Self-Hosting on Blog de Midiland

Nextcloud Dream : transforme ta TV Android en cadre photo connecté (sans Google)

Wed, 07 Oct 2026 20:00:00 +0100

Ma TV passe beaucoup plus de temps allumée sur l’économiseur d’écran que sur un film. Pendant des années, c’était Backdrop, l’économiseur de Google : des paysages, des œuvres d’art, et en option… tes photos Google Photos.

Sauf que mes photos, elles ne sont plus chez Google depuis longtemps : elles sont sur mon homelab dans un Nextcloud.

Je me suis donc lancé avec Claude Code pour développer mon propre économiseur d’écran. Il s’appelle Nextcloud Dream, il est open source, et aujourd’hui je vais te montrer comment l’installer et le configurer sur ta box Android TV. Chez moi, ça tourne sur une Mi Box S, qui n’est clairement pas une bête de course.

Ce que ça fait

En deux mots : tu mets des photos dans un dossier Nextcloud, et ta TV les affiche en diaporama :

Fondu enchaîné entre les photos, toutes les 20 secondes (réglable).
Date et lieu de la photo en bas de l’écran, lus directement dans les infos de la photo.
Live Photos : Si une photo est une Live Photo (iPhone Live Photo ou Pixel Motion Photo), le clip vidéo silencieux se joue une fois avant de revenir à la photo fixe. Tu peux désactiver cette option dans les paramètres si tu préfères.
L’heure dans le coin, qui se décale légèrement chaque minute pour ne pas marquer les écrans OLED.
Ça marche même quand le serveur est coupé : les dernières photos vues restent en cache sur la box.
Aucune limite de photos : elles sont téléchargées au fur et à mesure, en version réduite par Nextcloud.

Les prérequis

Une box ou TV Android TV en Android 9 minimum (Mi Box S, Chromecast avec Google TV, TV Sony, Philips…).
Un serveur Nextcloud accessible en HTTPS avec un certificat valide.
Optionnel mais vivement conseillé :
- Un ordinateur avec ADB : il est fourni avec Android Studio, ou en version légère avec les platform-tools.
- L’application Google TV sur ton téléphone. Tu vas comprendre pourquoi à l’étape 4.

Étape 1 : Préparer Nextcloud

Commence par créer un dossier pour les photos de l’économiseur, par exemple /Photos/ScreenSaver. Les sous-dossiers sont pris en compte.

Ensuite, on crée un mot de passe d’application. C’est un mot de passe dédié à la box, que tu peux révoquer à tout moment sans toucher à ton mot de passe principal :

Dans Nextcloud, va dans Paramètres personnels → Sécurité.
Tout en bas, dans Appareils & sessions, donne un nom (« TV salon » par exemple).
Clique sur Créer un nouveau mot de passe d’application.

Info

Personnellement, je suis même allé plus loin : j’ai créé un utilisateur dédié dans Nextcloud pour ça, qui partage le dossier ScreenSaver en écriture avec ma compagne et moi. Comme ça, si le token venait à fuir, ce serait potentiellement moins grave.

Étape 2 : Installer l’app

Tu as plusieurs options pour installer l’APK. Voici les méthodes, de la plus accessible à la plus bidouilleuse :

Méthode 1 : Avec Downloader (la plus simple)

Idéal si tu veux éviter les câbles et les lignes de commande.

Installe l’appli Downloader depuis le Play Store sur ta box :

Ouvre le Google Play Store.
Cherche « Downloader » (l’icône est un nuage avec une flèche vers le bas).
Installe-la.

Télécharge l’APK :

Ouvre Downloader.
Dans l’URL, entre : https://github.com/midiland/nextcloud-dream/releases/latest/download/nextcloud-dream.apk
Appuie sur Go.

Installe l’APK :

Une fois le téléchargement terminé, clique sur Install.
Si un message d’avertissement apparaît (« Installation de sources inconnues »), coche « Toujours autoriser » et valide.

Lance l’app :

Une fois installée, ouvre Nextcloud Dream depuis le menu de ta TV.
(On configurera tout ça à l’étape 3 !)

Info

Si tu as un message te disant impossible d’installer une source inconnue : va dans Paramètres → Sécurité → Sources inconnues et active l’option pour l’app Downloader.

Méthode 2 : Avec une clé USB

Parfait si ta box n’a pas accès à Internet ou si tu préfères éviter les apps tierces.

Matériel nécessaire :

Une clé USB (formatée en FAT32 ou exFAT).
Un ordinateur (Windows/macOS/Linux) pour copier le fichier.

