Restreindre l'accès (IP & VPN)

L’onglet Accès de la fiche vous permet de réduire la surface d’accès à votre forge, en plus de l’authentification unique. Deux leviers : une whitelist d’adresses IP, et un repli VPN pour les adresses changeantes.

Information

La restriction IP est une défense en profondeur, pas l’authentification. La porte reste l’authentification unique (SSO) : la whitelist ne fait que réduire qui peut atteindre la forge avant même de s’authentifier. Laisser la liste vide n’ouvre donc pas la forge à tous — cela n’autorise que le réseau interne de la plateforme (défaut fermé).

Whitelist IP

La section Whitelist IP (accès à la forge) liste les adresses autorisées à joindre votre forge. Chaque entrée est une adresse /32 (une IP précise, pas une plage — pour l’imputabilité), avec un libellé optionnel et sa date d’ajout.

Le nombre d’adresses est plafonné par votre palier (indiqué dans la console). Au-delà, l’ajout est refusé : retirez une entrée ou passez à un palier supérieur.

Ajouter une adresse

  1. Dans le champ Ajouter une IP (/32), saisissez votre adresse au format x.x.x.x/32 (ex. 203.0.113.4/32).
  2. Renseignez un Libellé (option) pour vous y retrouver (ex. « bureau Paris »).
  3. Cliquez + Ajouter, puis Enregistrer la whitelist.

Un message confirme l’enregistrement : « Whitelist enregistrée — l’edge sera mis à jour à la prochaine convergence. » La prise en compte est donc quasi immédiate mais pas instantanée.

Retirer une adresse

Sur la ligne concernée, cliquez Retirer, puis Enregistrer la whitelist.

Astuce

Pour connaître l’adresse publique depuis laquelle vous sortez, une recherche « quelle est mon adresse IP » dans votre navigateur suffit. N’ajoutez que des adresses stables : si la vôtre change souvent, préférez le repli VPN ci-dessous.

Avertissement

Chaque modification de la whitelist est tracée (qui, quand). C’est votre liste, pour votre seul service : vous ne voyez et ne modifiez que la vôtre.

Repli IP dynamique (VPN)

Si votre adresse change souvent (connexion domestique, télétravail, IP dynamique), maintenir une whitelist devient ingérable. Le repli VPN résout cela : votre trafic passe par le concentrateur VPN de la plateforme et ressort par une adresse stable — une seule /32 à autoriser, quasi jamais modifiée.

Quand il est activé, l’onglet affiche :

  • Statut — Actif ;
  • Mode — Dédié (adresse de sortie réservée à votre organisation) ou Mutualisé (sortie partagée ; l’isolation reste portée par le SSO et votre org) ;
  • IP d’egress — l’adresse /32 autorisée automatiquement (rien à ajouter à la main dans la whitelist).

L’accès VPN est émis par utilisateur et lié à votre annuaire : retirer une personne de l’annuaire coupe aussi son accès VPN. L’activation se fait avec votre opérateur (enrôlement par utilisateur).

Astuce

Le mode Dédié est à privilégier dès qu’une adresse de sortie réservée est disponible : l’isolation est alors assurée jusqu’au niveau de l’IP.

Domaines personnalisés (BYOD)

Si un domaine à vous est configuré pour la forge, il apparaît dans la section Domaines personnalisés (BYOD). La mise en place se fait avec votre opérateur. Voir Preuve de propriété & entrées DNS.