Sécurité

Comment ça marche

L'agent installé sur votre machine ouvre une connexion sortante vers notre relais et la maintient. Rien n'écoute sur votre box, aucun port n'est redirigé et votre adresse IP n'a pas besoin d'être publique. Le trafic venu d'internet arrive d'abord chez nous, et nous le transmettons par cette connexion au seul service que vous avez indiqué.

L'adresse HTTPS de votre service est publique : quiconque la connaît verra sa page de connexion. L'accès est protégé par la connexion du service lui-même : choisissez un mot de passe fort et activez l'authentification à deux facteurs (2FA) - dans Home Assistant, elle se trouve dans le profil utilisateur.

Ce que l'agent peut faire sur votre serveur

• Se connecter à une adresse locale que vous avez vous-même indiquée à l'installation (par exemple localhost:8123).
• Ouvrir un port en écoute de notre côté - uniquement celui attribué à votre tunnel.
• Signaler qu'il fonctionne, ainsi que l'utilisation du processeur et de la mémoire si vous activez la supervision.

Ce que l'agent ne peut pas faire

Ce ne sont pas des engagements mais des limites imposées par la configuration du serveur SSH. Chacune est vérifiable dans le code de l'agent, qui est ouvert.

• Il ne donne d'accès shell sur votre système ni à vous ni à nous. Le compte utilisé par le tunnel a /bin/false comme interpréteur et une commande forcée - aucune commande venue de l'extérieur ne s'exécutera.
• Il n'atteint aucun autre service de votre machine. Le serveur SSH n'autorise que la redirection distante : impossible de se connecter par le tunnel à votre base de données, à votre NAS ou à quoi que ce soit d'autre sur votre réseau.
• Il ne prend pas le port d'un autre. Chaque clé est restreinte à un port unique, un client ne peut donc pas détourner le tunnel d'un autre.
• Il ne change pas l'adresse qu'il dessert. Le pilotage à distance de ce réglage avait été implémenté puis délibérément retiré : une intrusion dans notre base aurait sinon permis d'exposer le serveur d'un tiers sur internet.

Chiffrement

• Clés SSH : Ed25519, une paire distincte par tunnel, générée à la création.
• Clé privée dans notre base : chiffrée en AES-256-GCM, clé dérivée par scrypt.
• Trafic vers vous : HTTPS du navigateur jusqu'à Cloudflare, qui le transmet à notre relais ; du relais à votre serveur - à l'intérieur du tunnel SSH. Le HTTPS se termine chez Cloudflare et sur le relais, pas sur votre serveur.
• Authentification de l'agent : par clé uniquement. La connexion par mot de passe est désactivée.

Ce que nous conservons vous concernant

La liste complète, sans omission :

Nous ne conservons pas le contenu du trafic qui transite par nous, et nous n'avons ni votre mot de passe Home Assistant ni celui d'un autre service - vous vous y connectez directement. Une distinction mérite toutefois d'être faite : ne pas conserver n'est pas la même chose que ne pas voir. La connexion HTTPS se termine sur notre relais (et avant lui sur Cloudflare, qui protège les sous-domaines des attaques) : techniquement, le trafic y passe donc en clair. C'est ainsi que fonctionne tout reverse proxy, chez nos concurrents aussi. Si vous voulez que personne sur le chemin ne puisse lire le trafic, même en théorie, il vous faut un chiffrement de bout en bout au-dessus du tunnel.

Et si nous cessions notre activité

Question légitime pour un service dont dépend l'accès à votre domicile. La réponse :

• Votre Home Assistant, votre NAS ou autre continue de fonctionner en local. Le tunnel est un chemin depuis l'extérieur, pas une condition de fonctionnement.
• Vous ne perdez aucune configuration - tout reste sur votre appareil.
• Vous supprimez l'agent comme n'importe quel programme : le module dans Home Assistant, le conteneur dans Docker ou le paquet sous Linux. Il ne laisse que son fichier de configuration.
• Vous pouvez passer à Tailscale, WireGuard, Nabu Casa ou à la redirection de port. Rien ne vous lie à nous, sinon un abonnement résiliable.

Vous avez trouvé une faille ?

Écrivez à [email protected]. Nous répondons sous 72 heures. Merci de nous contacter avant toute divulgation publique - nous corrigeons et vous tenons informé.

Dans le périmètre : notre site, le panneau, le relais et l'agent. Hors périmètre : les sous-domaines de tunnels, car ce sont les applications de nos clients qui y sont servies - des serveurs tiers, dont nous ne pouvons pas autoriser le test.