Les alternatives à Notion en self-hosted qui chiffrent vraiment tes données (2026)

En bref. La plupart des alternatives à Notion que tu peux self-héberger (AppFlowy, Outline, Docmost, AFFiNE) te rendent le contrôle du serveur, pas le chiffrement du contenu : tes documents vivent en clair dans une base Postgres que quiconque contrôle la machine peut lire. "Self-hosted" et "chiffré" sont deux garanties différentes qu'on confond tout le temps. Les seules options qui chiffrent réellement le contenu avant qu'il touche le stockage sont d'un autre genre : Anytype, Notesnook, Standard Notes, SiYuan, Joplin (chiffrement bout en bout optionnel ou natif), et Filarr, qui chiffre chaque fichier en AES-256-GCM directement sur ton disque, sans même exiger de serveur. Si ton but réel c'est "personne d'autre ne lit mes notes", tu veux du chiffrement, pas juste un Docker qui tourne chez toi.

Le malentendu de départ : self-hosted ne veut pas dire chiffré

Il y a une phrase que je lis dix fois par semaine sur r/selfhosted et dans les issues GitHub : "je cherche une alternative à Notion que je peux héberger moi-même pour que mes données soient privées". L'intention est excellente, mais elle repose sur un raccourci mental qui coûte cher. Héberger un logiciel toi-même règle une question, celle de savoir chez qui vivent les octets. Ça n'en règle absolument pas une autre, bien plus importante pour la plupart des gens : est-ce que ces octets sont lisibles par celui qui met la main dessus. Or dans l'immense majorité des clones de Notion open source, la réponse est oui. Tes pages, tes bases de données, tes tâches, tes documents partagés, tout ça atterrit dans une base PostgreSQL en texte clair, ou presque. Le fait que cette base tourne sur ton VPS à toi plutôt que sur les serveurs de Notion ne change rien à sa lisibilité intrinsèque.

Quand j'ai commencé à construire Filarr, c'est exactement le piège que je voulais éviter, et c'est pour ça que je passe autant de temps à défaire ce malentendu avant de comparer quoi que ce soit. Prends une seconde et imagine ton propre serveur self-hosted comme une maison. Le self-hosting, c'est posséder la maison au lieu de louer un appartement chez Notion. C'est bien, tu ne dépends plus de leur bon vouloir, tu peux couper le courant quand tu veux, personne ne peut te mettre dehors. Mais si tes documents traînent en clair sur la table de la cuisine, le premier qui entre les lit. Un backup mal configuré qui fuite, un port Postgres exposé sur Internet, une clé SSH volée, un employé de ton hébergeur cloud qui monte le disque, une sauvegarde chez un tiers : dans tous ces cas, la propriété de la maison ne te protège pas. Le chiffrement, lui, c'est mettre tes documents dans un coffre dont toi seul as la combinaison. Peu importe qui entre dans la maison, il tombe sur du bruit illisible.

Ces deux propriétés sont orthogonales. Tu peux avoir l'une sans l'autre. Notion cloud n'a ni self-hosting ni chiffrement bout en bout (il chiffre au repos avec ses propres clés, ce qui ne te protège pas de Notion lui-même, comme je l'explique dans ce que veut dire vraiment "Notion est-il chiffré"). Un AppFlowy self-hosted te donne le self-hosting sans le chiffrement de contenu. Notesnook cloud te donne le chiffrement bout en bout sans self-hosting par défaut. Filarr en local te donne le chiffrement sans avoir besoin d'héberger quoi que ce soit. Et quelques rares outils te donnent les deux à la fois. Tout l'enjeu de cet article, c'est de te faire tenir ces deux fils séparés dans la tête, parce que 90% des "guides d'alternatives self-hosted à Notion" les mélangent joyeusement et te recommandent des outils qui ne chiffrent rien en te promettant la vie privée.

Cette confusion n'est pas anodine. Elle produit des décisions concrètement dangereuses. Des gens montent un Outline sur un VPS à 5 euros, y déversent des notes de thérapie, des contrats, des mots de passe, des idées de boîte, en pensant que c'est "privé parce que c'est chez eux", puis ce VPS se fait défoncer par une CVE non patchée six mois plus tard et tout part en clair. Le self-hosting déplace la responsabilité de la sécurité sur tes épaules sans te donner l'outil qui rend cette responsabilité tenable. Le chiffrement de bout en bout, à l'inverse, rend une bonne partie de ta négligence inoffensive : même si tu te fais pirater, l'attaquant récupère des blobs illisibles. C'est cette asymétrie qui devrait guider ton choix, pas le logo open source ni le nombre d'étoiles GitHub.

Une histoire rapide des deux familles

Pour comprendre pourquoi le paysage ressemble à ça, il faut revenir aux origines. La première famille, celle des clones de Notion self-hostables, est née d'une frustration de développeurs et d'équipes tech : ils voulaient un wiki interne joli, éditable en blocs, avec des bases de données et des vues Kanban, sans envoyer leurs specs produit chez un SaaS américain. Outline est probablement le doyen crédible du lot, pensé dès le départ comme un wiki d'équipe soigné avec SSO, recherche puissante et une vraie ergonomie collaborative. AppFlowy est arrivé en se présentant explicitement comme l'alternative open source à Notion, sous licence AGPL-3.0, avec un client natif écrit en Flutter et Rust pour la performance, et un serveur de synchronisation, AppFlowy Cloud, que les équipes peuvent héberger elles-mêmes via Docker. AFFiNE a poussé l'ambition plus loin encore en fusionnant l'éditeur en blocs avec un canvas infini de type whiteboard dans un seul espace, mais reste à ce jour en pré-1.0 (la version stable tournait autour de 0.26.3 au printemps 2026), ce qui veut dire qu'il faut épingler ses images Docker et tester ses montées de version au lieu de le traiter comme un socle immuable. Docmost, enfin, est le petit dernier pragmatique : le plus simple à déployer des quatre, un seul docker-compose qui lève l'app, Postgres et Redis, taillé pour les équipes qui veulent une base de connaissances sans y passer leurs week-ends.