Étapes :

Télécharge l’APK sur ton PC :
- Va sur la page des releases GitHub.
- Télécharge le fichier .apk (ex: Nextcloud-Dream-v1.0.0.apk).
Copie l’APK sur ta clé USB :
- Branche la clé USB à ton PC.
- Copie-colle le fichier .apk à la racine de la clé.
Branche la clé à ta box :
- Insère la clé dans un port USB de ta TV/box.
Installe l’APK depuis la clé :
- Sur ta TV, ouvre l’explorateur de fichiers (ex: Files by Google).
- Navigue jusqu’à ta clé USB et clique sur le fichier .apk.
- Valide l’installation.

Méthode 3 : Avec ADB (pour les aventuriers du terminal)

La méthode la plus « pro », mais aussi la plus risquée si tu fais n’importe quoi. Suis les étapes à la lettre !

Avertissement

ADB permet d’installer des apps sans passer par l’écran de ta TV, mais c’est aussi une porte ouverte aux pirates si tu ne fais pas gaffe. Ne partage jamais ton code ADB avec un inconnu, et désactive le débogage USB quand tu as fini !

Prérequis :

Un PC (Windows/macOS/Linux) avec ADB installé.
Le débogage USB activé sur ta box (voir ci-dessous).
L’APK téléchargé (comme dans la Méthode 2).

Étapes :

Active le mode développeur sur ta box :
- Va dans Paramètres → À propos.
- Clique 7 fois sur « Numéro de build » jusqu’à voir le message « Vous êtes développeur ! ».
- Retourne dans Paramètres → Système → Options pour les développeurs.
- Active :
  - Débogage USB
  - Installation via USB (si l’option existe)
Trouve l’adresse IP de ta box :
- Va dans Paramètres → Réseau et Internet → Wi-Fi.
- Note l’adresse IP (ex: 192.168.1.42).
Branche ta box à ton PC en USB (optionnel mais recommandé) :
- Si tu veux éviter les problèmes de réseau, branche ta box à ton PC avec un câble USB-C/USB-A.
- Sinon, utilise le Wi-Fi (mais c’est moins stable).
Installe l’APK via ADB :
- Ouvre un terminal (Linux/macOS) ou l’invite de commandes (Windows).
- Tape la commande suivante pour vérifier que ta box est détectée :
  - En filaire (USB) :
    - adb devices
  - Installe l’APK :
    - adb install /chemin/vers/Nextcloud-Dream.apk (Remplace /chemin/vers/ par le chemin réel du fichier sur ton PC.)
- Si tu es en Wi-Fi, utilise plutôt :
  - adb connect 192.168.1.42:5555
  - adb install Nextcloud-Dream.apk

Désactive le débogage USB quand c’est fait :

Va dans Options pour les développeurs et désactive Débogage USB.

Étape 3 : Configurer l’application

Ouvre Nextcloud Dream depuis la liste des applications et remplis les champs :

URL du serveur : https://cloud.ton-domaine.fr
Identifiant et mot de passe d’application (celui de l’étape 1)
Dossier de photos : /Photos/ScreenSaver
et si tu veux, la durée d’affichage, l’horloge, la date et le lieu, la taille du cache…

Taper une URL et un mot de passe de 29 caractères avec la télécommande, c’est le genre de chose qui fait regretter d’être né. C’est là que l’application Google TV sur ton téléphone sauve des vies : elle se connecte à la box et te laisse taper avec le clavier du téléphone.

Si tu as suivi l’installation par ADB tu peux utiliser :

1
2


# sélectionne le champ sur la TV, puis :
adb shell input text "https://cloud.ton-domaine.fr"

Clique sur Tester la connexion : tu dois voir « Connexion réussie : XX photos trouvées ».

Ensuite Enregistrer et synchroniser.

Étape 4 : Activer l’économiseur d’écran

Va dans Paramètres → Préférences de l’appareil → Économiseur d’écran.
Choisis Nextcloud Dream.
Règle le délai dans Délai avant activation.
Démarrer maintenant pour admirer le résultat.

Et voilà : laisse ta TV tranquille quelques minutes et tes photos défilent.

Note

Certaines versions d’Android TV et de Google TV cachent les économiseurs tiers dans ce menu. Dans ce cas, on passe en force avec ADB :

1
2


adb shell settings put secure screensaver_enabled 1
adb shell settings put secure screensaver_components fr.midiland.nextclouddream/.dream.NextcloudDreamService

Dépannage

« Aucune photo disponible » : le serveur est injoignable et le cache est vide, ou le dossier est vide. Le bouton Tester la connexion te dira lequel des deux.
Erreur d’authentification : vérifie l’identifiant et le mot de passe d’application. C’est bien l’identifiant Nextcloud, pas forcément ton adresse e-mail.
Dossier introuvable : le chemin est relatif à la racine de tes fichiers Nextcloud. Et si c’est un dossier partagé, relis le conseil de l’étape 1.
Pas de lieu sous la date : la photo n’a tout simplement pas de coordonnées GPS. C’est le cas de la plupart des appareils photo (mon vieux Sony, par exemple). Les photos de smartphone en ont presque toujours.
L’économiseur ne se lance pas : vérifie qu’il est bien sélectionné avec adb shell dumpsys dreams | grep mCurrentDreamName.

