Questions fréquentes

Portlatch rend un service hébergé chez vous joignable depuis Internet, même quand votre fournisseur ne vous laisse pas ouvrir de port.

Vous installez un petit agent sur votre réseau, choisissez un port ou un nom dans votre tableau de bord, et les visiteurs joignent votre machine par un tunnel chiffré.

Si vous ne pouvez pas ouvrir de port sur votre box, oui. C’est le cas derrière un CGNAT, fréquent avec Starlink, les box 4G/5G, les lignes DS-Lite, de nombreux opérateurs régionaux et les connexions partagées d’immeuble. C’est aussi le cas quand la box n’est tout simplement pas à vous.

Si vous avez une IPv4 publique et pouvez rediriger des ports, vous n’avez peut-être pas besoin de nous. Vous garderiez quand même l’IP de chez vous à l’abri des regards : les visiteurs ne voient que la nôtre.

L’agent ouvre un tunnel WireGuard depuis votre réseau vers l’un de nos serveurs, qui dispose d’une adresse IPv4 publique. Quand un visiteur se connecte à votre adresse, notre serveur envoie la connexion dans le tunnel, et l’agent la remet à la machine que vous avez choisie.

nas.portlatch.com:2222 → notre serveur → tunnel → 192.168.1.42:22

Le tunnel est ouvert depuis votre côté, il traverse donc le CGNAT, et il revient de lui-même si votre connexion tombe ou si votre adresse IP change.

Non. L’agent n’établit que des connexions sortantes, que toutes les box autorisent. Rien à ouvrir, rien à configurer.

Tout ce qui parle TCP : un site web, SSH, Home Assistant, un NAS (Synology, QNAP, Unraid, TrueNAS…), votre propre vidéothèque sur Jellyfin ou Plex, vos photos sur Immich ou Nextcloud, un serveur de jeu qui passe par TCP (Minecraft Java, par exemple), un bureau à distance, l’application sur laquelle vous travaillez.

La cible n’a pas besoin d’être la machine qui fait tourner l’agent. Tout appareil que l’agent peut joindre sur votre réseau convient : votre NAS, une caméra, un autre ordinateur.

Portlatch est fait pour tourner en permanence. L’agent tourne comme un service, le tunnel revient de lui-même après un redémarrage ou une coupure, et votre adresse reste la même tant que vous gardez la route. Pas de session à garder ouverte, pas d’URL aléatoire qui change à chaque fois.

Il convient tout aussi bien à un besoin ponctuel : créez une route pour une démo ou un test de webhook, puis mettez-la en pause ou supprimez-la.

Cloudflare Tunnel déchiffre le trafic web à sa périphérie, et pour tout ce qui n’est pas HTTP, vos visiteurs doivent installer son client. ngrok est conçu pour le développement : inspecter des requêtes depuis votre portable, avec 1 Go par mois dans son offre gratuite.

Portlatch ne déchiffre jamais, accepte n’importe quel port TCP sans rien à installer côté visiteur, et est basé dans l’UE. La comparaison complète, avec playit.gg et Tailscale Funnel, est sourcée et datée.

Non. Le trafic ne circule que dans un sens : d’Internet vers les services que vous avez choisis. Seuls les ports que vous publiez sont joignables. Le reste de votre réseau reste fermé, aux visiteurs comme à nous.

Pas ce qui est chiffré, et c’est presque tout : HTTPS et SSH restent chiffrés de bout en bout, entre le visiteur et votre machine. Nous transmettons les octets sans les déchiffrer.

Et vous n’avez pas à nous croire sur parole. Ouvrez votre adresse dans un navigateur et regardez le certificat : c’est celui de votre serveur, avec la même empreinte, parce que la connexion chiffrée se termine sur votre machine. Si nous déchiffrions, vos visiteurs recevraient un certificat à nous. SSH fonctionne de la même façon, avec la clé d’hôte de votre serveur.

L’agent, la partie qui tourne sur votre réseau, est lui aussi open source : vous pouvez lire exactement ce qu’il fait de votre trafic.

Les protocoles en clair (HTTP sans TLS, FTP) passent tels quels, comme partout sur Internet. Utilisez leur version chiffrée.

Oui. 1 route, 10 Go de trafic tous les 30 jours, sans carte bancaire et sans limite de durée. De quoi joindre votre NAS, votre Home Assistant ou votre SSH de n’importe où.

Regarder vos propres films depuis Jellyfin ou Plex, ou synchroniser votre photothèque vers Immich ou Nextcloud, demande davantage : c’est le rôle de Turbo, avec 1 To et jusqu’à 100 Mbit/s.

