Atteindre un service non exposé

Un service que vous déployez n’est pas joignable depuis Internet tant qu’aucun domaine ne lui est attaché. C’est le comportement par défaut, et il est volontaire : un back-office, un worker HTTP ou une maquette n’ont aucune raison d’avoir une adresse publique.

Reste la question pratique : comment y accéder vous-même ? Selon qui doit atteindre le service, la réponse n’est pas la même.

Une autre de vos ressources doit l’atteindre

C’est le cas le plus fréquent, et il ne demande aucun tunnel. Exposez le service à une adresse interne, puis connectez-le : voir Connexions. Rien ne sort de la plateforme, aucune IP ni port public n’est en jeu.

Vous devez ouvrir une console SQL sur un add-on

Un add-on de base de données se consulte sans l’exposer, par un grant de consultation éphémère : la plateforme monte un tunnel SSH vers la base, crée un rôle temporaire et vous donne un credential affiché une seule fois. Voir Connexions.

Vous devez atteindre un port de votre service depuis votre poste

Brancher un client lourd, déboguer un back-office, appeler une API interne depuis votre machine — sans jamais exposer le service sur Internet. C’est l’accès privé de l’onglet Connexions, disponible sur tous les plans, y compris free : ce n’est pas une fonctionnalité à débloquer, c’est le substitut de l’exposition publique.

1. Sur la page du service, ouvrez l’onglet Connexions, section Accès privé (tunnel éphémère).
2. Indiquez le port de votre service (celui sur lequel votre application écoute), une durée (15 min à 2 h) et votre adresse IP (obligatoire — voir plus bas).
3. Cliquez Ouvrir un tunnel. Vous obtenez, affichés une seule fois :
   • une clé privée SSH, téléchargeable en .pem ;
   • une commande prête à coller (ssh -N -p … -i … -o PasswordAuthentication=no -L …).

Utilisez le bouton de téléchargement ou le bouton de copie du champ : tous deux gardent la clé au format PEM, avec ses sauts de ligne. Enregistrez la clé, restreignez ses permissions (chmod 600 cassiope-tunnel-*.pem), puis exécutez la commande dans un terminal. Tant qu’elle tourne, le port choisi est joignable sur votre poste, à la même adresse locale. Aucun logiciel à installer au-delà de ssh — les clients graphiques (DBeaver, TablePlus, IntelliJ) savent aussi monter ce type de tunnel depuis leur onglet SSH.

Votre adresse IP, obligatoire

Le tunnel s’ouvre sur un port SSH dédié, joignable depuis Internet : seule l’IP que vous renseignez peut s’y connecter (la clé est refusée avant même l’authentification pour toute autre adresse). Vous pouvez donc vous connecter depuis n’importe quel réseau, à condition d’indiquer l’IP du moment :

• depuis votre poste : cliquez Mon IP (détectée automatiquement) ;
• depuis un mobile : l’IP du mobile (en 4G/5G, elle change d’un réseau à l’autre) ;
• pour un collaborateur : il ouvre son propre tunnel avec son IP.

Une liste d’IP ou de plages CIDR (IPv4 ou IPv6) est acceptée, séparées par des virgules. Seuls les rôles owner et admin peuvent ouvrir un tunnel ou un accès à une base.

Astuce

Si ssh redemande un mot de passe, c’est que la clé a été refusée (il n’y a pas de mot de passe) : clé illisible (ssh-keygen -y -f clé.pem doit afficher une ligne ssh-rsa …), tunnel expiré ou révoqué, ou IP différente de celle saisie. La commande fournie désactive l’invite pour que l’échec soit explicite. Le port du tunnel est celui du service visé : pour une base MySQL, ouvrez le tunnel depuis ce service avec le port 3306.

Attention

La clé n’est montrée qu’à la création — ne la stockez pas ailleurs que dans le fichier téléchargé. Elle n’ouvre rien d’autre que le port choisi : un tunnel confiné, pas un accès au serveur.

Le tunnel expire tout seul à l’échéance choisie et se révoque à tout moment depuis la même section. Si vous avez exposé un service publiquement le temps de le déboguer, préférez ce chemin la prochaine fois — et retirez le domaine de celui déjà exposé (voir Domaines).

Pour un conteneur d’une stack Docker Compose

Le même bloc existe sur l’onglet Connexions d’une stack, avec une étape supplémentaire : un sélecteur Conteneur, qui liste tous les services de votre compose — pas seulement celui déjà exposé publiquement. C’est volontaire : les conteneurs internes (une base de données, un worker de file d’attente) sont souvent ceux qu’on a le plus besoin d’atteindre pour déboguer, et ils restent privés même après l’ouverture du tunnel.

Tout un réseau d’entreprise doit atteindre vos services

Quand ce ne sont pas une ou deux personnes mais des postes de travail, des applications internes ou un réseau de bureau entier qui doivent joindre vos services privés comme s’ils étaient sur le réseau local, le tunnel ponctuel n’est plus le bon outil.

L’offre Enterprise inclut un VPN client-to-site WireGuard : vos postes rejoignent le réseau privé de votre compte, et vos services restent invisibles depuis Internet. C’est une prestation sur devis — elle se met en place avec nous, parce qu’elle suppose une distribution de clés et des règles d’accès propres à votre organisation.

Écrivez à contact@cassiope.eu pour en discuter, ou comparez les offres depuis Facturation → Changer de plan.