Images de Nextcloud Dream

Comment ça marche, en coulisses

Pour les curieux. Toutes les 6 heures, l’application récupère la liste des photos via WebDAV, puis lit seulement le début de chaque fichier pour en extraire la date et les coordonnées GPS (pas besoin de télécharger 6 Mo pour lire trois lignes d’EXIF). Le nom du lieu est trouvé par le géocodeur d’Android.

Pendant le diaporama, chaque photo est demandée à Nextcloud en version déjà réduite (environ 1 Mo au lieu de 5 à 10), avec toujours une photo d’avance pour que le fondu ne soit jamais en retard. Les dernières photos vues restent dans un petit cache de 50 Mo. Si ton serveur fait la sieste, l’économiseur continue avec elles et retente sa chance toutes les 5 minutes.

Résultat : la box ne télécharge presque rien, et ton serveur n’est pas sollicité inutilement la nuit.

Conclusion

Je suis assez content du résultat : ma TV affiche enfin mes photos, sans passer par Google, et ça tient sur une Mi Box dans seulement 2 Mo d’application.

Redécouvrir au hasard une photo de vacances d’il y a cinq ans, avec la date et le lieu en prime, c’est franchement sympa.

Le code est sur GitHub, sous licence Apache 2.0. Si tu as une idée, un bug ou une box sur laquelle ça ne marche pas, ouvre une issue : je suis curieux de savoir sur quoi tu vas le faire tourner.

La forteresse SSH : Configurer son accès distant

Fri, 26 Dec 2025 11:47:00 +0100

Ça fait plusieurs années que j’ai un serveur avec un OpenSSH exposé sur internet, et les premières fois quand je suis allé voir dans les logs, j’ai halluciné devant le nombre de tentatives de connexion. Et oui, il y a des bots sur le net qui passent leur temps à faire du brute-force sur les ports SSH. C’est pour ça que je te propose un petit tuto où je vais t’exposer ma configuration SSH. Je ne suis pas professionnel, mais je pense que c’est le minimum. Si tu as d’autres tips, n’hésite pas à me contacter, je mettrai l’article à jour si tes tips me semblent pertinents.

Pourquoi OpenSSH

Quand on travaille sur un serveur à distance, on a besoin de l’administrer. En général, sur un serveur avec un OS qui mérite de porter ce nom, on peut faire tourner un serveur SSH.

Grâce au serveur SSH, tu pourras te connecter au terminal du serveur distant : cela permet d’administrer le serveur.

La configuration par défaut du serveur SSH installé par défaut sur le serveur Debian 13 (stable depuis le 15 novembre 2025, avec OpenSSH) peut être durcie.

Les mises à jour

Première mesure de sécurité : il faut mettre à jour régulièrement le serveur OpenSSH. C’est l’un des serveurs les plus utilisés, ce qui en fait une cible privilégiée pour les attaquants.

Récemment, plusieurs vulnérabilités ont été découvertes :

CVE-2025-26465 : Cette vulnérabilité permet à un attaquant d’usurper l’identité, ce qui peut conduire à des attaques de type homme-du-milieu. La mise à jour vers la version 9.9p2 a permis de résoudre ce problème.

CVE-2025-26466 : Une faille dans sshd expose OpenSSH à une attaque par déni de service (DoS). La mise à jour vers la version 9.9p2 a permis de résoudre ce problème.

CVE-2024-6387 (RegreSSHion) : Cette vulnérabilité critique, signalée le 1er juillet 2024, affecte les systèmes Linux basés sur glibc et permet l’exécution de code à distance (RCE) non authentifiée en tant que root. La mise à jour vers la version 9.8p1 a corrigé cette vulnérabilité.

Ces exemples illustrent qu’il faut maintenir OpenSSH à jour pour se protéger contre des vulnérabilités critiques. Négliger les mises à jour expose ton infrastructure à des risques majeurs. Il est donc recommandé de surveiller régulièrement les annonces de sécurité et d’appliquer les correctifs dès leur disponibilité.

