1.7.1

Clavitor 1.7.1

Le coffre, la passerelle, le CLI et le proxy passent ensemble en 1.7.1. L'essentiel est le journal d'audit : il affiche désormais ce que votre coffre a refusé, pas seulement ce qu'il a autorisé. Les utilisateurs du CLI et du proxy doivent inscrire à nouveau leurs clients (voir Changements incompatibles).

Journal d'audit

• Les requêtes refusées sont enregistrées : un client bloqué par sa liste blanche d'IP, un client verrouillé ou révoqué, une lecture hors des périmètres du client, une lecture au-delà de son quota, une requête au-delà de la limite de débit, et une action qui exige un appui sur une clé matérielle mais qui est arrivée sans cet appui. Chaque entrée indique le client, l'adresse source, l'action et le motif.
• Les refus répétés en moins d'une minute sont regroupés en une seule entrée qui porte le compte, afin qu'un agent mal configuré ne puisse pas saturer le journal.
• Une lecture refusée n'apparaît plus comme une lecture réussie. Auparavant, une lecture hors des périmètres d'un client ou au-delà de son quota pouvait être journalisée comme un get réussi alors que rien n'était renvoyé.
• Les filtres de la page Journal d'audit fonctionnent désormais : client, adresse IP, action, résultat et entrée, ainsi que le tri et les compteurs de résultat, d'action et de client. Une recherche porte sur les 20 000 événements les plus récents de la période sélectionnée.

Clients

• Le formulaire client indique désormais ce que la liste blanche d'IP accepte : adresses IPv4 et IPv6, plages (CIDR) et noms d'hôte.

Coffre

• Les tentatives répétées d'ouverture d'un coffre (un coffre inconnu ou une clé incorrecte) sont ralenties dès le premier échec, et l'adresse source est bloquée pendant un jour après quelques tentatives.

CLI et proxy

• Les deux parlent désormais le format d'identifiants actuel du coffre et les identifiants de coffre de 16 caractères.
• Un client fonctionne avec un coffre sur n'importe lequel de nos sites : le blob d'inscription porte désormais la clé de ce site. Auparavant, le CLI et le proxy avaient une seule clé intégrée et n'atteignaient que les coffres d'un seul site.
• Nouveaux téléchargements pour macOS, Linux, Windows et FreeBSD sur clavitor.ai/downloads.

---

Changements incompatibles : les clients CLI et proxy configurés avant le 4 octobre ne se connectent plus (le coffre répond « Cet appareil a été configuré avec une version plus ancienne. Configurez-le à nouveau depuis votre coffre. »). Créez un nouveau blob client dans votre coffre (Clients), installez la version 1.7.1 et exécutez à nouveau clavitor-cli init (ou clavitor-proxy init).

Problèmes connus : les agents qui fonctionnent derrière une sortie VPN partagée, comme Cloudflare WARP, changent d'adresse presque à chaque requête. Une liste blanche d'IP qui les autorise doit couvrir toute la plage d'adresses du fournisseur, ce qui autorise également tous les autres utilisateurs de ce VPN.