openDesk rend le logiciel souverain. Ce guide montre qui peut déchiffrer les documents, ce qui distingue Community et Enterprise, et comment garder les clés dans votre propre HSM.
openDesk réunit des logiciels libres pour le poste de travail de l'administration publique : Nextcloud pour les fichiers, Collabora Online pour les documents bureautiques, ainsi que la messagerie, le calendrier, le chat, la visioconférence et la gestion de projet. Il est publié par le Centre pour la souveraineté numérique de l'administration publique (ZenDiS), pour le compte du ministère fédéral allemand de l'Intérieur (BMI) [1]. openDesk est notamment utilisé à l'Institut Robert Koch, à l'Office fédéral de la navigation maritime et de l'hydrographie (BSH) et à la FITKO ; la BWI a signé un contrat-cadre pour sa mise à disposition auprès de la Bundeswehr [2].
Le logiciel est donc souverain : code source ouvert, exploitation en Allemagne ou par l'administration elle-même, aucune dépendance à un éditeur unique. La question des clés n'est pas encore réglée pour autant. Ce guide montre qui peut déchiffrer les documents dans openDesk, ce qui distingue l'édition Community de l'édition Enterprise, et comment une administration conserve les clés maîtresses de ses fichiers dans son propre HSM, sans modifier openDesk.
La souveraineté des données comporte trois niveaux :
C'est le troisième niveau qui détermine ce que coûte une faille dans la plateforme web. Le module CON.1 de l'IT-Grundschutz du BSI exige de conserver les clés à longue durée de vie hors des systèmes qui les utilisent [4]. Or, dans une installation standard de Nextcloud, la clé du chiffrement côté serveur se trouve sur le serveur qui affiche les documents [5].
La documentation publique d'openDesk mentionne un chiffrement de bout en bout pour le chat et OpenPGP pour la messagerie, mais aucun chiffrement des fichiers avec des clés détenues par l'administration [3]. Pour les fichiers, ce sont les options du Nextcloud intégré qui s'appliquent : le chiffrement côté serveur, avec lequel le serveur peut déchiffrer, et le chiffrement de bout en bout, qui exclut l'édition dans le navigateur. La comparaison de ces modèles est décrite dans l'article Chiffrement Nextcloud comparé.
openDesk existe en Community Edition et en Enterprise Edition. Les deux contiennent les mêmes composants fichiers et bureautiques, Nextcloud 33 et Collabora Online 26.04 [1]. La différence porte sur le support et les correctifs de sécurité.
| openDesk Community | openDesk Enterprise | openDesk avec DuoKey SecureFolder | |
|---|---|---|---|
| Éditeur | ZenDiS, pour le compte du BMI [1] | ZenDiS | ZenDiS et DuoKey |
| Composants fichiers et bureautiques | Nextcloud 33 et Collabora Online 26.04 [1] | Idem | Idem : les versions sur lesquelles la passerelle est validée |
| Support | Communauté, sans engagement de service [6] | Support avec SLA, correctifs, 2e et 3e niveau [6] | Support DuoKey pour SecureFolder |
| Correctifs de sécurité Nextcloud | Publics | Y compris les correctifs réservés à Nextcloud Enterprise [6] | Selon l'édition d'openDesk |
| Clés de fichiers détenues par l'administration | Non mentionnées dans la documentation publique [3] | Non mentionnées dans la documentation publique | Oui : KEK dans le HSM de l'administration |
| Coédition de documents chiffrés | Non documentée | Non documentée | Oui |
| Hébergement SaaS | Sans objet | Partenaires conformes au catalogue BSI C5 [3] | Passerelle chez l'administration ou chez DuoKey (UE ou Suisse) |
L'édition Enterprise réduit la fenêtre pendant laquelle une faille connue reste ouverte. Elle ne change pas qui peut déchiffrer les fichiers. Les clés détenues par le client ne remplacent donc pas Enterprise, elles la complètent : Enterprise réduit la probabilité d'une compromission, une clé hors de la plateforme en limite les conséquences.
DuoKey SecureFolder a été validé sur openDesk Community Edition v1.20.0 (Nubus, Nextcloud 33.0.9, Collabora Online 26.04.4), via les mécanismes de personnalisation officiels et sans modification d'openDesk. L'authentification passe par OpenID Connect via le Keycloak d'openDesk ; la passerelle accède à Nextcloud avec le jeton de l'utilisateur.
Le principe :
Pour les utilisateurs, peu de choses changent : une nouvelle entrée de menu, la même interface, la même coédition.
Schéma 1. Modes d'exploitation. En rouge : la zone d'édition, la seule qui voit du texte en clair.
Pour le modèle SaaS, l'architecture est définie et un environnement de démonstration est en préparation. Un hébergement en Suisse est également prévu. Pour démarrer aujourd'hui, on commence par l'exploitation sur site ou hybride.
Schéma 2. Séparation des rôles.
Un document ne s'ouvre que si deux contrôles sont satisfaits : le partage Nextcloud doit exister, et le Cockpit doit confirmer le droit sur la clé de dossier. Si l'administrateur Nextcloud ne gère pas également le Cockpit, aucune équipe ne peut à elle seule accéder aux dossiers confidentiels. Sur demande, le principe des quatre yeux s'applique aux droits.
Sources vérifiées du 8 au 10 novembre 2026.
Écrit par
DuoKey Team
Ressources associées
Dites-nous où le contrôle est difficile aujourd’hui. Nous vous aiderons à définir une prochaine étape concrète.
