Accès distant — Foire aux questions

Mirox vous offre deux moyens d'atteindre les équipements d'un réseau de centrale depuis n'importe où : le VPN, une connexion réseau complète pour tout protocole, et le Proxy navigateur, un chemin réservé au navigateur vers l'interface web d'un équipement. Cette page répond aux questions de sécurité que les deux soulèvent — qui peut se connecter, comment l'accès est accordé puis retiré, ce qui est enregistré et comment le service reste disponible. En bref : l'accès distant est une capacité délibérément hiérarchisée et au moindre privilège, chaque connexion est attribuée à une personne nommée et journalisée à des fins de conformité, et le réseau de votre centrale n'a jamais à exposer de port entrant. Pour la description complète des fonctionnalités, voir VPN et Proxy ; pour le détail de l'audit, voir Journalisation d'audit des accès.

Choisir entre le VPN et le Proxy

1. Quelle est la différence entre le VPN et le Proxy navigateur ?

Ils atteignent les équipements de la centrale à deux niveaux différents. Le VPN donne à votre ordinateur une véritable connexion réseau vers les réseaux de centrales pour lesquels vous êtes autorisé — tout protocole fonctionne (l'interface web d'un équipement, SSH, Modbus, SNMP ou vos propres outils d'ingénierie), ce qui est puissant mais signifie qu'il s'agit de la forme d'accès la plus privilégiée. Le Proxy navigateur est l'option délibérément plus étroite et plus contrôlée : il ouvre l'interface web HTTP ou HTTPS d'un équipement précis directement dans votre navigateur, sans client à installer, et il ne peut atteindre que les cibles web qui ont été configurées pour un équipement — jamais des adresses et ports arbitraires sur le LAN de la centrale. Choisissez le Proxy pour les tâches quotidiennes dans le navigateur ; choisissez le VPN lorsque vous avez réellement besoin d'une connexion de niveau réseau.

2. Lequel utiliser, et pourquoi sont-ils restreints différemment ?

Utilisez le Proxy lorsque la tâche se déroule dans un navigateur — consulter le portail d'un onduleur, l'interface d'un enregistreur de données, l'administration web d'un commutateur. Utilisez le VPN lorsque vous avez besoin d'un protocole non web ou de vos propres outils dialoguant directement avec les équipements. Tous deux sont réservés aux fonctions techniques de la centrale — Exploitant et Gestionnaire technique — et tous deux sont accordés centrale par centrale, jamais à l'échelle de la plateforme. Ce qui diffère, c'est le rayon d'impact, pas le public : le Proxy ne peut jamais atteindre que des pages web d'équipements pré-approuvées, tandis que le VPN ouvre un véritable chemin réseau — c'est pourquoi chaque session VPN est routée, limitée en débit et auditée au niveau réseau. Accorder la portée centrale par centrale, et uniquement à celles et ceux qui portent la responsabilité technique de cette centrale, est au cœur de la conception au moindre privilège. Il existe un public de plus, plus étroit que les deux : un Responsable sécurité atteint lui aussi les deux voies, mais uniquement à l'intérieur des segments réseau qui lui ont été accordés — voir Segmentation réseau.

VPN — Accès et autorisations

3. Qui peut se connecter au réseau de ma centrale via le VPN ?

La connectivité VPN est accordée aux fonctions techniques de la centrale — Gestionnaire technique et Exploitant — et elle se décide par centrale, de sorte qu'une route n'existe que pour les centrales dont la personne est techniquement responsable. On atteint ce niveau de trois manières : un octroi direct de Gestionnaire technique ou d'Exploitant sur la centrale spécifique ou son portefeuille, par héritage d'un rôle d'organisation (Admin et Modérateur correspondent à Exploitant, Gestionnaire d'actifs (technique) correspond à Gestionnaire technique, sur les centrales de leur propre organisation), ou via une coopération qui accorde l'une de ces fonctions sur une centrale partagée. Tous les autres — Gestionnaire d'actifs (commercial), Spectateur, simples membres et invités — ne reçoivent aucune route VPN. Le versant commercial et en lecture seule de la plateforme n'obtient jamais de tunnel réseau brut vers une centrale. Un Responsable sécurité reçoit lui aussi une route VPN, et c'est la plus étroite que la plateforme délivre : uniquement les sous-réseaux étiquetés comme les segments qui lui ont été accordés, jamais le reste de la centrale ni un réseau de commande.

