le récupérer si j’y tiens vraiment. Pas de mail perdu, jamais, juste la partie dangereuse mise en quarantaine.

Et dans l’autre sens, sur ce que j’envoie, il fait le ménage aussi. Un email sortant trimballe par défaut une foule de détails techniques sur la machine et le réseau qui l’ont émis, de quoi trahir mon matériel et à peu près où je me trouve. Le Stripper efface ces traces avant que le message ne parte, pour que mon correspondant reçoive mon texte, et rien que mon texte.

Sigil, là où je lis mes mails

Sigil, c’est une autre brique maison. Elle me sert de surface de lecture pour mon courrier : c’est l’endroit où je consulte les mails que Stalwart reçoit et que le Stripper a nettoyés, maintenant qu’Apple Mail est sorti de ma vie. Et c’est aussi, plus largement, mon outillage de développement interne, l’atelier avec lequel je bricole et fais tourner mes propres outils.

Je reste volontairement vague ici, parce que c’est du sur-mesure qui n’a d’intérêt que pour moi. Retiens juste l’idée : ce que la plupart des gens confient à des applications toutes faites, je le fais tourner sur un outil que j’ai écrit et que je maîtrise de bout en bout.

SFTPGo, partager un fichier avec l'extérieur

De temps en temps, je dois transmettre un dossier à quelqu’un qui n’est pas dans mon réseau privé, un comptable, un avocat, un partenaire. Pour ça, j’ai monté SFTPGo, un petit serveur que j’héberge et qui me sert de guichet de partage vers l’extérieur. Je dépose le fichier, la personne le récupère, sans qu’il transite par un Proton Drive, un Google Drive ou un WeTransfer.

Que ce soit clair : c’est du partage ponctuel vers des tiers, pas de la synchronisation de mes fichiers entre mes appareils. C’est un guichet, pas un cloud.

Etebase, mes contacts, mon agenda, mes tâches

Etebase est le serveur qui synchronise mes contacts, mes calendriers et mes listes de tâches entre tous mes appareils, chiffré de bout en bout, hébergé sur un de mes serveurs. Il parle les standards que comprennent la plupart des applications d’agenda et de carnet d’adresses, donc je continue d’utiliser mes apps habituelles, elles se branchent simplement sur mon serveur au lieu de celui de Google ou d’Apple.

Mes rendez-vous et mon carnet d’adresses ne devraient pas vivre dans la même boîte que mes mails, ni chez un géant qui les lit pour me vendre des choses. Avec Etebase, ils vivent chez moi, chiffrés, et personne d’autre que moi n’y accède.

Gitea, ma forge pour tout versionner

Gitea, c’est ma forge Git personnelle, hébergée sur un de mes serveurs. Derrière le mot forge, il y a une idée simple : garder l’historique complet de chaque fichier texte que je manipule, mes configurations, mes scripts, mes notes. Chaque modification est datée, tracée, réversible. Je peux revenir à n’importe quelle version d’hier ou d’il y a six mois.

GitHub appartient à Microsoft, GitLab est hébergé aux États-Unis. Ma forge à moi tourne sur un serveur suisse, derrière mon réseau privé, accessible seulement depuis mes appareils. Personne d’autre n’y a accès.

Matrix, ma messagerie instantanée chiffrée

Pour la messagerie instantanée, j’héberge mon propre serveur Matrix (avec une implémentation légère appelée conduwuit). Matrix, c’est un standard ouvert de messagerie chiffrée de bout en bout, un peu l’équivalent du mail mais pour la discussion en temps réel : chacun peut faire tourner son propre serveur, et les serveurs se parlent entre eux.

En hébergeant le mien, mes conversations ne dépendent d’aucune entreprise qui pourrait les lire, les revendre, ou fermer le service du jour au lendemain. Et le chiffrement de bout en bout fait que même moi, sur mon propre serveur, je ne vois passer que du contenu illisible.

Kopia, mes sauvegardes chiffrées avant l'envoi

Kopia est le moteur qui sauvegarde tout, mes Macs comme mes serveurs. Sa qualité principale : il chiffre, compresse et dédoublonne mes données sur ma propre machine, avant que le moindre octet ne parte. Ce n’est qu’ensuite qu’il les pousse vers Swiss Backup, l’espace de stockage suisse dont j’ai parlé dans le socle.

La nuance est importante et je la dis honnêtement : Swiss Backup, seul, chiffre bien les données sur ses disques, mais c’est Infomaniak qui détient les clés de ce chiffrement-là. C’est Kopia, par-dessus, qui transforme mes sauvegardes en bruit illisible avec une clé que je suis le seul à posséder. Résultat, ce qu’Infomaniak garde pour moi, il ne peut pas le lire : ni le contenu, ni les noms de fichiers, ni l’organisation des dossiers. Une injonction qui mettrait la main sur le stockage ne récupérerait rien d’exploitable, parce que la clé n’a jamais quitté mes machines.

La règle d’or du backup, c’est le 3-2-1 : trois copies de tes données, sur deux supports différents, dont une hors site. Kopia qui pousse vers la Suisse, c’est ma copie hors site, chiffrée de bout en bout. Et comme Kopia écrit dans un format de stockage standard, je ne suis prisonnier de personne : si je veux changer d’outil ou de fournisseur demain, mes données me suivent.