Ce qui unit toute cette famille, ce n'est pas seulement l'esthétique Notion. C'est l'architecture. Tous sont pensés comme des applications serveur classiques : un backend, une base relationnelle, du collaboratif temps réel via websockets, du stockage d'objets pour les pièces jointes. Cette architecture est excellente pour la collaboration en équipe, pour la recherche full-text, pour les permissions granulaires. Mais elle a une conséquence directe et rarement dite : le serveur doit pouvoir lire le contenu pour faire son travail (indexer, fusionner les éditions concurrentes, rendre les pages). Un serveur qui lit le contenu est un serveur qui stocke ce contenu de façon lisible. Le chiffrement bout en bout, où le serveur ne voit que du chiffré, est fondamentalement incompatible avec ce modèle de collaboration temps réel côté serveur. C'est un choix d'architecture, pas un oubli qu'un patch corrigerait.

La seconde famille est née d'une frustration inverse, celle de gens qui plaçaient la confidentialité avant la collaboration. Standard Notes, lancé au milieu des années 2010, a fait du chiffrement de bout en bout et de la simplicité radicale son identité, avec un modèle zero-knowledge et un historique d'audits parmi les plus longs du secteur ; il a été racheté par Proton en 2024, ce qui l'a arrimé à un écosystème privacy plus large. Notesnook est arrivé plus tard en modernisant la recette : chiffrement bout en bout de tout, y compris les pièces jointes, une app mobile soignée, et surtout un serveur de synchronisation entièrement open source que tu peux self-héberger (bâti en .NET 8, avec MongoDB et Minio), ce qui te donne le premium gratuitement si tu tiens ta propre infra. SiYuan, venu de l'univers PKM chinois, a explosé en popularité (plus de 42 000 étoiles GitHub) avec une approche différente encore : des notes stockées en fichiers locaux, une synchro chiffrée de bout en bout et incrémentale, et un déploiement Docker possible pour un accès depuis le téléphone en LAN. Anytype, enfin, a poussé la logique jusqu'au bout avec une architecture pair-à-pair chiffrée de bout en bout, un protocole de synchro (any-sync) sous licence MIT, un mode local-only et la possibilité d'héberger son propre nœud de backup.

Ces deux familles ne se sont pas rencontrées par hasard : elles répondent à deux peurs distinctes. La première a peur de la dépendance ("je ne veux pas être à la merci d'un SaaS"). La seconde a peur de la surveillance ("je ne veux pas que quiconque lise mes notes"). Filarr, honnêtement, est né de la seconde peur mais en refusant le compromis habituel qu'elle impose, à savoir renoncer aux fichiers et à un vrai espace de travail pour se contenter d'un carnet de notes chiffré. J'ai raconté ce cheminement en détail dans pourquoi j'ai construit Filarr, et il tient en une phrase : je voulais un seul endroit chiffré pour mes notes ET mes fichiers ET le graphe qui les relie, sans serveur obligatoire, et rien ne le faisait.

La fracture philosophique, déroulée sur un scénario concret

Prenons un cas précis pour voir la fracture à l'œuvre. Tu es consultant indépendant. Tu travailles sur trois clients en parallèle : un cabinet d'avocats, une startup en levée de fonds, et une association. Tu stockes pour chacun des notes de réunion, des contrats PDF, des tableaux de suivi, quelques mots de passe d'accès, et des brouillons de recommandations sensibles. Tu veux que ça soit privé, tu veux y accéder de ton laptop et de ton téléphone, et tu n'as pas envie de le confier à Notion. Regardons ce qui se passe réellement selon la famille que tu choisis.

Scénario A, tu montes AppFlowy Cloud ou Docmost sur un VPS. Tu passes une soirée sur le docker-compose, tu configures un reverse proxy, un certificat, tu ouvres les bons ports. Ça marche, c'est joli, c'est chez toi. Trois mois plus tard, tu pars deux semaines en vacances sans avoir vu passer une CVE critique sur une dépendance. Un scanner automatisé trouve ton instance, exploite la faille, dump ta base Postgres. Résultat : les contrats du cabinet, la deck de levée de la startup, tes mots de passe d'accès, tout est exfiltré en clair, parfaitement lisible. Le self-hosting t'a donné le contrôle et l'illusion de la sécurité, mais comme le contenu n'était jamais chiffré côté application, ta seule ligne de défense était ta rigueur d'ops, et elle a lâché une fois. Une seule fois suffit.

Scénario B, tu utilises Notesnook self-hosted ou Standard Notes. Même serveur, même VPS, même CVE, même dump de base. Sauf que cette fois, l'attaquant récupère des blobs chiffrés bout en bout. Sans ta clé, qui n'a jamais quitté tes appareils, il tient du bruit. Ton oubli de patch reste une erreur, mais une erreur sans conséquence catastrophique. C'est toute la différence entre une architecture qui suppose que le serveur est de confiance et une architecture qui suppose que le serveur sera compromis un jour. La bonne question de sécurité n'est jamais "est-ce que mon serveur peut être piraté", c'est "quand mon serveur sera piraté, qu'est-ce que l'attaquant obtiendra".

Scénario C, celui de Filarr, déplace encore le curseur. Tu n'as pas de VPS du tout. Ton espace de travail vit chiffré sur le disque de ton laptop, chaque fichier scellé individuellement en AES-256-GCM. Il n'y a pas de serveur à patcher, pas de port à fermer, pas de base à dumper, parce qu'il n'y a pas de base exposée. La surface d'attaque réseau que tu passais tes soirées à durcir dans les scénarios A et B a tout simplement disparu. Si tu veux la synchro vers ton téléphone, tu l'actives, et à ce moment-là seulement des blobs chiffrés opaques partent vers le stockage (Cloudflare R2 par défaut, ou ton propre bucket S3-compatible si tu tiens à héberger le stockage toi-même). Le serveur de synchro ne voit jamais tes clés ni ton contenu ; c'est le principe zero-knowledge que je détaille dans comment marche la synchro zero-knowledge de Filarr. La fracture philosophique, la voilà en une image : la première famille protège la maison, la seconde met les documents au coffre, et Filarr enlève carrément la maison de l'équation en gardant le coffre dans ta poche.