Cette réponse concerne le VPN personnel. Les tunnels d'infrastructure au niveau de la centrale — les VPN directs de centrale et les services VPN d'organisation — sont configurés séparément par un Modérateur ou un Admin de l'organisation et transportent le trafic de supervision et d'équipe propre à la centrale, plutôt que l'accès d'une personne individuelle.

4. Puis-je donner un accès VPN à une seule centrale ?

Oui — c'est le cas normal. La vérification s'effectue par centrale : vous accordez la fonction Gestionnaire technique exactement sur la centrale (ou le portefeuille) dont cette personne est responsable, et son profil VPN route ces sous-réseaux et rien d'autre. Qui suit trois de vos vingt centrales atteint trois réseaux de centrale ; les dix-sept autres ne sont pas simplement masquées, elles ne sont jamais routées pour cette personne. Gardez à l'esprit qu'un rôle d'organisation définit une fonction par défaut sur toutes les centrales de l'organisation : une personne qui ne doit atteindre que certaines centrales devrait avoir un rôle d'organisation qui n'accorde en soi aucun VPN (Membre ou Externe), avec la fonction Gestionnaire technique accordée centrale par centrale. Les personnes externes se traitent de la même façon via une coopération. Voir le Système de permissions pour la correspondance complète rôle-fonction.

5. Un technicien externe peut-il accéder à l'une de mes centrales ?

Oui — par une coopération — et selon exactement les mêmes règles que votre propre personnel. L'accès VPN exige toujours que la coopération accorde à la personne externe la fonction Gestionnaire technique ou Exploitant sur la centrale partagée, et il n'ouvre que les réseaux de cette centrale ; l'accès Proxy suit les mêmes fonctions techniques. Aucune coopération ne peut accorder plus que ce que vous choisissez de partager, chaque connexion du technicien externe est enregistrée dans le journal d'audit des accès de votre centrale, exactement comme une connexion interne, et vous pouvez réduire ou révoquer la coopération à tout moment, ce qui retire son accès — normalement en quelques secondes, et jamais au-delà du cycle de synchronisation de 10 minutes décrit à la question 9.

VPN — Profils, clés et routage

6. Pourquoi chaque personne reçoit-elle son propre profil VPN plutôt qu'un profil partagé ?

Un profil personnel est ce qui rend la responsabilisation possible. Comme chaque connexion est liée à un compte Mirox nommé, le journal d'audit de conformité peut répondre à la question « qui s'est connecté » pour chaque session — une clé partagée rendrait cela impossible. Un profil personnel permet aussi à chaque utilisateur de renouveler ou de révoquer ses propres clés indépendamment, sans perturber les autres, et il garde la garde des clés du côté de l'utilisateur : la clé privée est générée sur le propre appareil de l'utilisateur et n'est jamais stockée par Mirox. La configuration n'est affichée qu'une seule fois lors de sa création ou de son renouvellement ; si vous la perdez, il suffit de la renouveler pour en obtenir une nouvelle.

7. Quel chiffrement le VPN utilise-t-il ?

Le VPN personnel utilise WireGuard avec une cryptographie moderne : échange de clés Curve25519 et chiffrement authentifié. Votre clé privée est générée sur votre propre appareil et ne le quitte jamais — Mirox ne voit jamais que votre clé publique. Le tunnel est un split tunnel : seul le trafic destiné aux réseaux privés des centrales y entre, tandis que votre trafic Internet ordinaire (web, e-mail, visioconférence) reste sur votre propre connexion et ne transite jamais par Mirox. Voir le guide de configuration du VPN personnel pour émettre et importer votre profil.

