La manière dont un appareil se connecte détermine le niveau de protection de ses données et de ses commandes en transit. Hermetry chiffre le trafic des appareils par défaut et traite chaque option moins sûre comme une exception à activer vous-même, par profil d’appareil. Cette page rassemble au même endroit les protections du transport ; la référence champ par champ se trouve dans Profils d’appareils (onglet Transport & auth).
Chiffrement
| Canal | Par défaut | Détails |
|---|---|---|
| MQTT | TLS sur le port 8883 | TLS 1.2 minimum, TLS 1.3 préféré. Suites TLS 1.2 à confidentialité persistante uniquement (pas d’échange de clés RSA, pas de CBC). Voir MQTT. |
| API HTTP des appareils | HTTPS | Le HTTP non chiffré n’est disponible que là où votre installation le propose, et les commandes y sont alors limitées (voir ci-dessous). Voir API HTTP des appareils. |
| LoRaWAN | Clés de session LoRaWAN entre le capteur et le réseau | La manière dont chaque type de passerelle se connecte est décrite dans LoRaWAN. |
| Points d’accès interrogés et caméras | Hermetry se connecte vers l’extérieur | Les identifiants sont stockés chiffrés et ne sont jamais réaffichés. Voir Points d’accès de protocole. |
Exceptions à activer vous-même
| Paramètre du profil | Par défaut | Risque | Quand l’utiliser |
|---|---|---|---|
| MQTT non chiffré autorisé (port 1883) | Désactivé (TLS uniquement (port 8883)) | Données et identifiants circulent en clair. | Uniquement pour les appareils incapables de faire du TLS, sur un réseau privé ou un VPN. Revenir à TLS uniquement met immédiatement fin aux sessions non chiffrées. |
| Jeton dans l’URL (appareils incapables d’envoyer des en-têtes) | Désactivé | Le jeton peut fuir dans les journaux et l’historique des proxys. Un tel profil est en HTTP uniquement et ses appareils ne reçoivent jamais de commandes. | Uniquement pour les appareils incapables de définir un en-tête Authorization. |
| Commandes autorisées sans TLS | Vide | Une commande listée peut être lue ou rejouée en transit. | Uniquement des commandes anodines comme sys.info ou sys.ping, 32 au maximum. |
Quel que soit le profil :
- Les commandes ne sont envoyées que sur des sessions TLS, sauf celles listées sous Commandes autorisées sans TLS. Les autres commandes attendent une session TLS ou leur expiration.
- Les mises à jour du micrologiciel et les réglages des appareils ne sont jamais envoyés en clair, et une réinitialisation d’usine n’est jamais envoyée à un appareil.
- Ne listez jamais
sys.reboot,ota.checkoucert.renewcomme autorisés sans TLS.
Qui peut se connecter
| Contrôle | Effet |
|---|---|
| Authentification autorisée | Les types d’identifiants acceptés par le profil : Jeton d’accès, MQTT basique (nom d’utilisateur et mot de passe), certificat X.509. N’autorisez que ce que vos appareils utilisent. |
| Réseaux autorisés | Jusqu’à 64 réseaux ou adresses uniques IPv4 ou IPv6. Les appareils en dehors sont refusés (MQTT CONNACK 5, HTTP 403). À utiliser pour les appareils sur des sites fixes. |
| Statut de l’appareil | Un appareil désactivé, un appareil d’une organisation suspendue et un identifiant révoqué sont refusés à la connexion, et les sessions ouvertes prennent fin immédiatement. |
| Un identifiant par appareil | Chaque appareil dispose d’au plus un identifiant actif. Les secrets ne sont affichés qu’une fois et seul un hachage est stocké. |
| Certificats | Un certificat client présenté fait toujours foi ; il n’existe aucun repli vers un mot de passe. Voir L’autorité de certification des appareils. |
Utilisez des certificats X.509 lorsque l’appareil les supporte, puis MQTT basique, puis les jetons d’accès. Renouvelez les secrets lorsque les membres du personnel qui les connaissaient quittent l’entreprise. Voir Identifiants des appareils.
Limites de débit
Les limites de débit protègent votre organisation et la plateforme contre un appareil défaillant ou détourné :
| Limite | Par défaut | Au-delà de la limite |
|---|---|---|
| Messages de télémétrie par appareil | 10 par seconde, 300 par minute | Acquittés et rejetés |
| Points de télémétrie par appareil | 200 par seconde, 6 000 par minute | Acquittés et rejetés |
| Mises à jour d’attributs par appareil | 5 par seconde, 60 par minute | Acquittés et rejetés |
| Taille du message | 64 KiB, 1 000 points clé-valeur au maximum | Rejeté entièrement |
| Organisation entière | Selon votre offre | Acquittés et rejetés ; HTTP 429 |
Un appareil qui continue de dépasser sa limite (plus de trois fois son quota par minute rejeté dans la même minute) voit sa session fermée. Les propriétaires et administrateurs reçoivent une notification par appareil et par heure. Les valeurs par appareil se règlent dans Limites du profil ; les débits de l’organisation figurent dans Offres et option IoT.
Adresses des appareils
Hermetry enregistre l’adresse depuis laquelle un appareil se connecte, pour l’afficher sur l’appareil et pour soutenir les investigations. Les adresses des appareils sont conservées 30 jours dans le journal de connexion et ne font jamais partie d’un export.
Liste de contrôle de durcissement d’un profil
- MQTT non chiffré : TLS uniquement (port 8883).
- Jeton dans l’URL : désactivé.
- Commandes autorisées sans TLS : vide.
- Authentification autorisée : uniquement le type utilisé par vos appareils ; X.509 pour les appareils sous licence.
- Réseaux autorisés : l’adresse publique ou la plage publique du site, lorsqu’elle est fixe.
- Limites : abaissez-les au niveau réellement envoyé par l’appareil, afin qu’une panne apparaisse rapidement.
- Surveillez le journal d’audit pour les connexions d’appareils bloquées (par exemple
iot_gateway.auth_blocked).