À quoi chaque outil sert vraiment

Il serait malhonnête de te laisser croire que ces outils sont interchangeables. Ils ne le sont pas, parce qu'ils répondent à des usages centraux différents, et c'est souvent ça qui doit décider avant même la question du chiffrement. AppFlowy et AFFiNE visent le remplacement complet de Notion comme espace de travail d'équipe : documents en blocs, bases de données avec plusieurs vues, Kanban, wikis, et pour AFFiNE le whiteboard en prime. Si ton usage de Notion, c'est surtout des bases de données relationnelles avec des vues tableau, calendrier, galerie, ce sont les seuls à couvrir sérieusement ce besoin. Outline et Docmost sont plus étroits et assument : ce sont des bases de connaissances et des wikis d'équipe, excellents pour de la documentation collaborative structurée, avec permissions et recherche, mais ils ne cherchent pas à répliquer les bases de données Notion.

La seconde famille sert autre chose. Standard Notes est un carnet de notes chiffré, minimaliste par philosophie, fait pour écrire du texte en sécurité, pas pour gérer des projets d'équipe. Notesnook est dans la même veine mais plus riche côté organisation et pièces jointes, orienté "notes privées sérieuses, y compris sur mobile". SiYuan est un outil de PKM (personal knowledge management) puissant, très apprécié des gens qui construisent un second cerveau avec du bloc-référencement, plus proche d'un Obsidian que d'un Notion d'équipe. Anytype est le plus ambitieux de cette famille : un espace d'objets chiffrés, local-first, qui vise le remplacement de Notion tout en restant privé, au prix d'un modèle mental d'objets et de types qui demande un vrai temps d'adaptation, comme je le compare en profondeur dans l'article dédié à Anytype face à Filarr.

Filarr, lui, occupe une place que je décris toujours honnêtement pour ne pas tromper les gens : ce n'est pas un remplaçant universel de Notion pour une équipe qui vit dans les bases de données relationnelles collaboratives. C'est un espace de travail personnel chiffré et local-first qui réunit trois choses que les autres séparent : tes notes, tes vrais fichiers (51 formats et plus, pas juste des pièces jointes de notes), et un graph view qui relie les deux. Là où Notion et ses clones te forcent à choisir entre "outil de notes" et "gestionnaire de fichiers", Filarr part du principe qu'organiser sa vie numérique, c'est justement mêler les deux, ce que je développe dans ranger toute sa vie numérique dans un seul espace privé. Si ton besoin réel, c'est "un endroit calme, privé et chiffré pour mes documents, mes notes de projet et mes idées, sur mon disque, avec une synchro optionnelle vers mon téléphone", c'est exactement le créneau. Si ton besoin, c'est une base de données partagée en temps réel avec quinze collègues, un AppFlowy ou un Outline te servira mieux, et je te le dis franchement.

Le chiffrement en profondeur, et ce qu'il protège vraiment

Entrons dans le dur, parce que c'est là que le tri se fait. Chiffrer, ce n'est pas cocher une case marketing, c'est une chaîne de décisions techniques dont chaque maillon compte. Commençons par le cipher lui-même. Filarr chiffre chaque fichier en AES-256-GCM, un mode de chiffrement authentifié qui garantit à la fois la confidentialité (personne ne lit le contenu) et l'intégrité (personne ne modifie le contenu sans que ça se détecte), le même mode qu'utilisent Signal, 1Password ou TLS, et que j'explique en détail dans qu'est-ce que l'AES-256-GCM. Mais le cipher n'est que la moitié de l'histoire. Ce qui distingue une architecture sérieuse d'un chiffrement bâclé, c'est la hiérarchie de clés. Filarr utilise une clé par fichier (FEK, File Encryption Key), elle-même enveloppée par une clé maîtresse (KEK, Key Encryption Key) dérivée de ton mot de passe. Concrètement, si une clé de fichier fuitait, elle ne compromettrait que ce fichier, pas tout ton coffre. C'est le principe KEK/FEK que j'ai décortiqué dans pourquoi le chiffrement par fichier compte, et c'est une propriété que beaucoup d'apps "chiffrées" avec une clé globale unique n'ont pas.

La dérivation de clé est le maillon suivant, et c'est souvent là que ça pèche ailleurs. Un mot de passe humain n'est pas une clé cryptographique : il faut le transformer, lentement et coûteusement, pour résister au brute-force. Filarr dérive la KEK avec PBKDF2-SHA512 à 600 000 itérations, la recommandation OWASP 2024, avec Argon2id disponible en option pour ceux qui veulent une résistance encore meilleure aux attaques par matériel spécialisé. Cette lenteur volontaire est une fonctionnalité : elle rend chaque tentative de devinette du mot de passe coûteuse pour l'attaquant. Un outil qui chiffre avec de l'AES-256 flambant neuf mais dérive la clé avec un simple hash rapide a une porte blindée sur des gonds en carton.

Maintenant, mettons ces choix à l'épreuve de quatre modèles de menace concrets, parce que "c'est chiffré" ne veut rien dire hors contexte. Premier modèle, le serveur malveillant ou compromis. Chez AppFlowy, Outline, Docmost, AFFiNE self-hosted, le serveur voit et stocke ton contenu en clair : s'il est compromis, ou si l'admin est curieux, ou si l'hébergeur monte le disque, tout fuite. Chez Notesnook, Standard Notes, Anytype, le serveur ne voit que du chiffré, donc un serveur malveillant ne récupère rien d'exploitable. Chez Filarr, en local pur, il n'y a pas de serveur du tout, et en mode synchro le serveur ne manipule que des blobs opaques. Sur ce modèle, la fracture entre les deux familles est totale.