Les prérequis

Un serveur sous Linux (Debian, Ubuntu, Rocky…) ou OpenBSD.
Un accès root ou sudo sur ce serveur.
Un client SSH sur ton PC (Linux, Mac ou Windows avec WSL/PuTTY).

Avertissement

Exposer un serveur sur Internet n’est jamais anodin. Une mauvaise configuration, c’est la porte ouverte aux bots, aux scripts malveillants et aux maux de tête.

Note bien ceci : Toutes les infos que je vais te transmettre sont basées sur mes configurations personnelles. Je suis un passionné, pas un expert certifié en cybersécurité. Prends ça comme un partage d’expérience, pas comme un audit blindé par l’ANSSI !

Étape 1 : Création d’une clé SSH

Si tu te logues encore avec un mot de passe classique password1234, arrête tout. On va passer aux clés cryptographiques. C’est beaucoup plus robuste.

Sur ton PC local (pas le serveur), ouvre ton terminal préféré et lance :

1

ssh-keygen -t ed25519 -C "jon@doe.fr"

Note : On utilise l’algo ed25519 car il est plus moderne, plus rapide et plus sûr que le vieux RSA.

Tu peux définir le nom de la clé, dans mon exemple ~/.ssh/id_ed25519_vps

Tu peux ajouter une passphrase, elle te sera demandée à chaque utilisation

Info

Mets une passphrase ! Si on te vole ton PC portable non verrouillé, ta clé privée sera compromise. Avec une passphrase, le voleur ne pourra rien en faire.

La clé se trouve dans ton dossier home, dans le sous-dossier .ssh.

Une fois générée, ta clé est dans le dossier .ssh de ton dossier personnel. Il faut maintenant envoyer la partie « publique » sur ton serveur :

1

ssh-copy-id -i ~/.ssh/id_ed25519_vps.pub user@ip-du-serveur

Étape 2 : Configuration d’OpenSSH

Maintenant que ta clé est en place, on passe aux choses sérieuses sur le serveur. Le fichier de config se trouve dans /etc/ssh/sshd_config.

Tu peux l’ouvrir avec ton éditeur favori : vim pour les Jedi, nano pour les Padawans.

Voici les paramètres à changer ou ajouter :

Paramètre	Valeur recommandée	Explication
`PermitRootLogin`	`no`	Indispensable. On ne se connecte jamais directement en root. Tu te connectes avec ton user, puis tu fais `sudo`.
`PasswordAuthentication`	`no`	On désactive les mots de passe. Clés SSH obligatoires !
`Port`	`2222`	Changer le port 22 par défaut réduit considérablement le bruit dans les logs (les bots tapent surtout le 22). Ce n’est pas de la « vraie » sécurité, mais ça soulage.
`PubkeyAuthentication`	`yes`	Assure que l’authentification par clé est active.
`ChallengeResponseAuthentication`	`no` (optionnel selon distro)	Désactive PAM pour limiter l’auth via password.
`AllowAgentForwarding`	`no`	Bloque le relais d’agent (sauf si tu sais exactement pourquoi tu en as besoin).
`PermitTunnel`	`no`	Désactive la possibilité de créer des tunnels réseau via SSH pour limiter les abus.
`X11Forwarding`	`no`	Pas de transfert d’interface graphique (inutile sur un serveur et vecteur d’attaque).
`MaxAuthTries`	`3`	Au bout de 3 essais ratés, on coupe. Pas de temps à perdre.
`ClientAliveCountMax`	`3`	Ferme la connexion après 3 requêtes sans réponse.
`ClientAliveInterval`	`60`	Si la connexion reste sans réponse pendant 60 secondes, elle est coupée.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19
20


# --- Sécurisation OpenSSH by Midiland ---

# Port personnalisé
Port 2222

# Authentification
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
ChallengeResponseAuthentication no

# Restrictions de forwarding
AllowAgentForwarding no
PermitTunnel no
X11Forwarding no

# Tentatives & timeout
MaxAuthTries 3
ClientAliveInterval 60
ClientAliveCountMax 3

Vérification et application

Avant de relancer le service, on vérifie toujours (au risque de tout casser) que la syntaxe est bonne :

1

sudo sshd -t

Si la commande ne renvoie rien, c’est gagné. Si elle râle, corrige les erreurs indiquées.

Ensuite, on redémarre le service :

1

sudo systemctl restart sshd

Attention

Ne ferme JAMAIS ta session SSH actuelle après avoir redémarré le service SSH. Ouvre un nouveau terminal et essaie de te connecter avec ta nouvelle config (nouveau port, clé SSH).

