Les trois options, par ordre de sûreté

Vous savez maintenant ce qu'une exposition met en jeu. Voici les trois façons d'accéder à vos services, classées de la plus sûre à la plus risquée. Cet ordre n'est pas une préférence de style : chaque marche descendue augmente réellement la surface d'attaque.

Cette leçon ne donne aucune procédure d'ouverture de port. Elle donne le mécanisme, le risque, et ce qu'il faut avoir en place avant d'y penser.

Option 1 : ne pas sortir du tout

Le service n'est joignable que depuis votre réseau, chez vous. Depuis l'extérieur, il n'existe pas.

C'est l'option la plus sûre, et de loin. C'est aussi celle que la plupart des gens écartent en trois secondes, à tort.

Un serveur de films se regarde sur le téléviseur du salon. Un serveur de photos importe automatiquement celles du téléphone dès qu'il rentre sur le réseau. Une synchronisation de fichiers rattrape son retard le soir. Beaucoup d'usages n'ont jamais besoin d'un accès depuis l'extérieur : c'est l'habitude prise avec les services en ligne qui fait croire le contraire.

Commencez toujours par là. Vous pourrez ouvrir plus tard, quand un besoin réel se sera manifesté.

Option 2 : le tunnel privé

Si l'accès depuis l'extérieur est nécessaire, la bonne réponse est presque toujours le VPN (un tunnel privé chiffré par lequel votre téléphone rejoint votre réseau domestique, comme s'il y était branché).

Ce qui change tout : rien n'est exposé, sauf le point d'entrée du tunnel lui-même. Un robot qui balaye votre adresse publique ne voit pas votre serveur de photos, ne voit pas sa version, ne peut pas essayer de mots de passe dessus. Il voit un point d'entrée qui, correctement configuré, ne répond qu'à qui présente la bonne clé cryptographique.

Un service exposé donne au robot une cible à travailler. Un tunnel ne lui donne rien.

Les contreparties, honnêtement :

• Il faut installer une petite application sur chaque appareil qui s'en sert.
• Il faut l'activer avant de consulter ses photos, ce qui est une seconde d'agacement à chaque fois.
• Ce n'est partageable avec des proches qu'au prix d'un peu de pédagogie.
• La configuration initiale demande une petite heure.

C'est le meilleur compromis pour un accès personnel ou familial, et la réponse par défaut de ce cours. Le principe des clés cryptographiques, très proche, est illustré par le guide Configurer l'authentification SSH par clé ED25519 : SSH (un accès en ligne de commande à distance, chiffré) et un tunnel privé reposent sur la même idée de clé plutôt que de mot de passe.

Option 3 : l'exposition directe, et ce qu'elle exige

Il reste des cas où l'exposition directe se justifie : un service que des personnes extérieures doivent consulter sans rien installer, une page publique, un partage avec des gens à qui vous ne ferez pas installer d'application.

Dans ce cas, la question n'est pas « comment ouvrir un port ». C'est « qu'est-ce qui doit être vrai avant que j'y pense ». Voici la liste. Elle n'est pas négociable, et tant qu'une ligne manque, l'option 2 reste la réponse.

• Le service est à jour, et vous avez un moyen de le maintenir à jour. Pas « je mettrai à jour quand j'y penserai » : un rappel, ou une mise à jour automatique.
• Aucun mot de passe par défaut ne subsiste, et les mots de passe sont longs et uniques.
• La double authentification est active sur les comptes du service, si celui-ci la propose. Le guide Activer la double authentification explique la mise en place.
• Un seul service est exposé, celui qui en a besoin, et pas l'ensemble de la machine. Surtout pas l'accès en ligne de commande.
• La connexion est chiffrée, par HTTPS (la version chiffrée des échanges web, celle qui affiche un cadenas dans le navigateur). Sans cela, vos mots de passe circulent en clair sur les réseaux que vous traversez.
• Les tentatives répétées sont bloquées automatiquement après quelques échecs. Sans cela, un robot dispose de l'éternité pour essayer.
• Vous surveillez le serveur et savez qu'il fonctionne anormalement avant que le fournisseur d'accès ne vous le signale.
• La sauvegarde du chapitre précédent est en place et testée. Une machine compromise se remet à zéro ; sans sauvegarde vérifiée, vous ne la remettez pas.
• Le serveur est isolé du reste du réseau autant que votre box le permet, pour qu'une machine compromise ne voie pas vos ordinateurs personnels. La fiche Configurer un réseau local sécurisé à la maison donne la marche à suivre selon les box courantes.

Neuf lignes. Si cette liste vous paraît lourde, c'est le signal utile de cette leçon : l'exposition directe n'est pas une case à cocher dans la box, c'est un engagement d'entretien.

flowchart TD
  A["Besoin d acces"] --> B{"Depuis l exterieur"}
  B -->|"Non"| C["Option 1<br/>reseau local seul"]
  B -->|"Oui"| D{"Pour vous et vos proches"}
  D -->|"Oui"| E["Option 2<br/>tunnel prive"]
  D -->|"Public sans installation"| F{"Les neuf conditions"}
  F -->|"Non"| E
  F -->|"Oui"| G["Option 3<br/>exposition directe"]

Cas concret

Une famille veut trois choses et fait trois choix différents, ce qui est la bonne façon de procéder.

Les films se regardent sur le téléviseur du salon, jamais ailleurs. Option 1. Rien n'est exposé, rien n'est à maintenir côté sécurité.

Les photos doivent être consultables en déplacement par les deux parents. Option 2 : un tunnel privé, une application sur les deux téléphones, une heure de configuration un dimanche. Le serveur de photos reste invisible depuis Internet.

Une galerie d'un mariage, à partager avec quarante invités qui n'installeront jamais rien. Option 3, et la famille fait le tour de la liste. Elle constate qu'elle ne sait ni bloquer les tentatives répétées ni surveiller le serveur. Décision : la galerie part sur un service en ligne le temps de l'événement, et le serveur maison reste en option 2.

Ce n'est pas un échec. C'est le raisonnement du cours appliqué correctement : on n'expose que ce dont on peut assumer l'entretien.

Erreurs fréquentes

• Ouvrir un port « juste pour tester ». Le test dure cinq minutes, l'ouverture reste des mois, et les robots passent entre-temps.
• Exposer l'accès en ligne de commande pour se dépanner à distance. C'est la cible la plus recherchée d'Internet ; un tunnel privé rend le même service sans rien exposer.
• Ouvrir avant d'avoir la sauvegarde. Une machine compromise ne se nettoie pas, elle se refait à partir d'une sauvegarde saine. Sans sauvegarde, il n'y a rien à refaire.

À retenir

• Par ordre de sûreté : rester sur son réseau, puis tunnel privé, puis exposition directe.
• Un tunnel privé n'expose que son point d'entrée : le robot de balayage ne voit aucun de vos services.
• L'exposition directe n'est envisageable qu'avec les neuf conditions réunies, sauvegarde testée comprise.

Mini-exercice

Reprenez la liste des services que vous voulez héberger. En face de chacun, écrivez 1, 2 ou 3 selon l'option dont il a réellement besoin, puis justifiez en une phrase chaque fois que vous écrivez 3. Si la phrase commence par « ce serait plus pratique », remplacez le 3 par un 2.