Deuxième modèle, le laptop volé. C'est le plus courant et le plus sous-estimé. Chez SiYuan et Joplin, tes notes sont des fichiers en clair sur le disque par défaut (le chiffrement bout en bout ne s'applique qu'à la synchro, pas au repos local) : un voleur qui a ton laptop non chiffré lit tout, sauf si tu as chiffré ton disque au niveau OS. Chez Filarr, tes fichiers sont chiffrés au repos par défaut, individuellement, indépendamment de tout chiffrement disque : le voleur tombe sur du bruit tant qu'il n'a pas ton mot de passe. C'est une différence de posture par défaut, et les défauts gouvernent la vraie sécurité des vraies personnes, parce que presque personne ne va activer manuellement une option de sécurité.

Troisième modèle, le mot de passe faible. Aucun chiffrement ne sauve un mot de passe "azerty123", mais une bonne dérivation de clé fait la différence entre "cassé en une seconde" et "cassé en des semaines de calcul". Les 600 000 itérations PBKDF2 de Filarr, ou l'Argon2id optionnel, achètent du temps et rendent le brute-force coûteux ; c'est aussi vrai chez Standard Notes et Notesnook qui prennent la dérivation au sérieux. En face, les clones Postgres n'ont même pas ce débat, puisque le contenu n'est pas dérivé d'un mot de passe utilisateur du tout. Quatrième modèle, la réquisition légale. Si un tribunal ordonne à l'hébergeur de livrer tes données, sur un Outline self-hosted chez un cloud provider, le provider peut livrer un disque lisible. Sur une architecture zero-knowledge (Notesnook, Standard Notes, Filarr en synchro), le fournisseur ne peut livrer que du chiffré, parce qu'il n'a jamais eu la clé ; il ne peut pas te trahir même sous contrainte, ce qui est précisément le point du zero-knowledge que j'oppose au end-to-end dans end-to-end vs zero-knowledge.

Architecture de synchro et multi-appareils

La façon dont un outil synchronise révèle toute sa philosophie, et c'est là que les compromis deviennent tangibles. Les clones de Notion synchronisent via un serveur central qui est la source de vérité : ton client parle au serveur, le serveur fusionne les éditions concurrentes côté serveur (parce qu'il lit le contenu), et redistribue. Offline, tu es souvent très limité, voire à l'arrêt, parce que l'intelligence vit sur le serveur. Si le serveur tombe, ton équipe est bloquée. Si tu résilies ou fermes l'instance, tu dois exporter avant, sinon tu perds l'accès. C'est efficace pour la collaboration temps réel, mais ça fait du serveur un point de défaillance unique et un dépositaire obligatoire de ton contenu en clair.

Les outils chiffrés bout en bout inversent ce modèle. Le client est la source de vérité, le serveur n'est qu'un relais de blobs chiffrés. Notesnook et Standard Notes fonctionnent parfaitement offline et rattrapent la synchro quand la connexion revient, parce que le chiffrement et le déchiffrement se font sur l'appareil. Anytype va plus loin avec du pair-à-pair : tes appareils peuvent se synchroniser directement sur le réseau local sans nœud central, et le nœud de backup n'est qu'une commodité, pas une dépendance. SiYuan chiffre sa synchro incrémentale de bout en bout pour minimiser la bande passante. Dans tous ces cas, une panne serveur ne casse pas ton accès local : tu continues à travailler, la synchro rattrape plus tard.

Filarr est résolument dans ce second camp, avec une nuance qui compte : il est local-first au sens fort, ce qui veut dire que l'app fonctionne à 100% offline, sans compte, sans réseau, indéfiniment, et que la synchro cloud "ne fait que suivre". Ce n'est pas un détail de vocabulaire ; c'est une garantie architecturale que je détaille dans qu'est-ce que le local-first. Quand tu actives la synchro, chaque fichier est chiffré localement en une FEK, la FEK est enveloppée, et seuls les blobs chiffrés plus un manifest chiffré partent vers R2 (ou ton bucket S3 en BYOS). Le serveur ne voit jamais tes clés ni ton contenu, il ne fait que stocker et servir des blobs opaques et gérer le transfert de clés entre tes appareils via ECDH. Si le serveur de Filarr tombe demain, ou si tu arrêtes de payer la synchro, tes fichiers restent là, chiffrés, sur ton disque, parfaitement utilisables : tu perds la synchro, pas tes données. C'est une propriété que ni Notion ni ses clones serveur-centriques ne peuvent offrir, parce que chez eux le serveur n'est pas optionnel, il est le produit.

Récupération et perte d'accès

Le chiffrement bien fait a un revers qu'il faut regarder en face : si tu perds ta clé, personne ne peut la récupérer pour toi, parce que "personne ne peut la récupérer" est précisément la propriété que tu as achetée. C'est le prix du zero-knowledge, et c'est un prix réel. Chez Notion et les clones self-hosted non chiffrés, l'oubli de mot de passe se règle par un simple email de réinitialisation, parce que le serveur peut redéchiffrer ou réattribuer l'accès : pratique, mais c'est aussi la preuve que le serveur avait le pouvoir de lire tes données depuis le début. Ce confort est le symptôme du problème.

Du côté chiffré, la récupération devient un vrai sujet de conception. Standard Notes et Notesnook s'appuient sur ton mot de passe comme racine : oublie-le sans sauvegarde, et tes notes sont irrécupérables, point final. Certains proposent des clés ou codes de récupération à conserver précieusement. Anytype te remet une phrase de récupération que tu dois stocker en lieu sûr, sans laquelle un appareil perdu signifie un accès perdu. Filarr suit la même logique de responsabilité, avec un garde-fou standardisé : une phrase de récupération de 24 mots au format BIP-39, le même standard éprouvé que les portefeuilles de cryptomonnaie, qui te permet de régénérer ta clé maîtresse si tu oublies ton mot de passe, à condition d'avoir gardé ces 24 mots hors ligne. C'est un compromis assumé : plus de sécurité contre les tiers, plus de responsabilité sur tes épaules. Je conseille toujours de traiter cette phrase comme le double de tes clés de maison, imprimée et rangée physiquement, parce que c'est littéralement ce qu'elle est.

