Donnez à Codex un accès SSH — sans lui confier vos clés.

01  /  configuration en 3 étapes

Connectez Codex à vos serveurs en trois étapes.

Termalin intègre un vrai serveur MCP — un binaire termalin-mcp fourni avec l’app, qui donne à un agent un accès SSH et SFTP aux hôtes que vous choisissez, authentifié via l’agent de clés de l’app. Consultez la liste complète des outils MCP (en anglais).

• 1Choisissez les hôtes. Installez Termalin et choisissez ce que vous exposez dans Paramètres → MCP — chaque hôte y est inscrit avec une authentification par agent uniquement, si bien qu’aucun mot de passe n’atterrit sur le disque. Profitez-en pour définir la politique d’agent de chaque hôte : complet, liste de commandes autorisées ou bloqué.
• 2Déclarez le serveur. Codex lit ses serveurs MCP dans la section mcp_servers de ~/.codex/config.toml — ajoutez une entrée qui pointe vers le binaire :

[mcp_servers.termalin]
command = "<path>/termalin-mcp"

Les versions récentes de Codex peuvent aussi le déclarer en ligne de commande — codex mcp add termalin -- <path>/termalin-mcp — et la même configuration pilote Codex dans l’IDE.

• 3Demandez-lui quelque chose de concret. L’agent liste vos hôtes et se met au travail — suivre un log, redémarrer un service, vérifier le disque, modifier une configuration, déployer.

Vous préférez la version longue ? Suivez le guide complet de configuration de Codex (en anglais).

02  /  ses propres sessions — ou les vôtres

L’agent ouvre ses propres sessions, ou entre dans la vôtre.

La plupart des serveurs MCP enveloppent une API. Celui de Termalin enveloppe vos serveurs — l’agent y travaille comme vous, avec de vraies sessions, de vrais fichiers et de vrais tunnels :

• ▸Ses propres sessions — l’agent ouvre une session et y travaille en arrière-plan, dans un onglet qui s’illumine et que vous pouvez suivre. Inclus dans le forfait Free.
• ▸Ou dans la vôtre — l’agent rejoint une session que vous avez déjà ouverte et travaille à vos côtés, la bordure s’illuminant pendant qu’il opère. Soumis à votre accord, avec son propre interrupteur.
• ▸Tout le flux de travail — commandes ponctuelles, sessions SSH persistantes qu’il peut réutiliser, lectures et écritures SFTP, et redirections de port : un tunnel local vers un service derrière le serveur, ou un proxy SOCKS.

03  /  garde des clés et consentement

Vos clés restent chez vous. Rien ne s’exécute sans votre accord.

Codex exécute des commandes de terminal sur votre machine — si vos clés dorment déverrouillées dans ~/.ssh ou dans un ssh-agent en cours d’exécution, ssh prod fonctionne déjà, et vous avez accordé un accès complet à vos serveurs sans l’avoir décidé. Le gardien des clés de Termalin remplace ce montage : l’agent demande, le gardien authentifie. Vous déverrouillez une fois, Termalin signe au nom de l’agent, et il n’existe aucun fichier de clé que l’agent pourrait lire — rien à fuiter, et aucune clé en vrac nécessaire sur votre disque pour les hôtes qui méritent d’être protégés. L’accès des agents est désactivé par défaut ; laisser un agent taper dans vos sessions en cours relève d’un interrupteur distinct ; et seuls les hôtes que vous exportez dans Paramètres → MCP sont accessibles — chacun avec son propre niveau d’accès : complet, liste de commandes autorisées ou bloqué.

04  /  supervision

Suivez chaque action — en direct, enregistrée et consignée au journal.

La grille de surveillance (watch grid) reproduit chaque session ouverte côte à côte dans une vignette en direct, et les sessions pilotées par un agent s’illuminent — vous le voyez travailler en temps réel, sur tout un parc si besoin.

• ▸Marqué dans l’enregistrement — chaque commande de l’agent reçoit son propre repère vert sur la timeline de relecture : à la question « qu’a fait l’agent ? », la réponse se parcourt. En savoir plus sur l’enregistrement →
• ▸Consigné dans le journal d’audit — chaque connexion au compte, connexion à un hôte, opération sur un fichier et commande d’agent, avec le lieu (IP · pays) et l’appareil.

05  /  sans app ouverte

Un endpoint MCP hébergé pour les agents qui vivent dans le cloud.

Pour les serveurs ajoutés avec un Connector, Codex peut utiliser le serveur hébergé de Termalin sans aucune app de bureau ouverte : ajoutez-le par URL — codex mcp add termalin --url https://termal.in/mcp — Codex ouvre aussitôt la page de connexion de Termalin dans votre navigateur (plus tard, codex mcp login termalin vous reconnecte). Le côté hébergé nécessite un compte sur Pro ou l’essai de 14 jours.

Votre agent tourne là où personne ne peut se connecter, comme en CI ? Créez une clé API dans l’espace web et pointez-la vers https://termal.in/api/v1/mcp avec Authorization: Bearer tk_live_…. Elle exécute des commandes et lit ou écrit des fichiers sur vos serveurs reliés par tunnel — ceux où tourne l’agent installé en une ligne (ajoutez-les via termal.in/account → Ajouter un Connector ; les hôtes de l’app de bureau ne comptent pas) — même quand rien n’est ouvert sur votre machine, en s’authentifiant avec un certificat à courte durée, si bien qu’aucune clé n’est distribuée. Les clés peuvent être limitées à certains serveurs, soumises à une politique de commandes (complet, liste de commandes autorisées ou lecture seule), dotées d’une expiration (30 / 90 / 365 jours) et révoquées à tout moment ; les exécutions hébergées sont limitées en débit et en durée. Les deux chemins atteignent des hôtes différents — le serveur local travaille sur l’inventaire que vous exportez depuis l’app, l’endpoint hébergé sur vos serveurs ajoutés via tunnel. L’idée est nouvelle pour vous ? Commencez par SSH pour agents IA, ou passez directement à la référence MCP complète.