Joignez un serveur derrière un NAT ou un pare-feu — sans port ouvert.

01  /  comment ça marche

Le serveur se connecte vers l’extérieur. Rien ne se connecte vers lui.

Un tunnel inverse ou un port exposé implique que quelque chose, sur votre serveur, doit écouter — c’est précisément ce que bloquent le NAT, le CGNAT et les pare-feu, et ce que scannent les attaquants. Le Connector inverse la logique :

• ▸Connexion sortante uniquement. L’agent ouvre une connexion vers Termalin et la maintient active. Il n’écoute jamais sur un port : il n’y a donc rien d’entrant à autoriser, à rediriger ou à scanner.
• ▸Il ne voit rien. L’agent transporte des octets SSH opaques entre Termalin et le sshd de l’hôte lui-même, sur localhost — il ne voit jamais vos identifiants ni le texte en clair.
• ▸Il reste actif. Installé comme service, il se reconnecte tout seul après une coupure réseau ou un redémarrage.

02  /  une ligne pour l’installer

Inscrivez un serveur en une seule commande.

Connectez-vous sur termal.in/account, cliquez sur Ajouter un Connector pour obtenir un jeton d’inscription, et lancez ceci sur le serveur que vous voulez joindre :

curl -fsSL https://termal.in/tunnel-install.sh | sudo TERMALIN_TOKEN=<token> sh

Il télécharge un petit binaire statique (Linux x86_64 ou arm64), inscrit l’hôte, installe un service et se connecte. Le relancer plus tard sans jeton se contente de mettre à jour le binaire sur place. Voilà toute l’installation — aucune modification du routeur, aucune retouche du groupe de sécurité.

03  /  sans clé, par locataire

Aucune clé laissée sur la machine.

L’inscription configure le sshd du serveur pour qu’il fasse confiance à l’autorité de certification SSH de Termalin, et chaque connexion utilise ensuite un certificat à courte durée émis au dernier moment — aucune clé privée permanente n’est stockée sur le serveur, donc rien à voler. Les certificats sont limités à votre compte : sshd est configuré pour n’accepter que le principal de votre locataire, si bien qu’un certificat émis pour quelqu’un d’autre est refusé, même si l’hôte fait confiance à la CA partagée.

04  /  ce que vous atteignez à travers lui

Un terminal, des fichiers, des bases de données, la supervision — et des agents.

Une fois un serveur inscrit, tout le volet hébergé l’atteint sans clé :

• ▸Un terminal web. Ouvrez une vraie session SSH depuis le navigateur — téléphone, tablette ou une machine qui n’est pas la vôtre. Voir le client SSH web.
• ▸Des fichiers via SFTP. Parcourez, modifiez et transférez des fichiers (jusqu’à 100 Mo) par le même lien.
• ▸Des bases de données privées. Atteignez une base qui n’écoute que sur localhost, via le client de bases de données de l’espace web.
• ▸Des agents IA. L’endpoint MCP hébergé — ainsi que les connectors ChatGPT et claude.ai — exécutent des commandes sur les serveurs inscrits sans qu’aucune clé ne soit remise, et lisent leur supervision et leurs alertes. Chaque Connector a son propre interrupteur pour tenir les applications d’IA et les clés API à l’écart de ce serveur. Voir SSH pour agents IA.
• ▸Supervision et alertes. Une fois par minute, Termalin exécute quelques commandes en lecture seule par le même lien et les transforme en tableaux de bord et en alertes — un disque qui se remplit, un service en échec, un certificat qui expire, le serveur hors ligne. Rien de plus à installer ; activée par défaut, avec un interrupteur pour tous les serveurs et un par serveur. Voir la supervision de serveurs.