Il y a un scénario que peu de gens anticipent et qui mérite d'être posé : la mort du compte, la tienne ou celle d'un proche. Sur une architecture chiffrée bout en bout, tes héritiers n'accèdent à rien sans ton mot de passe ou ta phrase de récupération, ce qui est une protection contre les curieux mais un problème de transmission. La bonne pratique, avec Filarr comme avec Notesnook ou Anytype, est de considérer ta phrase de récupération comme un actif à transmettre volontairement (testament numérique, coffre-fort, personne de confiance), exactement comme tu le ferais pour un coffre bancaire. Les clones non chiffrés n'ont pas ce problème, mais uniquement parce qu'ils n'ont pas la protection qui le crée. On revient toujours au même arbitrage : le confort de récupération et la confidentialité tirent dans des directions opposées, et honnêtement, je préfère un outil qui choisit clairement la confidentialité et te donne un filet de sécurité robuste, plutôt qu'un outil qui garde le double de tes clés pour ton confort.

Le comparatif en un tableau

Le tableau ci-dessous résume les axes qui comptent vraiment. Lis-le avec la nuance des sections précédentes en tête, parce qu'un tableau aplatit forcément des réalités complexes : "chiffrement au repos par défaut" ne veut pas dire la même profondeur partout, et "self-hostable" cache des efforts d'ops très différents.

Outil	Self-hostable	Chiffre le contenu (E2EE/zero-knowledge)	Chiffré au repos par défaut	Fichiers + notes	Licence	Prix d'entrée
AppFlowy	Oui (Docker)	Non (Postgres lisible)	Non	Notes + BDD	AGPL-3.0	Gratuit self-host / Cloud dès 10$/u/mois
AFFiNE	Oui (pré-1.0)	Non	Non	Notes + canvas	Voir dépôt	Gratuit self-host
Outline	Oui (Postgres+Redis+S3)	Non	Non	Notes/wiki	BSL puis MIT	Gratuit self-host
Docmost	Oui (le plus simple)	Non	Non	Notes/wiki	AGPL-like	Gratuit self-host
Anytype	Oui (nœud backup)	Oui (E2EE, P2P)	Oui	Objets + fichiers	any-sync MIT / client source-available	Gratuit
Notesnook	Oui (serveur sync FOSS)	Oui (zero-knowledge)	Oui	Notes + pièces jointes	AGPL / open source	Self-host gratuit / Cloud ~4,50$/mois
Standard Notes	Oui	Oui (zero-knowledge)	Oui	Notes (peu de fichiers)	Open source	Free plaintext / payant chiffré étendu
SiYuan	Oui (Docker/LAN)	Sync E2EE	Non (fichiers locaux clairs)	Notes/PKM	Voir dépôt	Gratuit
Filarr	Stockage BYOS S3	Oui (zero-knowledge)	Oui (AES-256-GCM par fichier)	Notes + fichiers + graph	Client BSL 1.1 / site AGPL	Gratuit local / sync dès 4€/mois

Ce que le tableau montre d'un coup d'œil, c'est la ligne de faille : la colonne "chiffre le contenu" sépare nettement les deux familles, et elle ne se superpose pas à la colonne "self-hostable". Tu peux self-héberger un outil qui ne chiffre rien (AppFlowy, Outline) comme un outil qui chiffre tout (Notesnook, Anytype). L'autre enseignement, c'est la colonne "fichiers + notes" : très peu d'outils traitent les vrais fichiers en citoyens de première classe plutôt qu'en pièces jointes. C'est là que Filarr et Anytype se distinguent du reste, et c'est souvent le critère qui tranche pour qui veut vraiment un espace de travail unifié plutôt qu'un carnet de notes.

Là où les concurrents gagnent vraiment

Je ne vais pas te vendre un monde où Filarr coche toutes les cases, parce qu'un comparatif où mon produit gagne partout serait à juste titre suspect. Commençons par ce que la première famille fait mieux, et honnêtement. Pour la collaboration d'équipe en temps réel, AppFlowy, Outline et AFFiNE sont dans une autre catégorie. Si tu as quinze personnes qui éditent la même base de données de roadmap en simultané, avec des permissions par page, des commentaires, des mentions, un historique collaboratif, ces outils sont conçus pour ça de bout en bout. Filarr et les outils chiffrés bout en bout paient leur confidentialité par une collaboration temps réel plus faible ou absente, parce que, comme je l'ai expliqué, chiffrer côté client et fusionner des éditions concurrentes côté serveur sont difficilement conciliables. Si le collaboratif dense est ton cœur de métier, ne te mens pas : la première famille te servira mieux.

Les bases de données relationnelles sont le second domaine où les clones de Notion écrasent la concurrence. Les vues multiples (tableau, Kanban, calendrier, galerie, timeline), les relations entre bases, les rollups, les formules : c'est l'ADN de Notion et AppFlowy le réplique sérieusement. Filarr n'essaie pas de faire ça, et je préfère l'assumer clairement plutôt que de bricoler une imitation médiocre. Si ta vie tient dans des bases de données interconnectées, aucun outil chiffré bout en bout ne t'offrira aujourd'hui cette richesse.

Du côté de la famille chiffrée elle-même, il y a aussi des domaines où d'autres devancent Filarr, et c'est important de le dire. Standard Notes a un historique d'audits de sécurité indépendants bien plus long, adossé désormais à Proton : si la maturité auditée et la réputation de longue date sont ton critère numéro un, c'est un argument réel en sa faveur. Notesnook a une app mobile mûre et éprouvée aujourd'hui, alors que le mobile de Filarr est encore en cours (en tests finaux, mais pas encore la stabilité d'un produit rôdé sur plusieurs années). SiYuan a une communauté massive et un écosystème PKM très riche, avec du bloc-référencement avancé que Filarr ne prétend pas égaler. Anytype offre un modèle d'objets typés et une synchro pair-à-pair sans serveur central qui séduira ceux qui veulent zéro infrastructure tierce, même optionnelle. Et tous ces outils, étant plus anciens ou plus adoptés, ont une communauté plus large que Filarr, qui reste un projet jeune de 2026. Si tu veux le plus grand nombre de tutoriels, de retours d'expérience et de plugins communautaires dès aujourd'hui, les concurrents établis ont l'avantage du temps.

