Aller au contenu

🔐 Sécurité de la connexion

L'indicateur de sécurité de la connexion, dans la barre latérale de LibreFolio, vous dit si ce que vous saisissez — votre mot de passe, vos montants — circule chiffré entre votre appareil et votre serveur. Il affiche l'un de trois niveaux, sécurisée, réseau local ou non sécurisée, selon l'adresse que vous avez ouverte et le réseau sur lequel vous êtes.

Pour une sécurité maximale, donnez à LibreFolio une adresse HTTPS et utilisez-la partout, même sur votre réseau domestique.

L'indicateur de sécurité de la connexion en bas de la barre latérale, ouvert sur Connexion : réseau local : sa raison, à savoir que toute personne sur le même réseau peut lire le trafic, et le lien Comment se connecter en toute sécurité

🚦 Les trois niveaux

🟢 Connexion : sécurisée

Ce que vous saisissez est chiffré, ou ne quitte jamais le serveur.

✅ Avantage ⚠️ Inconvénient
Personne sur le trajet ne peut le lire ni le modifier, même sur un Wi-Fi public. Aucun, du point de vue du risque.

📱 Tailscale en HTTP en clair et l'application

Via Tailscale avec une adresse en simple http://, comme http://100.110.x.x:6040, votre navigateur n'installera pas LibreFolio comme application. C'est pourquoi une adresse HTTPS reste préférable : du point de vue du risque, les deux se valent, car Tailscale chiffre aussi le trafic.

👉 Que faire : rien, continuez à utiliser cette adresse. Pour l'application, passez à une adresse HTTPS.

🔍 Quand une connexion est sécurisée

Les détails donnent l'une de trois raisons :

  • HTTPS : toute adresse https://. Votre navigateur décide seul, quoi que voie le serveur.
  • Sur le serveur lui-même : localhost, les noms qui se terminent par .localhost et les adresses de bouclage comme 127.0.0.1 et ::1. Votre navigateur décide seul : le trafic ne quitte pas cet ordinateur.
  • VPN (Tailscale) : une adresse en simple http:// dans les plages de Tailscale, 100.64.0.0/10 et fd7a:115c:a1e0::/48, ou un nom qui se termine par .ts.net. Tailscale chiffre le trafic entre votre appareil et le serveur. Si le serveur voit au contraire la requête arriver d'Internet, le niveau est réseau local, comme incertain.

🏠 Connexion : réseau local

Vous avez ouvert LibreFolio en simple http:// à l'intérieur de votre réseau domestique ou professionnel, par exemple à http://192.168.1.100:6040, l'adresse qu'utilisent les autres appareils après une installation standard.

🤷 Vous vous contentez de ⚠️ Inconvénient
Une connexion qui ne demande aucune configuration, et dont le trafic reste à l'intérieur de votre réseau. Rien n'est chiffré : toute personne sur le même réseau, comme un invité sur votre Wi-Fi, pourrait lire le trafic, mot de passe compris.

👉 Que faire : utilisez l'adresse HTTPS à la maison aussi.

Le même niveau apparaît avec une raison commençant par Incertaine quand LibreFolio ne peut pas savoir où vous êtes vraiment : le conseil ne change pas.

🔍 Quand une connexion est en réseau local

Une adresse locale en simple http:// : une adresse en 10.x, de 172.16.x à 172.31.x, en 192.168.x ou en 169.254.x, une adresse IPv6 de lien local ou locale unique, ou un nom qui se termine par .local, .lan, .home.arpa ou .internal, ou sans aucun point, comme http://nas:6040. Un nom MagicDNS court de Tailscale, comme http://my-server:6040, n'a pas de point non plus, il compte donc ici : l'IP Tailscale ou le nom complet qui se termine par .ts.net compte comme sécurisé.