Cela dépend d’une seule chose : est-ce que ça s’ouvre dans un navigateur ?

• Oui → une route web. Vous obtenez https://nas.portlatch.com, sans numéro de port. Elle transporte HTTP et HTTPS.
• Non → une redirection de port. Vous obtenez nas.portlatch.com:2222, et elle transporte n’importe quel protocole TCP : SSH, jeux, bureau à distance, bases de données…

Les deux comptent dans la même limite de routes de votre offre.

Chaque route a un nom sous portlatch.com. Sur l’offre Free, il est généré, comme a1b2c3.node-x-1.portlatch.com. Sur les offres payantes, vous le choisissez, comme nas.portlatch.com.

Une route web se joint par son seul nom. Une redirection de port, par son nom et son port.

• Free : non, il vous est attribué, entre 10000 et 65535.
• Pro et Turbo : oui, tout port encore libre sur au moins l’une de nos adresses partagées.
• Dedicated : oui, n’importe quel port, garanti, sur une adresse IP rien qu’à vous.

Le port de votre côté est toujours à votre choix : un visiteur sur le port 2222 peut arriver sur le port 22 de votre machine.

Sur une adresse partagée, un port ne peut appartenir qu’à un seul client, et le 22 est celui que tout le monde veut. SSH n’annonce pas de nom avant de parler, nous ne pouvons donc pas partager le port comme pour les routes web.

Choisissez un autre port (SSH fonctionne sur n’importe lequel), ou prenez l’offre Dedicated : tous les ports de votre propre adresse IP sont à vous.

Sur nos adresses partagées, 80 et 443 appartiennent aux routes web. Tout le monde les partage, et nous distinguons les visiteurs par le nom que demande leur navigateur. C’est ainsi que toutes les offres, Free compris, ont https:// sans numéro de port.

Sur une adresse IP dédiée, 80 et 443 sont à vous comme n’importe quel autre port.

25, 465, 587, sur toutes les offres. Ils transportent l’e-mail, et un relais de messagerie ouvert ferait mettre nos adresses sur liste noire pour tout le monde.

Sur les offres payantes, oui : votrenom.portlatch.com, de 3 à 32 caractères, lettres minuscules, chiffres et tirets. Quelques noms sont réservés (www, mail, admin, tout ce qui commence par node-…).

Sur l’offre Free, le nom est généré pour vous.

Oui : autant de redirections de port que vous voulez, et une route web. nas.portlatch.com peut servir votre site web, nas.portlatch.com:2222 votre SSH et nas.portlatch.com:8123 votre Home Assistant.

Oui, dès l’offre Pro, sur les routes web. Cliquez sur Domaines sur la route dans votre tableau de bord, ajoutez nas.example.com, puis créez un enregistrement CNAME chez votre fournisseur DNS, de ce nom vers le nom de la route sur portlatch.com. Nous le cherchons chaque minute : dès que nous le voyons, votre domaine répond. Jusqu’à 5 domaines par route web.

• Toujours en attente ? L’enregistrement doit être un CNAME vers le nom exact de la route. Une adresse (enregistrement A) ne compte pas, pas plus qu’un proxy qui masque le CNAME : chez Cloudflare, désactivez le proxy (nuage gris). Un domaine encore en attente au bout d’un jour est retiré ; ajoutez-le de nouveau une fois l’enregistrement en place.
• Sous-domaines uniquement, comme nas.example.com : un domaine racine comme example.com ne peut pas porter de CNAME.
• Un domaine ne mène qu’à une seule route web. S’il est sur la route de quelqu’un d’autre et que vous le pointez vers la vôtre, il passe sur la vôtre.

Votre machine obtient ensuite un certificat pour votre domaine, de la même façon que pour votre nom Portlatch.

Oui. Suspendez-la depuis votre tableau de bord : elle cesse de répondre, et garde son nom et son port. Réactivez-la quand vous voulez, tant que votre offre a encore de la place pour elle.

Elle s’arrête aussitôt. Son port est libéré tout de suite et peut revenir à quelqu’un d’autre.

Son nom vous reste réservé 90 jours, sauf si une autre de vos routes l’utilise encore : personne d’autre ne peut le prendre, et vous le récupérez en le saisissant de nouveau pour une nouvelle route. Passé ce délai, n’importe qui le peut. Si l’un de vos propres domaines pointait vers lui, retirez ce CNAME maintenant.

L’agent connaît toujours la vraie adresse IP du visiteur. Votre service, lui, voit l’adresse de l’agent, puisque c’est l’agent qui ouvre la connexion vers lui.