Là où Filarr gagne vraiment

Cela dit, il y a des choses que Filarr fait mieux que tout le monde dans ce paysage, et je vais être aussi direct sur mes forces que je l'ai été sur mes faiblesses. La première, c'est l'unification vraie des notes et des fichiers. La quasi-totalité des outils cités te forcent dans un moule : soit c'est une app de notes qui tolère des pièces jointes (Notesnook, Standard Notes), soit c'est un wiki d'équipe (Outline, Docmost). Filarr traite tes 51 formats de fichiers et plus comme des objets de premier rang, au même niveau que tes notes, reliés dans un même graph view. Quand tu gères un projet réel, tu n'as pas que du texte : tu as des PDF, des images, des feuilles de calcul, des archives. Filarr te laisse les ranger, les relier et les retrouver dans le même espace chiffré, ce que je développe dans arrête de perdre tes fichiers. Aucun carnet de notes chiffré ne fait ça aussi naturellement.

La deuxième force, c'est le chiffrement au repos par défaut, par fichier, sans que tu aies rien à activer. C'est un point que je ne lâche jamais parce qu'il est décisif : chez SiYuan et Joplin, tes notes vivent en clair sur le disque et le chiffrement ne concerne que la synchro ; chez Filarr, chaque fichier est scellé en AES-256-GCM sur le disque, dès le départ, avec sa propre clé. Le défaut est sécurisé, pas l'option. Et comme la sécurité réelle des gens est gouvernée par les défauts, pas par les cases qu'ils oublient de cocher, c'est ce qui protège vraiment un utilisateur normal contre le vol de laptop le plus banal.

La troisième force, c'est le local-first sans compromis d'ops. Les outils chiffrés self-hostables comme Notesnook exigent que tu montes et maintiennes un serveur pour avoir la synchro ; les clones de Notion l'exigent pour fonctionner tout court. Filarr fonctionne à 100% en local, sans compte, sans serveur, gratuitement et pour toujours, et n'ajoute la synchro que si tu la veux, chiffrée de bout en bout, avec l'option BYOS pour héberger toi-même le stockage S3 si c'est ton truc. Tu obtiens l'ownership sans la corvée d'administration système, ce qui est exactement ce que la plupart des gens qui disent "je veux self-héberger" veulent réellement au fond : le contrôle et la vie privée, pas un second métier de sysadmin. La quatrième force, plus discrète, c'est la hiérarchie de clés KEK/FEK par fichier, qui isole les compromissions et signale un niveau de soin cryptographique que beaucoup d'apps à clé globale unique n'atteignent pas ; j'ai détaillé toute la posture défensive dans la sécurité de Filarr couche par couche.

Migration concrète, avec la friction réelle

Passer de Notion à un outil chiffré local-first n'est pas magique, et je vais te dire la vérité sur la friction plutôt que de te vendre un bouton miracle. Depuis Notion, la voie standard est l'export : Notion te sort tes pages en Markdown et tes bases de données en CSV, plus les fichiers attachés. La bonne nouvelle, c'est que le Markdown est un format ouvert que tous les outils de la famille chiffrée (Filarr inclus) savent importer sans te lier à un fournisseur. La mauvaise, c'est que les bases de données relationnelles de Notion, avec leurs relations, rollups et formules, ne survivent pas à un export CSV : tu récupères des tableaux plats, tu perds la logique relationnelle. Si ton usage de Notion reposait lourdement sur ces bases, aucune migration vers un outil chiffré ne sera indolore, parce que ces outils ne reproduisent pas ce modèle. Je le dis clairement dans mon guide de migration Notion vers une app chiffrée.

Vers Filarr précisément, le chemin le plus propre consiste à exporter ton Notion en Markdown plus fichiers, puis à importer ce dossier dans un workspace Filarr, où chaque note et chaque fichier sera chiffré au passage. Tu retrouves ta structure de dossiers, tes notes, tes pièces jointes devenues de vrais fichiers de première classe, et tu peux ensuite reconstruire les liens dans le graph view. La friction honnête, c'est le travail manuel de reconstruction des relations que Notion gérait pour toi, et l'acceptation que tu troques des bases de données dynamiques contre un espace de fichiers et de notes reliés. Beaucoup de gens découvrent en migrant qu'ils n'utilisaient pas vraiment la puissance relationnelle de Notion et qu'un espace de fichiers et de notes leur suffit largement, mais si ce n'est pas ton cas, mieux vaut le savoir avant de bouger.

Migrer entre outils chiffrés (par exemple de Standard Notes ou Joplin vers Filarr, ou l'inverse) est généralement plus simple côté format, puisque le Markdown est le dénominateur commun, mais attention : tu déchiffres d'un côté pour rechiffrer de l'autre, donc fais-le sur une machine de confiance et détruis proprement les exports intermédiaires en clair, qui sont le maillon faible du processus. Un export en clair qui traîne dans ton dossier Téléchargements annule tout le bénéfice du chiffrement des deux applications. La règle d'or de toute migration entre outils chiffrés, c'est que le fichier intermédiaire est le moment de vulnérabilité maximale, et il faut le traiter comme tel.

Le prix décortiqué, sur des scénarios chiffrés

Parlons argent concrètement, parce que "self-hosted gratuit" cache souvent un coût réel. Prenons trois scénarios. Scénario 1, l'étudiant ou le particulier qui veut juste des notes et des fichiers privés sur son laptop et son téléphone. Avec un clone self-hosted, il paie un VPS (5 à 10 euros par mois selon la ressource), plus le temps de setup et de maintenance, plus la charge mentale des mises à jour de sécurité. Avec Filarr, il paie zéro en local pour toujours, et 4 euros par mois seulement s'il veut la synchro vers son téléphone. Sur ce profil, Filarr est à la fois moins cher et infiniment moins de travail, parce qu'il n'y a pas de serveur à maintenir. Notesnook cloud à environ 4,50 dollars par mois est dans le même ordre de grandeur pour du chiffré, mais sans les fichiers de première classe ni le graph.