8. Comment de nouvelles centrales apparaissent-elles dans mon VPN sans rien retélécharger ?

Votre fichier de configuration est fixe pour toute la durée de vie de votre profil — vous ne le réimportez jamais lorsque votre accès change. Ce qui évolue est maintenu côté Mirox : l'ensemble des sous-réseaux de centrales que votre profil est autorisé à atteindre est calculé à partir de vos autorisations en cours et tenu à jour en continu. Dès que l'accès Gestionnaire technique ou Exploitant à une nouvelle centrale vous est accordé, les réseaux de cette centrale deviennent accessibles via votre tunnel existant — généralement en quelques secondes, et au plus tard en 10 minutes (voir la question 9) — sans réinstallation et sans action de votre part. Le bouton Refresh (Actualiser) de l'onglet VPN de votre profil recalcule vos routes sur-le-champ si vous ne souhaitez pas attendre. Une centrale dont l'agent n'est pas encore déployé apparaît comme « pas encore accessible » et devient active automatiquement dès que son agent est en ligne.

VPN — Révocation et isolation

9. Comment l'accès est-il retiré — et à quelle vitesse ?

Lorsque votre fonction technique sur une centrale prend fin — parce que votre fonction est retirée ou abaissée, que votre appartenance à l'organisation change, ou qu'une coopération est réduite ou terminée — la centrale concernée est retirée de vos routes accessibles et le chemin réseau vers elle est démantelé. Normalement, cela se produit en quelques secondes ; la limite haute garantie est de 10 minutes.

Les deux chiffres sont exacts, et l'écart entre eux est délibéré. La plupart des modifications d'autorisation déclenchent un recalcul immédiat des profils concernés. Certaines modifications ont toutefois une portée trop large pour être traitées ainsi : abaisser le rôle d'une coopération peut concerner d'un coup tous les utilisateurs des deux côtés. Plutôt que de couvrir chaque chemin imaginable par un recalcul immédiat, une synchronisation en arrière-plan tourne en continu et revérifie chaque profil actif par rapport aux autorisations en cours sur un cycle de 10 minutes, en supprimant toute route qui ne devrait plus exister. La limite haute est ainsi une propriété du système et non d'un chemin de code particulier : un événement manqué ou non traité ne peut pas laisser une route en place au-delà d'un cycle.

Le même changement d'autorisation retire également votre accès au Proxy. Si votre compte utilisateur est supprimé, votre accès distant s'arrête selon la même règle, tandis que l'historique de conformité que vous avez généré est conservé pendant la durée de conservation légale.

10. Comment les différentes centrales et organisations sont-elles isolées les unes des autres ?

La connexion de chaque utilisateur est confinée à un ensemble de routes isolé, dérivé uniquement des centrales sur lesquelles cet utilisateur détient une fonction technique qualifiante, plus toute portée de coopération explicitement invitée. Les sous-réseaux pour lesquels vous n'êtes pas autorisé ne sont tout simplement jamais routés pour vous — il n'existe aucun chemin réseau entre votre tunnel et les réseaux de centrales d'une autre organisation, et les utilisateurs d'une organisation ne peuvent pas voir ceux d'une autre. L'accessibilité est dérivée des autorisations de bout en bout, de sorte que l'isolation est imposée par ce qui est routé, et pas seulement par ce qui est affiché dans l'interface.

11. Que se passe-t-il lorsque deux centrales utilisent la même plage d'adresses IP internes ?

Cela est géré explicitement. Si deux centrales que vous pouvez atteindre utilisent toutes deux la même plage locale (par exemple deux centrales sur 192.168.1.0/24), le système détecte le chevauchement et le signale dans votre liste de routes plutôt que de deviner. Vous décidez laquelle des centrales en conflit est prioritaire pour vous, de sorte qu'il n'y a jamais d'ambiguïté sur le réseau que vous atteignez — le commutateur Use this park (Utiliser ce parc) sur la route en conflit permute la priorité à tout moment, ce qui vous permet d'atteindre les deux centrales l'une après l'autre.

