Donnez à Cursor un accès SSH — sans lui confier vos clés.

01  /  mise en place en 3 étapes

Connectez Cursor à vos serveurs en trois étapes.

Termalin fournit un vrai serveur MCP — un binaire termalin-mcp qui donne à un agent un accès SSH et SFTP aux hôtes que vous choisissez, authentifié via l’agent de clés de l’app. Voir la liste complète des outils MCP (en anglais).

• 1Choisissez les hôtes. Installez Termalin et choisissez ce que vous exposez dans Paramètres → MCP — chaque hôte est écrit avec une authentification réservée à l’agent, donc aucun mot de passe sur le disque. Au passage, définissez la politique de chaque hôte pour les agents : accès complet, liste de commandes autorisées, ou bloqué.
• 2Déclarez le serveur dans la config MCP de Cursor — .cursor/mcp.json à la racine d’un projet pour ce seul projet, ou ~/.cursor/mcp.json pour qu’il soit disponible partout (le choix raisonnable — l’accès aux serveurs n’est pas une affaire de dépôt) :

{
  "mcpServers": {
    "termalin": {
      "command": "<path>/termalin-mcp",
      "args": []
    }
  }
}

Redémarrez Cursor (ou rechargez la liste MCP dans Cursor Settings → MCP), vérifiez que le serveur apparaît comme actif, et les outils deviennent visibles pour l’agent.

• 3Demandez quelque chose de concret. L’agent liste vos hôtes et se met au travail — suivre un journal, redémarrer un service, vérifier le disque, modifier une config, déployer. Par défaut, Cursor demande avant chaque appel d’outil ; laissez cette option activée pour les premières sessions et étendez l’approbation automatique un outil à la fois. Envie de la version longue ? Lisez le guide pratique (en anglais).

02  /  ses propres sessions — ou les vôtres

L’agent ouvre ses propres sessions, ou entre dans la vôtre.

La plupart des serveurs MCP encapsulent une API. Celui de Termalin encapsule vos serveurs — l’agent y travaille comme vous, avec de vraies sessions, de vrais fichiers et de vrais tunnels :

• ▸Ses propres sessions — l’agent ouvre une session et y travaille en arrière-plan, dans un onglet qui s’illumine et que vous pouvez suivre. Inclus dans le forfait Free.
• ▸Ou entrer dans la vôtre — l’agent rejoint une session que vous avez déjà ouverte et travaille à vos côtés, la bordure s’illuminant pendant qu’il opère. Soumis à votre accord, avec son propre interrupteur.
• ▸Tout le flux de travail — commandes ponctuelles, sessions SSH persistantes qu’il peut réutiliser, lecture et écriture SFTP, et redirections de port : un tunnel local vers un service situé derrière le serveur, ou un proxy SOCKS.

03  /  garde des clés & consentement

Vos clés restent chez vous. Rien ne s’exécute sans votre accord.

Voici ce qui dérange avec l’agent de Cursor : il exécute des commandes de terminal sur votre machine, donc si vos clés sont déverrouillées dans ~/.ssh ou dans un ssh-agent en cours d’exécution, ssh prod fonctionne déjà — vous avez accordé un accès complet à vos serveurs par défaut, sans l’avoir décidé. Le gardien des clés de Termalin remplace ce fonctionnement : l’agent demande, le gardien authentifie. Vous déverrouillez une fois, Termalin signe au nom de l’agent, et il n’y a aucun fichier de clé que l’agent puisse lire — les hôtes qui méritent d’être protégés n’ont donc plus besoin d’une clé qui traîne sur votre disque. L’accès des agents est désactivé par défaut ; laisser un agent taper dans vos sessions en cours est encore un interrupteur à part ; et seuls les hôtes que vous exportez dans Paramètres → MCP sont accessibles — chacun avec son propre niveau d’accès : complet, liste de commandes autorisées, ou bloqué.

04  /  supervision

Suivez chaque action — en direct, enregistrée et consignée au journal.

La grille de surveillance reflète chaque session ouverte côte à côte, dans sa vignette, en direct, et les sessions pilotées par un agent s’illuminent — vous le voyez travailler en temps réel, sur tout un parc si besoin.

• ▸Marquée dans l’enregistrement — chaque commande d’agent reçoit son propre repère vert sur la frise de relecture : « qu’a fait l’agent ? » a une réponse que l’on peut parcourir. En savoir plus sur l’enregistrement →
• ▸Consignée dans le journal d’audit — chaque connexion au compte, connexion à un hôte, opération sur un fichier et commande d’agent, avec le lieu (IP · pays) et l’appareil.

05  /  sans app lancée

Un endpoint MCP hébergé pour les agents qui vivent dans le cloud.

Pas d’app de bureau ouverte ? Pointez le mcp.json de Cursor vers le serveur hébergé de Termalin par son URL — "termalin": { "url": "https://termal.in/mcp" } — et connectez-vous une fois quand Cursor le demande. Ou créez une clé API dans l’espace web et utilisez https://termal.in/api/v1/mcp avec une entrée headers portant Authorization: Bearer tk_live_… ; l’espace web affiche l’extrait exact. Le côté hébergé nécessite un compte sur Pro ou l’essai de 14 jours. L’endpoint hébergé exécute des commandes et lit ou écrit des fichiers sur vos serveurs tunnelisés — ceux où tourne l’agent installé en une ligne (inscription via termal.in/account → Ajouter un Connector ; les hôtes de l’app de bureau ne comptent pas) — même quand rien n’est ouvert sur votre machine, en s’authentifiant avec un certificat à courte durée, donc aucune clé n’est distribuée. Les clés peuvent être limitées à certains serveurs, soumises à une politique de commandes (complet, liste d’autorisation ou lecture seule), dotées d’une expiration (30 / 90 / 365 jours) et révoquées à tout moment ; les exécutions hébergées sont limitées en débit et en durée. L’idée est nouvelle pour vous ? Commencez par SSH pour agents IA, ou passez directement à la référence MCP complète.