Ollama est-il sûr ? Une évaluation pratique de sa sécurité

Ollama est sûr pour l’usage que la plupart des utilisateurs en font. Lorsque vous exécutez un modèle localement, l’inférence se déroule entièrement sur votre machine : vos prompts et les sorties du modèle ne la quittent jamais, et vous pouvez le vérifier en vous déconnectant du réseau — tout continue de fonctionner normalement. Le logiciel est open source (licence MIT) et possède un historique de sécurité raisonnable.

Les véritables risques sont opérationnels, non inhérents à l’outil : exposer l’API non authentifiée d’Ollama à un réseau, ou télécharger des poids de modèles depuis des sources non vérifiées. Ces deux risques peuvent être évités en quelques minutes de configuration. Ce guide détaille précisément les données transmises par Ollama, identifie la véritable surface d’attaque et explique comment renforcer sa sécurité sur chaque plateforme. (Si vous débutez avec cet outil, commencez par notre Guide complet d’Ollama.)

Ce qu’Ollama envoie et ce qui reste local

Pendant l’inférence avec un modèle stocké localement, rien ne quitte votre machine. Aucun pipeline de télémétrie n’envoie vos prompts vers quelque part. Comme Ollama est open source, cela peut être vérifié — et vous pouvez le confirmer vous-même à l’aide d’un pare-feu ou d’un moniteur de trafic sortant tel que Little Snitch sur macOS.

Ollama établit toutefois des connexions réseau dans des situations spécifiques et prévisibles :

L’option des modèles cloud mérite une mention particulière : les versions récentes d’Ollama peuvent exécuter de grands modèles sur l’infrastructure propre d’Ollama. Ce fonctionnement est explicitement opt-in — il nécessite une connexion et les modèles cloud sont clairement identifiés comme tels — mais si vous avez choisi Ollama précisément pour conserver vos données en local, sachez que cette fonctionnalité existe et abstenez-vous simplement de l’utiliser. Tout ce que vous exécutez sans vous être connecté reste entièrement local.

Le vrai risque : une API exposée et non authentifiée

Ollama expose une API HTTP sur le port 11434. Par défaut, elle écoute sur 127.0.0.1, ce qui signifie que seuls les processus s’exécutant sur votre propre machine peuvent y accéder. Ce comportement par défaut est sécurisé.

Le problème commence lorsque les utilisateurs définissent OLLAMA_HOST=0.0.0.0 — généralement afin de permettre à une interface web ou à une autre machine du réseau de s’y connecter. L’API d’Ollama ne comporte aucune authentification intégréeaucune authentification. Aucune clé API, aucun mot de passe, rien du tout. Toute personne pouvant atteindre ce port est en mesure de :

• répertorier vos modèles installés (/api/tags) et générer indéfiniment des sorties sur votre GPU, à vos frais
• télécharger de nouveaux modèles jusqu’à saturation de votre disque, ou supprimer ceux que vous possédez
• Sur les versions obsolètes, le risque peut être encore plus grave : la vulnérabilité CVE-2024-37032 (« Probllama ») était une faille d’escalade de chemin lors du téléchargement de modèles, pouvant aboutir à une exécution de code à distance sur des serveurs exposés. Elle a été corrigée dans la version 0.1.34 dès 2024, mais illustre bien à quel point une exposition non authentifiée peut dégénérer

Ceci n’est pas hypothétique. Des analyses à l’échelle d’internet ont régulièrement détecté des milliers d’instances Ollama répondant sur le port 11434 à l’internet public — presque toutes vraisemblablement exposées involontairement. Si vous ne retenez qu’une seule chose de cet article : ne redirigez jamais le port 11434 vers internet, et n’écoutez que sur 0.0.0.0 si un pare-feu ou un proxy est placé devant.

Un paramètre plus subtil : OLLAMA_ORIGINS contrôle les origines de navigateur autorisées à appeler l’API. La valeur par défaut est restrictive, ce qui limite la capacité des sites malveillants à interagir avec votre instance locale depuis votre navigateur. Ne la définissez pas sur * à moins d’en comprendre pleinement les implications.

Provenance des modèles : d’où proviennent vos poids ?