Le Proxy navigateur

12. Qui peut utiliser le Proxy ?

Le Proxy est ouvert à Exploitant et Gestionnaire technique sur la centrale — y compris les Admins et Modérateurs d'organisation qui correspondent à ces fonctions, ainsi que les membres de coopération qui les détiennent. Les Spectateurs sont refusés. C'est le même public technique que le VPN, et pour la même raison : tous deux mènent à des équipements de centrale en service, ils restent donc entre les mains de celles et ceux qui portent la responsabilité technique de cette centrale précise. Le Proxy est le plus étroit des deux — il ne peut atteindre que des interfaces web d'équipements pré-approuvées, jamais le réseau de la centrale lui-même, et chaque requête est vérifiée en autorisations et auditée. Configurer quelles pages web d'équipement existent en tant que cibles est en soi une action réservée au niveau Gestionnaire technique et au-dessus. Un Responsable sécurité peut également ouvrir le Proxy, limité aux équipements situés dans ses segments accordés — et seulement pour utiliser les cibles existantes : définir ou réorienter une cible web reste réservé à l'Exploitant et au Gestionnaire technique, car orienter une cible est précisément la manière d'atteindre un réseau qui ne vous a jamais été accordé.

13. Le Proxy exige-t-il une authentification à deux facteurs ?

Oui. Ouvrir un équipement via le Proxy exige l'authentification à deux facteurs (2FA) sur votre compte (une application d'authentification ou une passkey) et une connexion Mirox en cours qui a franchi la seconde étape ; sans 2FA, le Proxy refuse d'ouvrir un équipement, quel que soit votre rôle. L'accès Proxy prend aussi fin avec la connexion : lorsque vous vous déconnectez, ou que votre connexion prend fin ou est fermée depuis un autre endroit, le Proxy se ferme avec elle (voir la question 24). Par défaut, c'est plus strict que le reste de la plateforme, où la 2FA est facultative sauf si une organisation l'exige pour ses centrales — le Proxy la demande toujours, parce qu'il est un chemin vers des équipements en service. En plus de votre connexion Mirox et de la 2FA, l'équipement lui-même peut exiger sa propre authentification, de sorte qu'il y a souvent deux couches d'authentification indépendantes protégeant un équipement.

14. Mes mots de passe d'équipement sont-ils stockés, et qui peut les voir ?

Les identifiants d'équipement que vous enregistrez pour le Proxy (et pour les vérifications de connexion aux équipements) sont conservés dans un coffre de mots de passe chiffré, et l'accès pour les saisir ou les utiliser est réservé à Exploitant et Gestionnaire technique sur la centrale. Ils ne sont jamais exposés aux autres rôles, jamais montrés à l'assistant IA, et jamais inscrits dans les journaux. Le Proxy ne gère que le transport et le contrôle d'accès côté Mirox ; l'authentification propre de l'équipement reste en vigueur. Un Responsable sécurité détient les identifiants d'interface web des équipements réseau de ses propres segments — le mot de passe administrateur d'une caméra, par exemple — et jamais les secrets de l'enregistreur de données, qui restent chez l'Exploitant et le Gestionnaire technique.

15. Quelqu'un peut-il entrer si je partage un lien de proxy ?

Non — une URL de proxy n'est pas un octroi d'accès. L'adresse de l'interface web proxifiée d'un équipement est stable et partageable, mais quiconque l'ouvre doit toujours se connecter lui-même à Mirox, avoir l'authentification à deux facteurs sur son propre compte et détenir le rôle requis sur cette centrale. Un lien à lui seul n'atteint rien ; ces vérifications ont lieu à chaque requête.

