Reverse proxy, TLS et accès distant

L'essentiel

• Un reverse proxy unique termine le TLS et sert l'interface, l'API RAG et l'IdP éventuel sous des noms internes ; les conteneurs ne sont jamais exposés directement.
• Caddy (Apache 2.0) est le choix de simplicité : HTTPS automatique, configuration courte. Traefik (MIT) si l'on veut la découverte par labels Docker ; Nginx Proxy Manager (MIT) si l'on veut une interface graphique. À 5 à 10 utilisateurs, le débit n'est pas un critère.
• TLS interne : une CA privée installée sur les postes (nom box.cabinet.local) ou Let's Encrypt via défi DNS sur un vrai domaine sans exposer de port. Les deux évitent l'avertissement de certificat qui pousse les utilisateurs à cliquer « continuer ».
• Accès distant : VPN WireGuard, seul ou via une surcouche (Tailscale, Headscale, NetBird). Jamais d'interface exposée sur Internet, même derrière le SSO.
• Cloudflare Tunnel est à éviter pour un cabinet d'avocats : le TLS est terminé chez Cloudflare, qui voit donc le contenu des échanges avec la Box, ce qui heurte le secret professionnel.

Reverse proxy

Les comparatifs cités sont communautaires et non reproduits Communauté. Pour la Box, le proxy fait quatre choses : terminer TLS, router chat., api., auth. vers les bons conteneurs, ajouter les en-têtes de sécurité (HSTS, CSP raisonnable, pas de Server bavard), et journaliser les accès (adresse, horodatage, chemin, sans corps de requête). Il ne fait pas d'authentification à la place de l'IdP, sauf si l'on choisit le mode « trusted header » d'Open WebUI, auquel cas il devient un composant de sécurité critique : l'en-tête doit être écrasé pour toute requête entrante ⁶.

TLS interne

Deux options, à choisir selon que le cabinet possède un nom de domaine et sait gérer ses postes :

Dans les deux cas, TLS 1.2 minimum, 1.3 préféré, certificats renouvelés automatiquement, et surveillance de l'expiration (monitoring). Le trafic interne entre conteneurs peut rester en clair sur le réseau Docker de la Box ; il doit être chiffré dès qu'il traverse un câble (base vectorielle sur un autre hôte, par exemple).

Accès distant : VPN

Un avocat en déplacement ou en télétravail accède à la Box par un tunnel, puis s'authentifie au SSO comme au bureau. Le VPN n'est pas un substitut au SSO ; c'est la couche qui rend la Box invisible depuis Internet.

Hypothèse de départ : WireGuard natif sur la Box pour le POC (une dizaine de pairs, configuration versionnée), puis NetBird ou Headscale si le cabinet veut l'ergonomie d'un maillage avec SSO sans dépendre d'un SaaS. Tailscale reste pertinent si le cabinet l'accepte contractuellement (la coordination, pas le contenu, passe par Tailscale).

Pourquoi éviter Cloudflare Tunnel

cloudflared établit une connexion sortante vers Cloudflare et publie la Box sous un nom Cloudflare sans ouvrir de port entrant, ce qui est séduisant. Mais la documentation Cloudflare One décrit le déchiffrement TLS et une analyse tierce confirme que le TLS est terminé chez Cloudflare, le trafic étant en clair à l'edge ⁵. Pour un cabinet, cela signifie qu'un tiers américain peut techniquement lire les questions posées à la Box et les extraits de dossiers renvoyés : incompatible avec le secret professionnel et avec la promesse « rien ne sort du cabinet », sauf à ajouter un chiffrement applicatif de bout en bout (estimation), ce qui annule la simplicité recherchée. Les mêmes réserves valent pour tout proxy d'accès hébergé par un tiers qui termine le TLS.

Questions ouvertes