Le deuxième risque réel concerne ce que vous téléchargez, et non l’outil qui effectue le téléchargement. Quelques faits permettent de mieux évaluer ce risque :

• Les modèles Ollama utilisent le format GGUF, qui stocke les poids sous forme de données, et non de code exécutable. Cela les rend intrinsèquement plus sûrs que les anciens fichiers de points de contrôle PyTorch basés sur pickle, capables d’exécuter du code arbitraire au chargement.
• Le fait que le format soit « des données, pas du code » ne garantit pas une sécurité absolue — des bogues dans les analyseurs de fichiers GGUF ont déjà été découverts par le passé, donc un fichier soigneusement conçu à dessein malveillant n’est pas exempt de tout risque. Garder Ollama à jour permet de pallier ce type de menace.
• Les modèles tirés de la bibliothèque officielle sont vérifiés à l’aide des empreintes SHA-256 figurant dans leurs manifestes, garantissant ainsi que les fichiers reçus correspondent exactement à ceux fournis par le registre.
• Un modèle peut également présenter un comportement indésirable au niveau du contenu : l’invite système intégrée ou le modèle de discussion d’un téléchargement communautaire pourrait orienter les sorties d’une manière que vous n’avez pas choisie. Le risque est faible, mais utile à connaître si vous développez des applications reposant sur des modèles peu familiers.

Règle pratique : privilégiez les modèles bien connus de la bibliothèque officielle plutôt que les téléchargements anonymes de la communauté, et appliquez les bonnes pratiques habituelles de sécurité aux fichiers GGUF que vous importez depuis d’autres sources. Notre Meilleurs modèles locaux pour Ollama synthèse comparative et le Liste des modèles Ollama complet

Renforcement selon la plateforme

macOS

s’appuient tous deux exclusivement sur des modèles courants et largement utilisés. L’application de bureau se met à jour automatiquement, ce qui couvre la partie correctifs. Par défaut, Ollama écoute sur localhost, sauf si vous l’avez modifié — la méthode documentée pour modifier cette configuration consiste à exécuter launchctl setenv OLLAMA_HOST "0.0.0.0" ~/.ollama/modelspuis à redémarrer l’application ; si vous n’avez jamais lancé cette commande, vous bénéficiez donc du comportement sécurisé par défaut. Les modèles sont stockés dans

Windows

L’application de bureau s’exécute depuis la zone de notification et se met à jour automatiquement. Les variables d’environnement telles que OLLAMA_HOST sont définies via Paramètres → Système → À propos → Paramètres système avancés → Variables d’environnement, puis en redémarrant Ollama depuis la zone de notification. Les modèles sont stockés sous %USERPROFILE%.ollamamodels. Si vous avez exposé le port pour une utilisation en réseau local, restreignez l’accès à l’aide du pare-feu Windows Defender et assurez-vous que la règle entrante pour Ollama s’applique uniquement aux réseaux privés, et non aux réseaux publics.

Linux

Le script d’installation configure Ollama en tant que service systemd. La configuration s’effectue via systemctl edit ollama.service, en ajoutant des lignes telles que Environment="OLLAMA_HOST=0.0.0.0" dans la section [Service] — là encore, ne procédez à cette modification que délibérément. Si vous devez écouter sur toutes les interfaces, limitez l’accès au port à l’aide de votre pare-feu, par exemple : ufw allow from 192.168.1.0/24 to any port 11434. Notez que les installations Linux ne se mettent pas pas à jour automatiquement ; vous devez mettre à jour manuellement en réexécutant le script d’installation officiel. Consultez notre Guide d’installation d’Ollama pour les commandes exactes selon chaque distribution.

Docker et proxys inverses

Exécuter Ollama dans Docker ajoute une isolation au niveau du système de fichiers et rend l’exposition réseau explicite. Le détail critique concerne la façon dont vous publiez le port. Cette configuration est sécurisée — l’API n’est accessible que depuis l’hôte :

docker run -d --name ollama 
  -v ollama:/root/.ollama 
  -p 127.0.0.1:11434:11434 
  ollama/ollama

Alors que -p 11434:11434 publie sur tous interfaces hôtes — et Docker manipule iptables directement, ce qui, sur de nombreux systèmes, contourne entièrement les règles ufw. Cette combinaison (Docker + pare-feu supposé actif mais en réalité inactif) est à l’origine de nombreuses instances Ollama exposées accidentellement sur Internet. Ajoutez --gpus=all pour accéder aux GPU NVIDIA ; cela ne modifie pas le bilan de sécurité.

Si vous avez réellement besoin d’un accès distant, placez un proxy inverse authentifiant devant Ollama et maintenez celui-ci en écoute uniquement sur localhost. Voici un exemple minimal avec nginx et une authentification HTTP de base :

server {
    listen 443 ssl;
    server_name ollama.example.com;
    # lignes ssl_certificate ici

    location / {
        auth_basic "Ollama";
        auth_basic_user_file /etc/nginx/.htpasswd;
        proxy_pass http://127.0.0.1:11434;
    }
}

Une option encore plus simple pour un usage personnel : un réseau VPN maillé comme Tailscale ou WireGuard, afin que le port ne soit accessible que depuis votre réseau privé et n’atteigne jamais l’Internet public.