Pour transmettre la vraie IP, activez le protocole PROXY sur la route (offres payantes). L’agent ajoute alors un petit en-tête au début de chaque connexion. Ne l’activez que si votre service le lit : nginx, HAProxy, Traefik et Caddy le savent. SSH, la plupart des NAS et les serveurs de jeu non, et refuseront la connexion.

• En attente : la route se met en place sur notre serveur et sur votre agent. Cela prend quelques secondes, jusqu’à une minute. Un nouveau nom choisi peut prendre quelques minutes de plus, le temps que le DNS suive.
• Hors ligne : votre agent ne s’est pas manifesté depuis deux minutes. Vérifiez qu’il tourne et que votre machine est en ligne.

Non : nous ne voyons jamais vos données. Nous ne déchiffrons rien. Le chiffrement va du navigateur du visiteur jusqu’à votre machine, et nous ne détenons aucune clé. Notre serveur lit le nom qu’annonce le navigateur, choisit votre tunnel, et transmet les octets sans pouvoir les lire.

C’est donc votre machine qui présente le certificat, pour votre nom Portlatch. En obtenir un est gratuit et se fait comme sur n’importe quel serveur : voir ci-dessous.

Avec Let’s Encrypt, comme n’importe quel serveur web, via le défi HTTP ou TLS-ALPN. L’ordre compte :

• Créez d’abord la route web, et pointez-la vers votre machine.
• Ensuite, demandez le certificat (certbot, Caddy, Traefik, Nginx Proxy Manager…).

Sans la route, Let’s Encrypt ne peut pas joindre votre machine pour vérifier le nom. Le port 80 d’une route web reste toujours ouvert pour cette raison : les renouvellements passent par lui.

Votre machine ne présente pas de certificat valide pour le nom demandé par le navigateur : aucun, un certificat auto-signé, ou un certificat pour un autre nom comme nas.local. La connexion fonctionne quand même, le navigateur avertit simplement. Obtenez un certificat pour le nom exact de la route, ou de votre domaine, et l’avertissement disparaît.

Votre tableau de bord vous indique quel certificat présente chaque nom : voir ci-dessous.

Toutes les heures, nous nous connectons à chaque nom de vos routes web depuis Internet, comme le ferait un visiteur, et lisons le certificat que présente votre machine. Nous ne faisons que le lire : rien ne change de votre côté. Vérifier maintenant lance la vérification aussitôt. Elle ne change jamais le fonctionnement de votre route ni de vos domaines : elle vous dit seulement ce que verront vos visiteurs.

• Valide : tout va bien.
• Expire bientôt : il expire dans moins de 14 jours. Vérifiez que le renouvellement fonctionne ; il passe par le port 80 de la route.
• Mauvais nom : le certificat est pour un autre nom, comme nas.local. Demandez-en un pour le nom exact.
• Domaine seul, en gris, sur le nom Portlatch : votre certificat couvre votre propre domaine, pas ce nom. Aucun souci si vous n’utilisez que votre domaine ; sinon, un même certificat peut porter les deux noms.
• Auto-signé ou Non approuvé : les navigateurs ne font pas confiance à son signataire. Utilisez Let’s Encrypt.
• Expiré : renouvelez-le.
• Pas de HTTPS : votre service répond en HTTP simple, ou la route n’a que son port HTTP.
• Injoignable : rien n’a répondu en HTTPS. Vérifiez que votre service tourne et écoute sur le port cible.

Il faudrait écrire dans notre zone DNS, qui reste fermée aux clients. Les défis HTTP et TLS-ALPN fonctionnent à la place, via votre route web.

Partout où tourne Docker, sur amd64, arm64 et armv7 : un NAS, un serveur, un Raspberry Pi. Sans Docker, comme programme Linux unique avec son service systemd, ou sur Windows 10 et 11 en tant que service. Il ne demande aucune dépendance système, et se compile depuis les sources avec Go pour tout le reste.

Tout est sur la page de téléchargement.

Démarrez l’agent, sans aucun réglage. Il affiche un code. Saisissez ce code dans votre tableau de bord, nommez la machine, et le tunnel s’ouvre quelques secondes plus tard. La page de téléchargement donne les commandes pour Docker, Linux et Windows.

Gardez son dossier de données : il contient l’identité de l’agent. Sans lui, chaque redémarrage demande un nouveau code. Avec Docker, c’est le volume de la commande ; le service Linux et Windows le gardent pour vous.