Disponibilité et résilience

16. Quelle est la robustesse de l'accès distant — que se passe-t-il si un serveur ou une région tombe en panne ?

La plateforme fonctionne simultanément sur plusieurs régions de centres de données européens indépendantes, chacune exécutant la pile complète, et au sein de chaque région l'accès distant est servi par plusieurs serveurs — il n'y a donc aucun point de défaillance unique. Votre connexion s'attache toujours à un point d'entrée sain ; si l'un devient indisponible, elle est rétablie automatiquement sur un autre serveur sain, et vous n'avez rien à reconfigurer. Combinée à la supervision automatique des agents de centrale, l'architecture est conçue pour offrir une haute disponibilité.

17. Qu'est-ce qui maintient le côté centrale disponible ?

L'agent de chaque centrale est supervisé par une couche d'orchestration qui vérifie en continu, à intervalle court, à la fois son existence et sa disponibilité. Si un agent est manquant, cesse de répondre ou si son hôte tombe en panne, il est automatiquement redémarré, redéployé ou relocalisé sur un autre hôte sain — sans visite sur site. Une protection garantit que le même agent n'est jamais exécuté à deux endroits à la fois. Comme l'agent est ce qui termine la connexion côté centrale aussi bien pour le VPN que pour le Proxy, cette supervision est ce qui maintient votre centrale accessible.

18. Le réseau de ma centrale doit-il avoir un port entrant ouvert ?

L'agent ne s'exécute pas à l'intérieur du réseau de votre centrale — il s'exécute dans le cloud Mirox et atteint la centrale via un tunnel VPN dédié. Vous choisissez le sens de ce tunnel : soit le routeur de votre centrale compose vers l'extérieur, vers le point de terminaison VPN de l'agent, auquel cas votre pare-feu n'a besoin que d'une connectivité sortante, soit l'agent se connecte à un serveur VPN que votre routeur exécute déjà. Dans les deux cas, seul le point de terminaison du tunnel est impliqué — aucun appareil à l'intérieur de la centrale n'est exposé à Internet, et rien d'autre que l'agent propre à la centrale ne peut initier du trafic vers le réseau de votre centrale. Cela vaut aussi bien pour le VPN que pour le Proxy.

19. L'agent est-il le seul moyen d'entrer dans le réseau de ma centrale ?

Oui. Le réseau de la centrale ne devient accessible via la plateforme que tant que le tunnel de l'agent vers la centrale est actif, et tout le trafic autorisé — VPN ou Proxy — atteint la centrale à travers cet agent. C'est le point d'entrée unique, et il est borné à sa propre centrale : il ne peut atteindre, et n'est pas un chemin vers, aucune autre centrale ni aucun autre réseau.

Audit et confidentialité

20. Chaque accès est-il enregistré ? À quelle norme le journal répond-il ?

Oui — chaque connexion VPN et chaque session Proxy est enregistrée automatiquement par la plateforme au fil du trafic ; les utilisateurs ne peuvent pas influencer ce qui est capturé. Le journal d'accès est conçu pour répondre aux exigences de journalisation des accès distants des normes KRITIS allemande et NIS2 européenne. Pour chaque accès, il enregistre qui s'est connecté, quand et depuis où (IP source et région géographique), quels sous-réseaux et équipements de centrale ont été atteints, et quels protocoles et ports ; pour le Proxy, il enregistre en outre l'activité des requêtes web (l'équipement atteint, le nombre de requêtes et les méthodes, le volume de données). Les enregistrements sont conservés pendant 730 jours (24 mois) par défaut, puis automatiquement purgés. La profondeur de cet audit est traitée en détail sur la page Journalisation d'audit des accès.