Liste de contrôle pour le renforcement

• Gardez Ollama à jour — les applications bureautiques le font automatiquement ; sous Linux, réexécutez périodiquement le script d’installation.
• Laissez OLLAMA_HOST à sa valeur par défaut (127.0.0.1) sauf si un autre appareil a réellement besoin d’y accéder.
• Si vous liez Ollama à 0.0.0.0, limitez l’accès au port 11434 via le pare-feu aux adresses IP ou sous-réseaux approuvés.
• Ne redirigez jamais le port 11434 vers Internet. Utilisez plutôt un proxy inverse avec authentification ou un VPN.
• Dans Docker, publiez le port avec -p 127.0.0.1:11434:11434, et rappelez-vous que Docker peut contourner ufw.
• Téléchargez les modèles depuis la bibliothèque officielle ; examinez soigneusement les fichiers GGUF communautaires ou tiers avant de les importer.
• Ne rendez pas OLLAMA_ORIGINS plus large que nécessaire.
• Évitez de vous connecter ou d’utiliser des modèles cloud si votre objectif est strictement le traitement local de vos données.

Questions fréquemment posées

Ollama envoie-t-il mes prompts ou conversations vers le cloud ?

Non, pas pendant l’inférence locale — vos prompts, les sorties générées et les documents fournis au modèle restent tous sur votre machine. Les exceptions sont explicites : le téléchargement d’un modèle récupère ses poids depuis le registre Ollama, et les modèles cloud (optionnels, nécessitant une connexion) traitent effectivement les prompts sur les serveurs d’Ollama. Si vous ne vous connectez jamais, tout s’exécute localement.

Ollama peut-il fonctionner entièrement hors ligne ?

Oui. Une fois qu’un modèle est téléchargé, vous pouvez vous déconnecter complètement d’Internet et l’inférence continuera normalement. Il s’agit de la garantie de confidentialité la plus forte disponible — aucune configuration ne peut faire fuiter des données via une connexion qui n’existe tout simplement pas. Les configurations « air-gapped » constituent un cas d’usage légitime pour Ollama.

Ollama a-t-il connu de graves vulnérabilités de sécurité ?

La plus notable fut CVE-2024-37032 (« Probllama »), une faille de traversée de chemin pouvant permettre une exécution de code à distance sur des serveurs exposés à des attaquants ; elle a été corrigée dans la version 0.1.34 en 2024. Comme tout projet en développement actif, des problèmes émergent et sont résolus — chaque vulnérabilité découverte jusqu’à présent requiert un accès réseau à l’API, ce qui constitue un argument supplémentaire pour maintenir Ollama en écoute sur localhost et garder sa version à jour.

Est-il sûr d’exposer Ollama sur Internet ?

Pas directement — l’API ne comporte aucune authentification, donc une instance exposée directement permet à n’importe qui d’utiliser votre GPU, de gérer vos modèles et de rechercher des failles non corrigées. Si vous avez besoin d’un accès distant, placez-la derrière un proxy inverse doté d’authentification et de TLS, ou y accédez via un VPN tel que Tailscale. La redirection directe du port 11434 est la pire chose que vous puissiez faire avec Ollama.

Les modèles disponibles sur ollama.com sont-ils sûrs à télécharger ?

Les modèles principaux de la bibliothèque officielle (Llama, Qwen, Mistral, Gemma et similaires) correspondent aux mêmes poids largement examinés par la communauté, livrés avec vérification par empreinte numérique. Le format GGUF est un format de données, non un code exécutable, ce qui élimine le principal risque historique lié au téléchargement de modèles. Les publications communautaires méritent une attention accrue — toute personne peut publier dans un espace utilisateur — aussi privilégiez les modèles bien établis pour toute utilisation sérieuse.

Exécuter Ollama localement est-il plus sûr qu’utiliser une API cloud ?

En matière de confidentialité des données, oui : rien ne vaut des prompts qui ne quittent jamais votre matériel, ce qui revêt une importance particulière pour les données réglementées ou les codes confidentiels. Les API cloud transfèrent la responsabilité à la politique de sécurité et de conservation des données du fournisseur, en échange d’une maintenance nulle et d’aucun risque d’exposition lié à une mauvaise configuration de votre part. Si le coût, et non la confidentialité, est votre critère décisif, notre Calculateur d’auto-hébergement contre API : seuil de rentabilité montre où l’investissement matériel local devient rentable. Et si vous comparez différents exécutants locaux, LM Studio présente une posture de sécurité globalement similaire : local par défaut, l’exposition étant un choix délibéré.