Scénario 2, le consultant indépendant de notre exemple du début, trois clients, besoin de synchro fiable et de sécurité sérieuse, mais aucune envie de faire de l'ops. Le calcul du self-hosting devient défavorable : un VPS correct plus les sauvegardes plus le temps passé (facturable, ce temps) coûtent bien plus que 4 euros par mois, et surtout la responsabilité de sécurité repose entièrement sur lui, avec le risque du scénario A vu plus haut. Filarr à 4 euros par mois lui donne la synchro chiffrée sans infra, et s'il tient absolument à héberger son propre stockage, le BYOS S3 lui permet de pointer vers son bucket sans avoir à gérer un serveur applicatif complet. Le coût total de possession, temps inclus, penche nettement vers la solution managée chiffrée.

Scénario 3, l'équipe de dix personnes qui vit dans des bases de données collaboratives. Là, le calcul s'inverse honnêtement. Un AppFlowy self-hosted sur un VPS partagé peut revenir moins cher qu'un abonnement par siège une fois passé un certain nombre d'utilisateurs, et surtout il offre le collaboratif temps réel dont l'équipe a besoin et que les outils chiffrés ne fournissent pas. Pour ce profil, ni Filarr ni la famille chiffrée ne sont le bon choix, et le vrai arbitrage se fait entre AppFlowy self-hosted et Notion cloud selon la tolérance à l'ops. Je te le dis parce que c'est vrai : le prix ne se lit jamais dans l'absolu, il se lit dans ton scénario d'usage, et le mien n'est pas universel. Pour un panorama complet des tarifs actuels par cas d'usage, j'ai maintenu une liste dans les meilleures apps local-first en 2026.

Open source et licence, ce que ça change pour toi

La licence est souvent traitée comme un badge, alors qu'elle a des conséquences concrètes. AppFlowy est en AGPL-3.0, une licence copyleft forte qui garantit que le code reste ouvert mais impose des contraintes si tu veux le redistribuer modifié dans un service. Anytype a une structure hybride que je trouve importante à distinguer : le protocole de synchro any-sync est en MIT, vraiment open source et auditable, tandis que le code client est sous une licence "source-available" (Any Source Available License) qui te laisse inspecter le code et vérifier l'absence de backdoor, mais n'est pas de l'open source au sens strict de l'OSI. Notesnook est franchement open source, y compris son serveur de synchro, ce qui est un vrai atout de confiance. Outline a une histoire de licence qui est passée par du BSL. Ces nuances comptent parce qu'elles déterminent ce que tu peux vérifier, forker et self-héberger réellement.

Filarr fait un choix que je tiens à présenter sans flou, parce que je déteste qu'on entretienne la confusion sur ce sujet. Le client desktop de Filarr est open source sous Business Source License 1.1 (BSL 1.1) : le code est public sur GitHub, tu peux le lire, l'auditer, vérifier exactement comment le chiffrement est implémenté, ce qui est la seule chose qui rend une promesse de chiffrement crédible. La BSL 1.1 est une licence "source-available avec bascule" : elle restreint certains usages commerciaux concurrents pendant une période, puis le code bascule en open source classique. J'ai expliqué en détail ce choix, ce qu'il permet et ce qui reste fermé, dans Filarr passe en open source, pourquoi BSL 1.1. Point important à ne pas mélanger : le site web filarr.com, lui, est sous AGPL-3.0, une licence différente du client. Cette distinction entre client (BSL 1.1) et site (AGPL) est réelle et je préfère que tu la connaisses plutôt que de lire un raccourci trompeur ailleurs.

Ce que ça change pour toi, concrètement : avec Filarr, tu peux vérifier le code cryptographique toi-même ou le faire auditer, ce qui est la garantie qui compte quand une app te promet du chiffrement, parce qu'un chiffrement à code fermé te demande de croire sur parole. Tu ne peux pas, en revanche, monter un service concurrent commercial sur cette base pendant la fenêtre BSL. Pour l'écrasante majorité des utilisateurs qui veulent simplement un outil chiffré dont ils peuvent vérifier les promesses, la BSL 1.1 offre l'essentiel : la transparence du code. Si ton exigence est un open source OSI pur et dur pour des raisons idéologiques, Notesnook ou AppFlowy répondront mieux à ce critère précis, et c'est un arbitrage légitime que je respecte.

Quatre profils, quatre recommandations

Assez de généralités, ancrons ça dans des personas concrets. Premier profil, tu es développeur ou knowledge worker soucieux de ta vie privée, tu utilises Notion ou Obsidian aujourd'hui, tu veux du vrai chiffrement et l'ownership de tes données, sans devenir sysadmin. Choisis Filarr. C'est exactement le créneau : chiffrement AES-256-GCM par fichier au repos, notes plus fichiers plus graph dans un seul espace, gratuit en local, synchro optionnelle à 4 euros. Tu obtiens la confidentialité que tu cherches sans le week-end d'ops que le self-hosting d'un clone t'imposerait, et sans le compromis "notes seulement" des carnets chiffrés.

Deuxième profil, tu es un puriste de la sécurité auditée et de la réputation longue, tu veux des notes chiffrées avec le plus long historique d'audits possible, et le mobile mûr est non négociable dès maintenant. Regarde sérieusement Standard Notes (adossé à Proton) ou Notesnook. Ils font moins que Filarr côté fichiers et graph, mais leur maturité et leurs audits sont un argument réel si c'est ton critère dominant, et leur mobile est éprouvé aujourd'hui. Je préfère t'orienter honnêtement vers eux sur ce critère précis plutôt que de te retenir.

Troisième profil, tu diriges une équipe qui vit dans des bases de données collaboratives et l'édition temps réel, la confidentialité passe après la productivité collective. Ne te force pas dans un outil chiffré qui te frustrera. Un AppFlowy ou un Outline self-hosted te servira mieux, en acceptant que le contenu vit en clair dans ta base et que ta sécurité repose sur ta rigueur d'ops. Chiffre au moins ton disque serveur et verrouille l'accès réseau. Ce n'est pas le choix privacy-maximaliste, mais c'est le bon choix fonctionnel pour ton usage, et le nier serait malhonnête.

