Ce qu’il faut savoir avant d’installer.

Architecture

Quatre éléments, identiques dans tous les secteurs.

Console, CLI ou assistant IAHTTPS →Hub← WSSSonde→Machine ou équipement

• Sonde. Installée sur chaque machine pilotée, elle exécute ce que le hub lui confie et ne décide rien. Elle ouvre une seule connexion sortante vers le hub.
• Hub. Identités, droits, approbations, journal d’audit, console web et distribution des mises à jour signées. Base Postgres, organisations cloisonnées.
• Console. Machines, appels, clés d’accès, droits, approbations, calendriers et journaux. Comptes nominatifs, second facteur facultatif.
• Assistants et scripts. Un assistant IA se branche par un pont MCP local ; une ligne de commande offre les mêmes opérations pour les scripts.

Flux réseau

• Chaque sonde ouvre une connexion WebSocket chiffrée (WSS) sortante vers le hub, sur le port 443. Aucun port entrant n’est requis sur le site.
• Le proxy HTTP d’entreprise (méthode CONNECT) n’est pas pris en charge : la sortie directe vers le hub en 443 doit être autorisée.
• Console, ligne de commande et assistants joignent le hub en HTTPS. TLS 1.2 et 1.3, terminés par le proxy inverse placé devant le hub.
• Le hub est le point de contrôle : il voit les échanges pour appliquer droits, approbations et journal. Il n’y a pas de chiffrement de bout en bout entre l’opérateur et la sonde.
• Le chiffrement entre la sonde et un équipement dépend du protocole de cet équipement.

Systèmes pris en charge

Installation et mises à jour

• Un administrateur crée un code d’enrôlement dans la console (« Ajouter une machine »). Il est à usage unique et valable de 10 minutes à 24 heures.
• L’installeur échange ce code contre l’identité de la machine et un jeton propre à elle. Ce jeton ne sert qu’à connecter la sonde et ne donne aucun pouvoir de contrôle.
• Sur Android TV, l’application affiche un code court à approuver dans la console.
• Les mises à jour suivent un manifeste signé (Ed25519) avec protection contre le retour à une version antérieure, une machine à la fois, en commençant par une machine témoin. Elles se font par l’application sur Android ; elles ne sont pas automatiques sur les boîtiers KVM.

Droits, approbations et journal

Une clé d’accès démarre sans droit ; chaque action se coche machine par machine. Certaines écritures d’équipement demandent une approbation dans la console, avec code à usage unique selon la politique. Chaque appel laisse une ligne dans le journal d’audit du hub. Le détail est sur la page Sécurité et traçabilité.

Pilotage des équipements

• Un moteur de connecteurs, sur la sonde, pilote les équipements du site à partir de fiches : une fiche décrit les opérations d’un modèle, sans recompiler la sonde.
• Transports disponibles : TCP texte, JSON-RPC, HTTP et HTTPS, SSH, UDP, Wake-on-LAN, et sessions TCP, TLS ou UDP persistantes.
• Politique locale par environnement (laboratoire, recette, production), niveaux d’impact, code à usage unique pour les écritures sensibles, journal local écrit avant chaque effet. Les opérations qui le prévoient relisent l’état après l’écriture.
• Certaines fiches sont éprouvées sur émulateur, d’autres restent à l’étude. Les protocoles du bâtiment et de l’IoT (BACnet, Modbus, KNX, MQTT, liaisons série) passent par un pont développé et qualifié par projet.

Assistants IA

• Le client IA (Claude Code, Codex ou tout client MCP) lance un pont MCP local qui parle au hub en HTTPS.
• L’assistant n’a que les machines et les outils ouverts à sa clé. Les clés d’assistants expirent au plus tard après 90 jours et ne sont jamais plus puissantes que le compte qui les crée.
• Le modèle d’IA se choisit ; ses propres conditions d’utilisation des données s’appliquent.

Audit réseau

• Inventaire TCP borné : adresses et ports explicites, concurrence et délais limités.
• Voisins du réseau local (cache ARP sous Linux) et informations réseau de la machine.
• Quatre lectures système en SNMPv2c, et le test d’une paire d’identifiants HTTP fournie par l’opérateur.
• C’est un outil d’inventaire, pas un scanner de vulnérabilités.

Hébergement et données

• Hub hébergé et exploité par nos soins. L’installation sur votre propre serveur est possible en projet ; elle n’est pas encore livrée clés en main.
• Les résultats des commandes restent au plus six heures sur le hub. Le journal complet des commandes, s’il est activé, conserve les arguments et sorties masqués 90 jours par défaut.
• Les secrets d’équipements sont résolus sur la sonde ; un coffre chiffré du hub peut aussi en garder, avec lecture journalisée.

Limites connues

• Pas encore d’authentification unique (SSO) ni de clés matérielles (WebAuthn) pour la console.
• Pas de haute disponibilité livrée clés en main pour le hub.
• Signature de code Windows (Authenticode) et notarisation macOS pas encore en place.
• Proxy HTTP d’entreprise non pris en charge pour la liaison au hub.