Ouvrez Grafana ou Home Assistant de n’importe où — sans redirection de port.

01  /  le problème

Pourquoi ne pas simplement rediriger 8123 ou 3000.

Rediriger le port d’un tableau de bord vers Internet place un écran de connexion — ou pire, une interface ouverte — devant chaque scanner d’Internet. Les solutions habituelles sont des projets à part entière : un VPN impose un client sur chaque appareil depuis lequel vous vous connectez et un compte pour chacun ; un reverse proxy avec un domaine et des politiques d’accès fait beaucoup de pièces mobiles pour une seule page interne. Un site interne se passe de tout cela : le Connector ne fait qu’établir une connexion sortante, et la page n’est accessible qu’à vous et aux personnes nommées, personne d’autre.

02  /  comment ça marche

La machine se connecte vers l’extérieur. Vous ouvrez un lien.

• ▸Connexion sortante uniquement. Le Connector maintient une connexion vers termal.in et n’écoute jamais — rien à rediriger ni à scanner, ce qui lui permet de fonctionner derrière un NAT, un CGNAT et un pare-feu strict.
• ▸Une adresse privée à lui. Chaque site reçoit une adresse de 10 caractères comme https://k7m4p9qrst.termal.ink/. termal.ink est un site distinct de termal.in ; ses pages portent noindex et restent hors des moteurs de recherche.
• ▸Un vrai onglet de navigateur. Le tableau de bord se charge comme n’importe quel site — aucun client à installer sur la machine devant laquelle vous êtes.

03  /  mise en place

Un site en une minute environ.

Dans l’espace web, ouvrez la carte Sites internes (à côté de Sauvegardes) et cliquez sur Ajouter un site :

• ▸Le Connector capable de joindre le site.
• ▸L’adresse, telle que la machine du Connector la voit — par exemple http://10.0.0.5:8080 ou http://localhost:3000.
• ▸Un nom facultatif (jusqu’à 80 caractères), si le site interne utilise https, et s’il faut envoyer l’adresse du lien comme nom d’hôte (pour les applications tatillonnes sur l’en-tête Host).

Appuyez sur Ajouter et ouvrir et le tableau de bord s’ouvre dans un nouvel onglet. Le menu contextuel d’un Connector propose aussi Ouvrir un site interne…. L’app de bureau liste vos sites (Paramètres → Sites internes) et les ouvre déjà connectés ; l’ajout et le partage se font dans l’espace web, et le mobile affiche la liste.

04  /  ce qui fonctionne

Tableaux de bord en direct, WebSockets compris.

Le trafic passe en flux, sans mise en mémoire tampon, et les WebSockets traversent — si bien que ce qui casse sur un proxy naïf fonctionne ici :

• ▸Les panneaux en direct de Grafana, Home Assistant, Portainer et Proxmox se comportent comme sur le LAN.
• ▸http ou https, n’importe quel port. Un certificat auto-signé ou interne sur le tableau de bord ne pose aucun problème — cochez « Le site interne utilise https » ; le certificat de ce segment n’est pas vérifié, car il reste à l’intérieur du réseau du Connector.
• ▸Adresses privées uniquement. localhost, 10/8, 172.16/12, 192.168/16, link-local, la plage 100.64/10 de Tailscale, IPv6 ULA — et les noms d’hôte, s’ils se résolvent en une adresse privée. Une adresse publique est refusée.

05  /  partage

Laissez entrer un collègue ou un proche — pour un jour ou une semaine.

Partagez un site avec une adresse e-mail à la fois, pour 24 heures ou 7 jours (repartager prolonge l’accès), jusqu’à 25 personnes sur un lien en même temps. Votre propre e-mail doit d’abord être confirmé.

• ▸La personne reçoit un e-mail d’invitation avec un lien personnel et se connecte avec un code à 6 chiffres envoyé à cette adresse (valable 10 minutes, cinq essais). Toute autre personne qui ouvre l’adresse du site ne voit que « Ce lien ne fonctionne pas » — rien n’indique qu’un site s’y trouve.
• ▸Aucun compte Termalin nécessaire — le code suffit.
• ▸Elle ne voit que ce seul tableau de bord, tant que le partage dure ; à son expiration, sa session prend fin.

06  /  le modèle de sécurité

Qui peut entrer, et comment vous le reprenez.

• ▸Aucun mode public. Vous ouvrez votre propre site avec un lien à usage unique (valable 120 secondes) qui vous y connecte pour 12 heures ; tous les autres sont invités par e-mail.
• ▸Un cookie verrouillé. Le cookie de session est limité à l’hôte du lien, __Host-, HttpOnly, Secure et SameSite=Lax, et il est retiré avant que quoi que ce soit n’atteigne votre tableau de bord.
• ▸Révoquez instantanément. Retirer supprime l’accès d’une personne et coupe ses pages ouvertes aussitôt ; Désactiver supprime le lien pour tout le monde. Si votre forfait retombe sur Free, les personnes avec qui vous avez partagé voient « accès terminé ».
• ▸Un journal d’activité consigne tout : quand le site a été créé, ouvert, partagé, ouvert par une personne invitée, quand un accès a été retiré ou le site désactivé.

07  /  comparaison

Face à un service de tunnel, Tailscale ou un VPN.

Le compromis est honnête : pas de lien public permanent, et un plafond souple de 5 Go par jour et par lien — un atout pour un tableau de bord privé, une limite pour un tableau public. Pour un tutoriel home lab, voir joindre Home Assistant ou Grafana à distance.

08  /  forfaits et limites

Inclus dans Pro et Team.

Les sites internes nécessitent un Connector : ils sont donc inclus dans les forfaits payants.

• ▸Free : non inclus. Essai : vous pouvez ouvrir des sites, mais pas les partager.
• ▸Pro et Team : aucune limite sur le nombre de sites.
• ▸5 Go de trafic par lien et 20 Go par compte, par jour UTC — un frein souple, pas un arrêt net : un transfert en cours se termine, puis une courte page « revenez demain » prend le relais. Une requête isolée est plafonnée à 1 Go.
• ▸TLS en transit, pas de bout en bout. Le trafic circule sur TLS et est déchiffré au niveau du proxy pour être relayé.

Voir les tarifs →