L'Accès Invité : un tiers dans votre tunnel, pour quelques heures
Un ami sur votre serveur Minecraft, une démo web à un client : une conf expirable qui joint UN appareil Pro et rien d'autre — pas d'Internet, pas d'autres machines, un terme qui arrive seul.
C'est quoi ?
L'Accès Invité est une faculté de l'Accès Pro : depuis votre espace (console.403shield.ftci.fr/pro), vous créez pour un tiers une configuration WireGuard dédiée, expirable, au périmètre volontairement minuscule. L'invité rejoint UNIQUEMENT l'appareil Pro que vous désignez comme hôte — le PC qui porte le serveur de jeu, la machine de la démo — et seulement sur les ports que vous déclarez (1 à 6, ouverts en TCP et UDP). Pas d'Internet, pas de DNS, pas d'accès à vos autres appareils, à vos routeurs ou à votre LAN.
Techniquement, l'invité vit sur un segment dédié du tunnel (10.8.3.x), sa configuration ne route que l'adresse de l'hôte (/32), et le serveur n'ouvre que les « pin-holes » des ports déclarés — tout le reste du segment est fermé par défaut (fail-closed) : même une conf trafiquée ne sortirait pas de ce périmètre. La durée de vie se choisit à la création (1 à 72 heures) ; à l'échéance, l'accès cesse de fonctionner seul — ou avant, si vous le révoquez d'un clic.
La doctrine du produit tient toujours : une conf = un appareil. L'invité a SA configuration, avec ses clés — jamais la vôtre.
NOTE DE CAPTURE : la section Invités de l'espace /pro s'illustrera lors d'une session terrain (doctrine : jamais de faux écran).
Quelle différence avec…
vs Partager votre propre conf Pro
Jamais : deux appareils avec la même clé se volent leur session (roaming) — et votre conf porte TOUT votre périmètre (routeurs, LAN, autres appareils). L'invité reçoit la sienne : clés dédiées, un hôte, des ports, un terme.
vs Le VPN personnel 403Shield
Le VPN personnel sort sur Internet (tunnel complet, IP fixe France) ; l'invité n'a AUCUNE sortie Internet — il joint un appareil de votre compte et rien d'autre. Deux produits opposés par conception.
vs Le pair-à-pair privé
Le pair-à-pair relie VOS appareils (conf Pro complète du compte) ; l'invité est un tiers au périmètre réduit à un hôte et des ports. Le serveur de jeu entre amis combine les deux : l'hôte est un appareil Pro, les amis sont des invités.
Que recevez-vous ?
- Le périmètre minimal en une phrase : AllowedIPs = l'adresse de l'hôte seule, pin-holes sur les ports déclarés (1-6, TCP+UDP) — tout le reste fermé par défaut.
- Le cycle de vie : durée choisie de 1 à 72 h, expiration automatique, révocation immédiate, plafond de 10 invités actifs par compte.
- Ce que l'invité installe : l'appli WireGuard ordinaire et la conf que vous lui remettez (QR ou fichier) — rien d'autre, aucun compte à créer.
Comment l'utiliser ?
Ouvrez la section Invités de votre espace
Connectez-vous à la console (code e-mail) et ouvrez l'espace Accès Pro : la section Invités y vit dès qu'un Accès Pro est actif — l'hôte d'un invité EST un appareil Pro de votre portefeuille (celui qui porte le service à partager).
Créez l'invité : hôte, ports, durée
Choisissez l'appareil hôte (celui qui écoute), les ports à ouvrir vers lui — 25565 pour un serveur Minecraft, 3000,80,443 pour une démo web — et la durée de vie (1 à 72 h). Un nom optionnel vous aide à vous y retrouver (« Ami du samedi », « Client Alpha »).
Astuce — Les ports sont ouverts en TCP ET UDP vers l'hôte uniquement — déclarez le strict nécessaire, la révocation reste votre filet.
Remettez la conf à l'invité
Le bouton « Voir la conf » ouvre le QR (à envoyer par WhatsApp/e-mail) et le fichier .conf. L'invité scanne depuis l'appli WireGuard (« Créer à partir d'un QR code ») ou importe le fichier sur PC — et joint l'hôte à son adresse tunnel, pour les ports déclarés.
Laissez mourir — ou révoquez
Au terme, la conf cesse de fonctionner sans geste de personne (le retrait est automatique, dans les minutes qui suivent l'échéance). Besoin de couper avant ? « Révoquer » ferme l'accès immédiatement. Renouveler un invité = en recréer un — quelques secondes.
Quels usages ?
Le serveur de jeu entre amis
Minecraft (ou autre) sur le PC fixe de la maison, port 25565 ouvert aux invités du soir : vos amis entrent par le tunnel, le monde reste chez vous — aucun port publié sur Internet.
La démo web à un client
Le site en cours de développement écoute sur le portable (ports 3000/80/443) : le client-consulté rejoint la démo par le tunnel, le temps du rendez-vous — sans hébergement public ni compte à créer pour lui.
Le collaborateur ponctuel
Un technicien qui doit intervenir sur UN poste pour quelques heures : invité au périmètre minimal, durée courte, révocation à la fin de l'intervention.
Pièges & astuces
Jamais votre propre conf — Partager votre conf Pro expose TOUT votre périmètre (routeurs, LAN, appareils) et fait se voler leur session aux deux appareils. Un tiers = toujours un invité : clés dédiées, périmètre minimal, terme.
L'hôte doit être allumé et à l'écoute — L'invité joint l'hôte — si le PC qui porte le serveur dort, rien ne répond. Prévoyez la machine allumée et le service lancé avant d'envoyer le QR.
Le débit passe par Marseille — Invité et hôte se parlent à travers la France : parfait pour une partie entre amis ou une démo, pas pour du jeu compétitif — sur place, le réseau local direct reste la bonne réponse.
Un invité = un appareil aussi — La conf invité suit la même doctrine que tout le produit : elle ne se partage pas entre deux appareils de l'invité (même clé = sessions volées). Deux appareils chez l'invité = deux invités.