Dans les journaux de l’agent : docker logs avec Docker, journalctl -u portlatch-agent pour le service Linux, la fenêtre PowerShell sous Windows. Sur un NAS, où les journaux sont difficiles d’accès, il est aussi écrit dans enrolment.txt, dans le dossier de données de l’agent. Le fichier disparaît une fois l’agent approuvé. Un code est valable 15 minutes.

Non. Le tunnel tourne à l’intérieur de l’agent lui-même : pas de root, pas de module noyau, pas d’interface réseau ajoutée à votre machine. Il fonctionne dans un conteneur simple, sans privilèges. Sous Windows, l’installation du service demande les droits administrateur.

Jamais. L’agent crée sa clé WireGuard sur votre machine et ne nous envoie que la moitié publique. Vous pouvez le vérifier dans le code source.

L’agent garde deux secrets dans son dossier de données : cette clé privée, pour le tunnel, et un jeton d’API, pour nous parler. Sous Linux et dans Docker, ils ne sont lisibles que par leur propriétaire ; sous Windows, ils prennent les permissions de C:\ProgramData\Portlatch. Traitez ce dossier comme un mot de passe. Quiconque le copie peut prendre la place de l’agent et recevoir le trafic de ses routes. S’il fuit, ou si la machine est perdue ou vendue, supprimez l’agent depuis votre tableau de bord : les deux secrets cessent aussitôt de fonctionner.

Oui, sous licence Apache 2.0, sur GitHub. C’est la partie qui tourne sur votre réseau : vous devriez pouvoir la lire. Elle reste petite, donc facile à auditer.

Oui, autant que vous voulez : un par réseau, un par machine, comme vous préférez. La vitesse et le trafic de votre offre sont partagés entre eux.

L’agent doit pouvoir envoyer de l’UDP sortant vers notre serveur, et du HTTPS sortant vers le tableau de bord. Les connexions domestiques autorisent les deux. Certains réseaux d’entreprise et quelques forfaits mobiles bloquent l’UDP sortant, et le tunnel ne peut alors pas s’établir.

Consultez aussi les journaux de l’agent : un agent supprimé du tableau de bord s’arrête avec un message clair.

Rien à faire. Le tunnel revient de lui-même, après une coupure de courant, un redémarrage de la box, une nouvelle adresse IP ou un passage en 4G.

Supprimez d’abord ses routes, puis l’agent, depuis votre tableau de bord. Le tunnel est coupé et l’accès de l’agent révoqué aussitôt : même une copie ne peut pas se reconnecter.

Nous ne mettons jamais votre agent à jour à votre place : il tourne sur votre machine, c’est vous qui décidez. Les anciennes versions continuent de fonctionner, et votre tableau de bord affiche Mise à jour disponible à côté d’un agent dès qu’une version plus récente sort.

Le mode bridge, celui de Docker par défaut, suffit pour joindre les autres machines de votre réseau : l’agent passe par l’hôte.

Pour joindre un service sur la machine même de l’agent via 127.0.0.1, démarrez le conteneur avec --network host : en bridge, 127.0.0.1 est le conteneur lui-même. Le réseau host est natif sous Linux ; sur Docker Desktop, activez-le d’abord dans les réglages.

Le signe qui ne trompe pas : la route est en ligne, mais les connexions tombent aussitôt, et docker logs affiche target unreachable … connection refused sur 127.0.0.1.

10 Go sur Free, 200 Go sur Pro, 1 To sur Turbo et Dedicated. Le décompte inclut les deux sens, pour tout votre compte, sur les 30 derniers jours : pas de remise à zéro le 1er du mois, l’ancien trafic sort simplement de la fenêtre.

Rien n’est coupé. Un bandeau et un e-mail vous préviennent à 80 %. À 100 %, votre compte ralentit à 2 Ko/s : votre agent reste connecté et vos routes restent en ligne, juste très lentement. La pleine vitesse revient dès que votre consommation repasse sous 90 %, et le tableau de bord indique la date prévue. Passer à une offre supérieure lève la limite aussitôt.

Jusqu’à 10 Mbit/s sur Free, 50 Mbit/s sur Pro, 100 Mbit/s sur Turbo et Dedicated, pour tout votre compte.

Dans votre tableau de bord : des graphiques en direct pour chaque agent et chaque route, et votre total sur 30 jours sur la page Facturation.

Dans l’Union européenne. Tout tourne en Europe : nos serveurs, vos données, la société. D’autres régions viendront peut-être plus tard.

Pro, 3 € par mois : 10 routes, vos propres noms, vos propres domaines, le choix du port, le protocole PROXY, 200 Go de trafic.