Quatrième profil, tu es un maximaliste de la souveraineté qui refuse toute infrastructure tierce, même optionnelle, et tu veux du pair-à-pair pur. Anytype est probablement fait pour toi, avec sa synchro P2P et son nœud de backup auto-hébergeable, à condition d'accepter son modèle d'objets typés et sa licence client source-available plutôt qu'open source stricte. Si tu veux la même souveraineté mais avec de vrais fichiers de première classe et un chiffrement au repos par défaut plus simple à raisonner, compare-le posément à Filarr avant de trancher, parce que le choix se jouera sur le modèle mental (objets contre fichiers) plus que sur la sécurité brute.

Conclusion : choisis selon la garantie que tu veux vraiment

Si tu ne retiens qu'une chose, que ce soit celle-ci : arrête de chercher "une alternative à Notion self-hosted" et commence à chercher "la garantie dont j'ai réellement besoin". Si ta vraie peur est la dépendance à un SaaS et que tu veux du collaboratif d'équipe, self-héberge un AppFlowy ou un Outline en connaissance de cause, en sachant que ton contenu vit en clair et que ta sécurité repose sur ton ops. Si ta vraie peur est que quelqu'un lise tes notes, alors le self-hosting seul ne te sauvera pas, et il te faut du chiffrement de bout en bout : Notesnook, Standard Notes et Anytype sont d'excellents choix selon que tu privilégies la maturité, la simplicité ou le pair-à-pair.

Et si tu veux le chiffrement sans le fardeau d'héberger quoi que ce soit, avec en prime tes fichiers et tes notes réunis dans un seul espace chiffré au repos par défaut, c'est précisément le trou que Filarr a été construit pour combler. Pas un remplaçant universel de Notion, je ne te le vendrai jamais comme ça, mais l'option chiffrée local-first pour qui veut organiser sa vie numérique privée sans confier ses données à personne et sans devenir administrateur système. Le self-hosting était toujours un moyen, jamais une fin. La fin, c'était le contrôle et la confidentialité. Le chiffrement local-first te donne les deux, sans le serveur. Tu peux commencer gratuitement, en local, aujourd'hui, et n'ajouter la synchro que le jour où tu la veux.

FAQ

Self-héberger une alternative à Notion, ça chiffre automatiquement mes données ? Non, et c'est le malentendu central. Self-héberger déplace tes données sur ton serveur, mais dans la plupart des clones de Notion (AppFlowy, Outline, Docmost, AFFiNE) le contenu reste stocké en clair dans une base PostgreSQL. Quiconque contrôle le serveur, ou le compromet, peut le lire. Le chiffrement de contenu est une propriété séparée qu'il faut vérifier explicitement.

Quelles alternatives à Notion chiffrent vraiment le contenu ? Celles qui font du chiffrement de bout en bout ou zero-knowledge : Notesnook, Standard Notes, Anytype, et pour la synchro SiYuan et Joplin. Filarr chiffre chaque fichier en AES-256-GCM directement au repos sur ton disque, sans exiger de serveur. Dans tous ces cas, le contenu est chiffré avant de toucher le stockage.

Filarr est-il self-hostable comme AppFlowy ou Notesnook ? Filarr est d'abord local-first : il fonctionne à 100% offline sur ton disque, sans serveur, gratuitement. Tu n'as donc pas besoin de self-héberger pour avoir la confidentialité. Si tu veux la synchro et héberger le stockage toi-même, l'option BYOS te laisse pointer vers ton propre bucket S3-compatible, sans avoir à maintenir un serveur applicatif complet.

Que se passe-t-il si j'oublie mon mot de passe Filarr ? Comme dans toute architecture zero-knowledge, personne ne peut récupérer ta clé à ta place, c'est le prix de la confidentialité. Filarr te fournit une phrase de récupération de 24 mots au format BIP-39 : conserve-la hors ligne en lieu sûr, elle te permet de régénérer ta clé maîtresse. Sans elle et sans ton mot de passe, tes données sont irrécupérables.

Le chiffrement au repos d'un clone self-hosted (chiffrement disque du VPS) suffit-il ? Pas vraiment. Le chiffrement disque au niveau du serveur protège si quelqu'un vole physiquement le disque éteint, mais dès que le serveur tourne, la base est déchiffrée et lisible par l'application, l'admin, ou un attaquant qui compromet la machine en marche. Le chiffrement de bout en bout côté client protège même quand le serveur tourne et même s'il est compromis.

Puis-je collaborer en équipe en temps réel avec un outil chiffré ? Difficilement, et c'est un vrai compromis. Le collaboratif temps réel exige que le serveur lise et fusionne le contenu, ce qui est incompatible avec le chiffrement de bout en bout où le serveur ne voit que du chiffré. Si l'édition simultanée dense est ton besoin central, la première famille (AppFlowy, Outline) te servira mieux ; si c'est la confidentialité, tu choisis la seconde.

Filarr remplace-t-il complètement Notion ? Non, et je le dis franchement. Filarr ne réplique pas les bases de données relationnelles collaboratives de Notion (relations, rollups, formules, édition temps réel). Il excelle comme espace de travail personnel chiffré qui réunit notes, vrais fichiers et graph view. Si ta vie tient dans des bases de données Notion partagées, un clone self-hosted te conviendra mieux ; si tu veux un espace privé chiffré pour tes documents et tes idées, c'est le créneau de Filarr.

Quelle est la différence de licence entre Filarr et les autres ? Le client desktop de Filarr est open source sous Business Source License 1.1, ce qui te permet d'auditer le code cryptographique (le site web, lui, est sous AGPL-3.0, à ne pas confondre). Notesnook et AppFlowy sont en open source OSI strict, Anytype a un client source-available et un protocole MIT. Pour la plupart des gens, ce qui compte c'est de pouvoir vérifier les promesses de chiffrement, ce que la BSL 1.1 permet.