mais non, t'as pas compris : tu peux dire à ton serveur ssh de chrooter l'utilisateur quand celui-ci se connecte par ssh (donc aussi, bien sûr, par scp et sftp, puisque c'est le même serveur). Tu as juste à modifier ton serveur ssh, pas les clients
Le seul risque, alors, c'est que l'utilisateur se connectant peux effacer son home, mais c'est tout...