Turbo, 5 € par mois : tout ce qu’offre Pro, avec 25 routes, 1 To de trafic et jusqu’à 100 Mbit/s. Conçue pour vos médias et vos sauvegardes.

Dedicated, 9 € par mois : 100 routes, le trafic et la vitesse de Turbo, et une adresse IPv4 rien qu’à vous, avec tous ses ports, 22 compris.

Le tableau de bord et ses graphiques sont les mêmes sur toutes les offres. Tout est côte à côte sur la page des offres.

Oui, dans les deux sens, depuis la page Facturation, quand vous voulez. Monter se paie aussitôt, moins ce qui reste de votre période en cours, et prend effet aussitôt. Descendre prend effet aussitôt aussi : ce qui reste de votre période est crédité sur vos prochaines factures, et vos routes sont suspendues ; vous réactivez celles que votre nouvelle offre permet.

Dedicated vient avec sa propre adresse IP, prise au moment où vous payez. Quand il n’en reste plus, l’offre apparaît comme épuisée et vous restez où vous êtes : vous ne payez jamais pour une adresse que nous n’avons pas.

Depuis la page Facturation, par carte. Les nouvelles limites s’appliquent aussitôt.

Les deux. Payer à l’année vous offre 2 mois sur Pro, 2 sur Turbo et 1 sur Dedicated. Vous pouvez passer de l’un à l’autre sur la page Facturation.

Il n’y a pas de TVA à ajouter : le prix affiché est le prix que vous payez.

Vos routes sont suspendues, pas supprimées, et vous réactivez celles que votre nouvelle offre permet. Vos noms choisis restent à vous. En redescendant à Free, vos propres domaines sont retirés.

En quittant Dedicated, votre adresse IP est libérée aussitôt, et les routes qu’elle porte sont supprimées. Seul un paiement qui échoue vous la garde 7 jours : payez de nouveau dans ce délai et vous retrouvez la même.

Résiliez depuis la page Facturation à tout moment : votre offre court jusqu’à la fin de la période payée, puis votre compte repasse sur Free. Rien n’est remboursé, et vous pouvez reprendre votre offre d’ici là. Vos factures sont sur la même page.

Depuis Mon compte : nous vous envoyons par e-mail un lien pour en choisir un nouveau. Déconnecté ? Utilisez Mot de passe oublié ? sur la page de connexion.

Oui, et nous le recommandons : votre compte ouvre votre réseau sur Internet, donc un mot de passe volé pourrait exposer la page d’administration de votre box, votre NAS ou vos caméras. Avec l’authentification à deux facteurs, le mot de passe seul ne suffit pas.

Activez-la depuis Mon compte avec n’importe quelle application d’authentification (Aegis, 2FAS, Bitwarden, 1Password…). Vous recevez aussi des codes de secours, au cas où vous perdriez votre téléphone.

Depuis Mon compte, en saisissant de nouveau votre adresse e-mail. Vos agents, routes et noms sont supprimés aussitôt, et votre adresse e-mail est libérée.

La loi nous oblige à garder qui possédait quelle adresse pendant 12 mois, en cas de plainte pour abus. Ensuite, votre identité est effacée pour de bon.

Qui a fait quoi sur le compte (inscriptions, connexions, routes créées ou supprimées), et combien de trafic est passé. Jamais le contenu de votre trafic : nous ne pouvons de toute façon pas le lire.

Nous ne gardons pas les adresses IP de vos visiteurs : elles restent dans les journaux de votre agent, sur votre machine.

La politique de confidentialité liste tout ce que nous conservons, et pour combien de temps.

Dans l’Union européenne, chez des hébergeurs européens. Nous ne les vendons ni ne les partageons.

Pas pour l’instant : un compte, c’est une personne.

Tout ce qui est illégal, l’hameçonnage, les logiciels malveillants, le spam, et les attaques contre autrui depuis vos routes. Une route qui enfreint les règles est suspendue, et le compte peut être fermé.

La liste complète est dans les conditions générales.

Écrivez à abuse@portlatch.eu avec l’adresse, le port et l’heure constatée. Nous agissons vite.

Non. Portlatch est conçu pour les homelabs et les projets personnels, et nous faisons de notre mieux pour qu’il tourne. Ne vous reposez pas dessus pour quoi que ce soit de critique.

Pas pour l’instant : du TCP sur IPv4, depuis une région en Europe. L’IPv4, c’est justement ce que nous fournissons : c’est ce que le CGNAT vous enlève.

Pas encore. Tout se fait depuis le tableau de bord.

Par e-mail, à support@portlatch.eu. Portlatch est une petite équipe : nous répondons à chaque message, pas toujours le jour même.