Incertaine : votre navigateur juge l'adresse que vous avez ouverte, puis le serveur indique d'où il voit arriver la requête, seulement le type d'adresse et jamais votre adresse IP. Le serveur peut confirmer le verdict du navigateur ou le rendre incertain, mais jamais faire compter une connexion comme sécurisée ; tant qu'il ne répond pas, le verdict du navigateur tient. Quand les deux ne concordent pas, le niveau est réseau local et la raison commence par Incertaine :

  • une adresse qui semble publique, que le serveur voit arriver de votre réseau local, de Tailscale ou du serveur lui-même, par exemple via un split DNS ou un proxy local ;
  • une adresse locale ou Tailscale que le serveur voit arriver d'Internet.

Le trafic n'est pas chiffré, et LibreFolio ne peut pas savoir où vous êtes vraiment.

🔴 Connexion : non sécurisée

Vous avez atteint LibreFolio en simple http:// depuis Internet, par exemple via un port ouvert sur votre routeur. Sur un téléphone, un point rouge sur le bouton du menu vous avertit même quand la barre latérale est fermée.

✅ Avantage ⚠️ Inconvénient
Aucun. Les mots de passe et les données circulent en clair sur des réseaux que vous ne contrôlez pas : n'importe qui sur le trajet pourrait les lire, voire les modifier.

👉 Que faire : évitez cette adresse. Si vous gérez le serveur, donnez à LibreFolio une adresse HTTPS et cessez d'exposer le HTTP en clair. Changez ensuite votre mot de passe : Paramètres → Profil → Changer le mot de passe.

🔍 Quand une connexion n'est pas sécurisée

Une adresse publique en simple http:// : une adresse ou un nom qui n'est ni local, ni Tailscale, ni le serveur lui-même, comme une IP publique ou un nom de domaine comme http://myhome.duckdns.org:6040. Le niveau tient quand le serveur voit lui aussi la requête arriver d'Internet, ou ne peut pas le dire. S'il la voit arriver de votre réseau local, de Tailscale ou du serveur lui-même, le niveau est réseau local, comme incertain.

🔒 Comment se connecter en toute sécurité

Donnez à LibreFolio une adresse HTTPS, puis n'utilisez plus que celle-ci. La personne qui gère le serveur la met en place, de l'une de ces deux façons :

  • Tailscale, sans ouvrir de port sur votre routeur : Tailscale Serve donne une adresse HTTPS aux appareils de votre tailnet, et Funnel une adresse publique qui ne demande pas Tailscale sur vos appareils. Voir Exposer en toute sécurité.
  • Un proxy inverse avec un certificat TLS, comme Caddy, Traefik ou Nginx : voir Docker avancé.

Suivez ensuite quelques bonnes habitudes :

  • utilisez l'adresse https:// sur chaque appareil, à la maison aussi ;
  • mettez-la en favori, et mettez à jour les anciens favoris et les raccourcis de l'écran d'accueil qui pointent encore vers http:// ;
  • si vous ne gérez pas le serveur, demandez l'adresse à la personne qui le gère ;
  • regardez l'indicateur : il doit afficher Connexion : sécurisée.

Si vous gérez le serveur, Vérifier la sécurité de la connexion montre comment contrôler le résultat.

🧭 Ce que l'indicateur ne fait pas

L'indicateur décrit la connexion que vous utilisez à l'instant, et vous conseille. Trois choses échappent à son rôle.

Il ne bloque rien. C'est un conseil, pas un contrôle. Et comme il décrit la connexion de l'appareil que vous utilisez, le même LibreFolio peut afficher Connexion : sécurisée sur votre ordinateur portable et Connexion : non sécurisée sur votre téléphone.

Il ne vérifie pas les certificats. Un certificat auto-signé que vous avez accepté dans le navigateur affiche Connexion : sécurisée. Le trafic est chiffré, mais personne ne garantit que le serveur est bien le vôtre.

Il ne voit pas toujours où vous êtes. Quand LibreFolio tourne dans Docker Desktop et est exposé directement, ou se trouve derrière un proxy qui ne transmet pas votre adresse dans X-Forwarded-For, le serveur voit chaque visiteur comme local. Le HTTP en clair depuis Internet affiche alors Connexion : réseau local, comme incertaine, au lieu de Connexion : non sécurisée. Docker Engine sous Linux conserve votre adresse.

Quoi qu'affiche l'indicateur, le conseil reste le même : utilisez l'adresse HTTPS.

🔗 Voir aussi