Votre Almawarid tourne sur le PC du magasin ou sur le serveur de l’entreprise. Vous, vous êtes chez un fournisseur ; la comptable travaille de chez elle ; le second magasin a sa propre balance et son imprimante. Comment chacun joint l’ERP sans ouvrir la porte à tout Internet ? C’est exactement la question à laquelle répond le module Réseau privé : votre Almawarid accessible partout, fermé à tout le monde d’autre.
Le principe : un réseau en étoile, une clé par appareil
Le module construit un réseau privé dont le centre est votre installation Almawarid. Chaque téléphone, chaque ordinateur, chaque magasin reçoit sa propre clé et sa propre adresse dans ce réseau. Un appareil qui n’a pas de clé n’existe tout simplement pas pour votre serveur : il ne voit ni page de connexion, ni port ouvert, rien.
Le tunnel repose sur WireGuard, le standard ouvert adopté par les grands systèmes d’exploitation, avec ses applications officielles sur Android, iPhone, Windows, Mac et Linux. Rien à installer de propriétaire sur les appareils, rien à faire héberger chez un tiers : les données circulent directement entre l’appareil et votre serveur, chiffrées de bout en bout.
L’architecture, pièce par pièce
- Le hub : le poste ou le serveur sur lequel Almawarid est installé. Il porte une paire de clés qui lui est propre, dont la clé privée reste chiffrée sur la machine.
- Les appareils : téléphone, ordinateur ou site distant. Chacun a sa clé publique enregistrée côté hub et son adresse réservée. Le routage se fait par clé : le hub n’accepte d’un appareil que les paquets signés par sa clé et venant de son adresse.
- La portée : « ERP seul » donne accès à Almawarid et à rien d’autre ; « ERP + réseau local » ouvre aussi, pour un site, ses imprimantes et ses balances. Vous choisissez appareil par appareil.
- La box d’un site : le routeur ou la petite box du second magasin devient un appareil du réseau et relie tout son réseau local au hub. Le téléphone du gérant imprime alors sur l’imprimante du magasin 2 comme s’il y était.
La sécurité par conception
Nous avons conçu le module pour qu’une erreur humaine ne coûte pas une fuite de données.
- La clé privée d’un appareil n’est jamais enregistrée. Elle est générée au moment d’ajouter l’appareil, affichée une seule fois sous forme de QR code ou de fichier, puis oubliée par le serveur. Même un accès à la base de données ne la révèle pas.
- Une clé pré-partagée s’ajoute à chaque appareil, en plus de sa paire de clés : une couche supplémentaire contre les attaques sur les échanges de clés.
- Révocation en un clic. Téléphone perdu, salarié parti : l’appareil sort de la liste, et au prochain « Appliquer » le serveur cesse de l’accepter. Son adresse redevient libre.
- Rotation des clés du hub. Vous pouvez remplacer les clés du serveur ; l’écran vous indique alors quels appareils doivent être reconfigurés, pour qu’aucun ne reste sur une ancienne identité.
- Journal complet. Qui s’est connecté, quand, depuis quelle adresse ; et chaque geste d’administration : ajout, affichage de configuration, révocation, application. Vous relisez l’état réel du tunnel à tout moment.
- Le propriétaire seul administre le réseau privé. Un employé ne peut ni ajouter un appareil ni lire les clés.
Le parcours du gérant, tel qu’il se joue
- Paramètres → Accès distant. Vous indiquez comment les appareils joindront votre machine depuis l’extérieur, puis vous générez les clés du hub. Les valeurs proposées conviennent dans la plupart des cas.
- Ajouter un appareil. Un nom, un type (téléphone, ordinateur, site), une portée. La configuration s’affiche aussitôt : un QR code à scanner avec l’application WireGuard du téléphone, ou un fichier à importer sur un ordinateur.
- Appliquer. Almawarid écrit la configuration du hub et la charge dans WireGuard. L’écran dit ce qui est en place et ce qui reste à appliquer.
- Vivre avec. Le journal montre les connexions ; « Actualiser l’état » relit le tunnel ; « Révoquer » ferme la porte à un appareil ; « Régénérer » lui donne de nouvelles clés.
Trois situations où ça change tout
Le gérant en déplacement consulte le chiffre du jour, valide un devis ou regarde le stock depuis son téléphone, sur une connexion mobile ordinaire, sans que son Almawarid soit exposé sur Internet.
La comptable à distance saisit les factures d’achat et prépare la paie depuis son bureau, avec exactement ses droits, et rien d’autre que l’ERP n’est atteignable depuis son poste.
Le second magasin est relié par sa box : ses postes travaillent sur le même Almawarid que le siège, et le gérant imprime les étiquettes de prix sur l’imprimante du magasin 2 depuis son téléphone.
Comment l’obtenir
Le module Réseau privé s’active à la demande, sur devis, pour les entreprises dont Almawarid est installé sur leur poste ou leur serveur. Demandez-le depuis la Marketplace de votre compte ou parlez-en à un conseiller : nous le mettons en place avec vous, appareil par appareil.
Documentation Almawarid · Sécurité d’Almawarid · Choisir son ERP