21. Qui peut consulter le journal d'accès ? Puis-je voir mes propres connexions ?

Le journal d'accès complet d'une centrale n'est visible que par les exploitants responsables de cette centrale — niveau Gestionnaire technique et au-dessus sur la centrale, y compris les techniciens invités par coopération. L'utilisateur qui se connecte ne voit pas le journal d'audit de l'exploitant ; cette surface est réservée à la partie qui porte l'obligation de reporting. Vous pouvez en revanche consulter votre propre historique de connexions depuis votre profil : le début de chaque session, depuis quelle région et quelle IP source, la localisation approximative et le volume de données échangé. Ni les exploitants ni les utilisateurs ne peuvent modifier ou supprimer les enregistrements d'audit — voir la section conservation et résistance à l'altération du journal d'audit. Un Responsable sécurité voit lui aussi le journal, filtré sur les équipements situés dans ses segments accordés : de quoi rendre compte de son propre travail sur la centrale, et rien sur qui a atteint les réseaux qui ne lui ont pas été accordés.

22. Mirox voit-il le contenu de mes sessions ?

Non. L'audit enregistre des métadonnées — connexions, points d'extrémité, ports, protocoles, horodatages et volumes de trafic, ainsi que les pages web d'équipement qu'une session Proxy a touchées — et non le contenu de ce que vous faites. Les charges utiles des paquets VPN, le corps des pages web, les frappes au clavier et les enregistrements d'écran ne sont délibérément pas capturés, car cela serait à la fois problématique pour la confidentialité et inutile pour le reporting de conformité. La limite de confidentialité est décrite en détail dans la section confidentialité de la page Journalisation d'audit des accès.

Connexion, sessions et 2FA

23. Le VPN dépend-il de ma connexion Mirox ou de la 2FA ?

Non. Le VPN repose sur un certificat : un tunnel s'ouvre avec votre certificat VPN personnel, pas avec votre connexion à l'application web ou à l'application mobile. Être déconnecté ne le coupe pas, aucun code n'est demandé pour une connexion VPN, et l'exigence de 2FA d'une organisation ne modifie ni votre certificat ni vos routes. Ce qui décide de vos routes, c'est la fonction technique que vous détenez sur chaque centrale (question 3). Comme le certificat est la clé, conservez-le en lieu sûr et révoquez-le immédiatement si un appareil est perdu. Voir VPN.

24. Que devient mon accès Proxy lorsque ma connexion Mirox prend fin ?

Il prend fin avec la connexion : la requête suivante vers l'équipement est refusée, et un flux en direct déjà ouvert est fermé en une minute environ. Le Proxy a besoin d'une connexion en cours, et une connexion ne dure pas indéfiniment. Votre organisation en fixe la durée ; sans règle propre, la valeur par défaut de Mirox est d'un an dans l'application web. Si votre organisation a fixé un intervalle de revérification 2FA, un compte avec 2FA (application d'authentification ou passkey) doit en plus se reconnecter un certain temps après la dernière preuve de son second facteur. Il en va de même lorsque vous vous déconnectez, lorsque la session est fermée depuis la liste des sessions de votre profil, ou après une réinitialisation de mot de passe. Reconnectez-vous et ouvrez de nouveau l'équipement. Voir Politique de sécurité de l'organisation.

25. Une organisation exige la 2FA pour ses centrales. Qu'est-ce qui change pour l'accès distant ?

Pour le Proxy, peu de chose : il exige de toute façon la 2FA. Ce qui change, c'est la centrale elle-même. À partir de la date de début fixée par l'organisation, un utilisateur sans second facteur ne voit plus les centrales de cette organisation dans l'application web et l'application mobile — et avec elles le proxy d'équipement de ces centrales — jusqu'à ce qu'il active la 2FA. Personne n'est déconnecté, et les centrales réapparaissent dès que la 2FA est activée. La règle appartient à l'organisation propriétaire de la centrale ; elle s'applique donc aussi aux techniciens d'un partenaire de coopération sur cette centrale. Les connexions VPN ne sont pas concernées (question 23), et les notifications d'alarme sont toujours envoyées. Voir Politique de sécurité de l'organisation.

Fonctionnalités associées