Commande de test :

1

ssh -i ~/.ssh/id_ed25519 -p 2222 user@ip-du-serveur

Si ça marche, bravo ! Si ça échoue, tu as toujours ta première fenêtre ouverte pour corriger le tir sans t’être enfermé dehors.

Configuration des Ciphers et algorithmes pour OpenSSH

Pour ceux qui veulent la ceinture et les bretelles, on peut forcer OpenSSH à n’utiliser que des algorithmes de chiffrement ultra-robustes et récents.

Attention : Cette config peut bloquer la connexion depuis de très vieux clients SSH.

Dans le fichier /etc/ssh/sshd_config.d/ciphers.conf, il faut le créer s’il n’existe pas.

Ce bloc restreint les algorithmes autorisés aux plus modernes et sûrs, selon les recommandations de ssh-audit.com :

KexAlgorithms : échanges de clés (Key Exchange) — on garde les courbes elliptiques récentes (Curve25519, sntrup761) et les groupes Diffie-Hellman solides.
Ciphers : algorithmes de chiffrement symétrique — ChaCha20-Poly1305 et AES en mode GCM/CTR uniquement.
MACs : codes d’authentification de message — HMAC-SHA2 et UMAC en mode « encrypt-then-MAC » (-etm).
HostKeyAlgorithms et PubkeyAcceptedAlgorithms : types de clés de serveur et de client acceptés — Ed25519 en priorité, RSA 3072 bits minimum.

 1
 2
 3
 4
 5
 6
 7
 8
 9
10
11
12
13
14
15
16
17
18
19


# Restrict key exchange, cipher, and MAC algorithms, as per sshaudit.com
# hardening guide.
KexAlgorithms sntrup761x25519-sha512,sntrup761x25519-sha512@openssh.com,curve25519-sha256,curve25519-sha256@libssh.org,gss-curve25519-sha256-,diffie-hellman-group16-sha512,gss-group16-sha512-,diffie-hellman-group18-sha512,diffie-hellman-group-exchange-sha256

Ciphers chacha20-poly1305@openssh.com,aes256-gcm@openssh.com,aes256-ctr,aes192-ctr,aes128-gcm@openssh.com,aes128-ctr

MACs hmac-sha2-256-etm@openssh.com,hmac-sha2-512-etm@openssh.com,umac-128-etm@openssh.com

HostKeyAlgorithms sk-ssh-ed25519-cert-v01@openssh.com,ssh-ed25519-cert-v01@openssh.com,rsa-sha2-512-cert-v01@openssh.com,rsa-sha2-256-cert-v01@openssh.com,sk-ssh-ed25519@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256

RequiredRSASize 3072

CASignatureAlgorithms sk-ssh-ed25519@openssh.com,ssh-ed25519,rsa-sha2-512,rsa-sha2-256

GSSAPIKexAlgorithms gss-curve25519-sha256-,gss-group16-sha512-

HostbasedAcceptedAlgorithms sk-ssh-ed25519-cert-v01@openssh.com,ssh-ed25519-cert-v01@openssh.com,sk-ssh-ed25519@openssh.com,ssh-ed25519,rsa-sha2-512-cert-v01@openssh.com,rsa-sha2-512,rsa-sha2-256-cert-v01@openssh.com,rsa-sha2-256

PubkeyAcceptedAlgorithms sk-ssh-ed25519-cert-v01@openssh.com,ssh-ed25519-cert-v01@openssh.com,sk-ssh-ed25519@openssh.com,ssh-ed25519,rsa-sha2-512-cert-v01@openssh.com,rsa-sha2-512,rsa-sha2-256-cert-v01@openssh.com,rsa-sha2-256

Un petit redémarrage :

1

sudo systemctl restart sshd

Tu peux même aller frimer en testant ton serveur sur ssh-audit.com pour voir ta note.

Dépannage (Oups, je suis bloqué !)

Tu as redémarré le service et tu ne peux plus te connecter ?

Pas de panique (enfin, un peu quand même).

→ Vérifie ton pare-feu : tu as oublié d’ouvrir le nouveau port (2222) ! Chez ton hébergeur, autorise le port 2222/tcp.

Conclusion

Et voilà ! Tu as maintenant un serveur OpenSSH aux petits oignons. La surface d’attaque est réduite drastiquement : plus de mot de passe, plus de root direct, port changé et crypto renforcée. Les bots vont se casser les dents dessus.

C’est une première étape essentielle. Pour aller plus loin, je te conseille d’installer Fail2Ban qui se chargera de bannir automatiquement les IPs des petits malins qui insisteraient un peu trop, on le fera sûrement dans un autre tuto.

Si tu as d’autres recommandations, envoie-moi un mail ou un pouet sur Mastodon.