Réseau souverain, mon annuaire et ma sortie sur Internet

Quand tu tapes l’adresse d’un site dans ton navigateur, deux choses se passent en coulisses, et toutes les deux laissent des traces. D’abord, ton appareil demande à un annuaire, le DNS, à quelle adresse numérique correspond le nom du site. Ensuite, il se connecte à cette adresse. Par défaut, ton fournisseur d’accès voit les deux, et sait donc quels sites tu visites. J’ai fermé les deux fuites, chacune avec sa brique.

Pour l’annuaire, j’ai mon propre résolveur DNS, un logiciel appelé Unbound que j’héberge moi-même. Au lieu d’interroger l’annuaire de Google, de Cloudflare ou de mon fournisseur d’accès (qui en profiteraient pour noter tout ce que je consulte), mon résolveur va chercher l’information directement à la source, en remontant la chaîne officielle des serveurs qui gèrent les noms de domaine. Aucun intermédiaire commercial ne voit passer la liste des sites que je visite.

Pour la sortie sur Internet, j’utilise un exit node Tailscale, autrement dit un de mes serveurs suisses par lequel je fais ressortir tout mon trafic. Vu de l’extérieur, mes connexions semblent partir de ce serveur, pas de chez moi. Mon fournisseur d’accès, lui, ne voit plus qu’un tunnel chiffré : ni les noms des sites, ni leurs adresses de destination. Ça revient à utiliser un VPN, sauf que le serveur de sortie m’appartient et qu’aucun tiers ne renifle mon trafic au passage.

Les deux briques sont complémentaires, et c’est ensemble qu’elles ferment la porte : le résolveur rend les noms invisibles côté annuaire, l’exit node rend les destinations invisibles côté trafic. Prise séparément, chacune ne bouche que la moitié du trou.

J’ai ajouté par-dessus un blocage des pubs et des traceurs, à partir d’une liste communautaire réputée (la liste Hagezi), rafraîchie automatiquement chaque jour. L’intérêt de le faire au niveau du réseau plutôt que dans le navigateur, c’est que ça protège tout : les iPhone, où aucune extension de navigateur n’est possible, et les applications du Mac qui pistent en douce sans jamais passer par un navigateur. Une seule règle de blocage, appliquée à toute ma flotte d’un coup.

Wazuh et CrowdSec, ma tour de contrôle et mon voisinage vigilant

Tout ce qui précède n’a de sens que si mes serveurs sont surveillés et défendus. Deux briques s’en chargent.

Wazuh, c’est ma tour de contrôle. Chaque machine de mon infrastructure lui envoie en continu le récit de ce qui s’y passe. Wazuh recoupe tout ça et m’alerte dès que quelque chose cloche : une connexion qui ne devrait pas exister, un programme qui tente de tourner alors qu’il n’a rien à faire là, un fichier système modifié en douce. Sans une brique comme celle-là, tu peux te faire pénétrer et ne jamais le savoir. Avec, tu as la preuve immédiate qu’il s’est passé quelque chose, et tu peux réagir avant que ça déborde.

CrowdSec, c’est le voisinage vigilant. L’idée est simple et belle : quand un attaquant essaie de forcer la porte d’un serveur quelque part dans le monde, son adresse est signalée à tout le réseau, et tous les membres la bloquent d’avance. Mes serveurs refusent donc à l’entrée des dizaines de milliers d’adresses qui ont mal agi ailleurs, sans que j’aie eu besoin de les croiser. Et quand quelqu’un tente sa chance chez moi, j’alimente le réseau à mon tour. Chacun signale les sales gueules, tout le monde en profite.

Astro, le générateur qui fait tourner ce site

Le site MacSouverain que tu lis en ce moment tourne sur Astro, un générateur de site que j’héberge moi-même sur un serveur suisse dédié. Concrètement, Astro transforme mes textes en pages web ultra-légères et rapides : pas de grosse base de données qui tourne en permanence, pas d’écosystème de greffons douteux, pas de pisteur publicitaire embarqué. Rien que du texte servi vite et proprement.

Ce serveur est isolé du reste de mon infrastructure. Aucun lien avec mes services privés, aucun mot de passe partagé, aucune base commune. Si le site se fait attaquer, ou si je casse une configuration à trois heures du matin, les dégâts restent enfermés dans le seul périmètre du site. Compartimenter, c’est le premier réflexe.

Doctrine zéro exposition publique

Une règle chapeaute tout ce troisième bloc : aucun de mes services internes n’est joignable directement depuis Internet. Il n’y a que deux exceptions, et elles sont obligées : le serveur mail, qui doit bien recevoir du courrier du monde entier, et le site que tu lis, qui doit bien répondre à ta visite. Tout le reste, ma forge, mon agenda, ma messagerie, mes outils de supervision, vit derrière mon réseau privé Tailscale, accessible seulement depuis mes appareils.

Internet n’a pas de porte d’entrée vers ces services, parce qu’il n’y a même pas de porte. Rien à deviner, rien à scanner, rien à forcer : pour qui n’est pas sur mon réseau, le service n’existe tout simplement pas. C’est le principe du « ce qui n’est pas exposé n’est pas attaqué », et c’est ce qui referme proprement toute la stack.

Cette stack n’est pas figée. Elle évolue à mesure que les outils mûrissent, que les menaces changent, ou que je trouve mieux ailleurs. Cette page est mise à jour quand quelque chose bouge. Si tu vois une brique qui mérite d’être discutée, ou un angle que j’ai loupé, fais-moi signe.