Cloudflare Tunnel pour le développement distant : guide de configuration complet

Si vous voulez accéder à votre environnement de développement Mac depuis l'extérieur de votre réseau local — un café, un aéroport, une autre ville — vous avez besoin d'un chemin sécurisé à travers internet vers votre machine. Les approches traditionnelles (redirection de port, DNS dynamique, VPN) ont toutes des inconvénients importants pour les cas d'usage développeur.

Cloudflare Tunnel offre un meilleur modèle : votre Mac établit une connexion sortante vers le réseau Cloudflare. Les clients distants se connectent à Cloudflare. Pas de ports ouverts sur votre routeur, pas de DNS à gérer, pas de règles de pare-feu à configurer.

Ce guide explique comment le configurer pour le développement distant, spécifiquement pour accéder à Claude Code via Tactic Remote.

Comment fonctionne Cloudflare Tunnel

L'architecture est simple :

Your iPhone          Cloudflare Edge          Your Mac
     │                    │                       │
     │  HTTPS (wss://)    │  Outbound tunnel      │
     │───────────────────►│◄──────────────────────│
     │                    │                       │
     │  Encrypted         │  cloudflared process  │
     │  WebSocket         │  connects outbound    │
     │                    │  to Cloudflare        │
     │                    │                       │

Points clés :

• Votre Mac initie la connexion tunnel sortante vers Cloudflare. Rien n'écoute sur un port public.
• Cloudflare attribue une URL (ex : https://random-words.trycloudflare.com) qui route vers votre Mac à travers le tunnel.
• Le trafic est chiffré de bout en bout avec TLS.
• Votre routeur n'a besoin d'aucune configuration — pas de redirection de port, pas d'UPnP, pas de DMZ.

C'est fondamentalement différent d'exposer un port. Avec la redirection de port, votre Mac accepte les connexions entrantes de tout internet. Avec Cloudflare Tunnel, seul le trafic authentifié via Cloudflare atteint votre Mac.

Prérequis

• macOS 14 (Sonoma) ou ultérieur (pour l'intégration avec l'app Mac)
• Homebrew installé
• cloudflared — le client tunnel de Cloudflare

Installez cloudflared :

brew install cloudflared

Vérifiez l'installation :

cloudflared --version
# cloudflared version 2025.x.x

Vous n'avez pas besoin d'un compte Cloudflare pour les tunnels rapides. Le domaine trycloudflare.com est gratuit et ne nécessite aucune inscription.

Configuration avec l'app Mac Tactic Remote

L'app Mac gère automatiquement la majeure partie de la configuration Cloudflare Tunnel.

Étape 1 : Activer Cloudflare Tunnel

Dans les Paramètres de l'app Mac :

1. Basculez Cloudflare Tunnel sur activé
2. L'app démarre cloudflared avec la bonne configuration
3. Une URL de tunnel apparaît (ex : https://bright-river-abc123.trycloudflare.com)

En coulisses, l'app Mac exécute :

cloudflared tunnel --url http://localhost:8765 --protocol h2mux

Le flag --protocol h2mux utilise le multiplexage HTTP/2 pour la connexion tunnel, offrant de meilleures performances pour le trafic WebSocket.

Étape 2 : Définir une clé API

C'est obligatoire pour les connexions Cloudflare. Quand votre serveur est accessible depuis internet, vous devez authentifier les connexions.

L'app Mac génère une clé API aléatoire de 32 caractères. Vous pouvez aussi définir la vôtre. Cette clé est requise lors de la connexion depuis votre iPhone — elle est envoyée dans le handshake WebSocket via l'en-tête Sec-WebSocket-Protocol.

Étape 3 : Configurer votre iPhone

Dans Tactic Remote sur votre iPhone :

1. Allez dans les paramètres de connexion
2. Passez en mode Cloudflare
3. Entrez l'URL du tunnel depuis l'app Mac
4. Entrez la clé API

Ou scannez le QR code depuis l'app Mac, qui encode à la fois l'URL du tunnel et la clé API.

Étape 4 : Tester la connexion

1. Passez votre iPhone en cellulaire (désactivez le WiFi pour confirmer que vous n'utilisez pas accidentellement le LAN)
2. Ouvrez Tactic Remote
3. Vérifiez que la connexion réussit
4. Créez ou ouvrez une session
5. Envoyez une commande test

Si cela fonctionne, vous êtes prêt. L'URL du tunnel persiste tant que cloudflared tourne.

Comment Tactic Remote utilise le tunnel

Quand Cloudflare Tunnel est actif, le chemin de communication change :

Mode LAN : iPhone → WiFi → Mac (port 8765) — WebSocket direct Mode Cloudflare : iPhone → Cellulaire/WiFi → Cloudflare Edge → Tunnel → Mac (port 8765) — WebSocket chiffré à travers le tunnel

Du point de vue de l'app iPhone, la seule différence est l'URL :

• LAN : ws://192.168.1.100:8765
• Cloudflare : wss://bright-river-abc123.trycloudflare.com

Le préfixe wss:// indique WebSocket Secure (chiffré). Toutes les données entre votre téléphone et Cloudflare, et entre Cloudflare et votre Mac, sont chiffrées.

Considérations de sécurité

Ce que le tunnel protège

• Pas de ports publics — le pare-feu de votre Mac n'a besoin d'aucune règle entrante
• Chiffrement TLS — tout le trafic est chiffré en transit
• Protection DDoS — le réseau edge de Cloudflare absorbe les attaques volumétriques avant qu'elles n'atteignent votre Mac
• Obscurité de l'URL — l'URL trycloudflare.com est générée aléatoirement et difficile à deviner

Ce dont vous êtes responsable

• Force de la clé API — utilisez une clé aléatoire longue (l'app Mac génère 32 caractères). N'utilisez pas de mots de passe faibles.
• Transmission de la clé API — transférez la clé via QR code (en personne) plutôt que par email ou chat
• Confidentialité de l'URL du tunnel — ne publiez pas votre URL de tunnel publiquement. Toute personne avec l'URL et la clé API peut se connecter.
• Sécurité physique du Mac — le serveur a accès à votre système de fichiers via Claude Code. Verrouillez votre Mac.
• Limitation de débit — le serveur de Tactic Remote inclut un middleware de limitation de débit contre les attaques brute-force, mais ce n'est pas un substitut à une clé API forte

Cloudflare voit-il votre trafic ?

Cloudflare termine le TLS à son edge, ce qui signifie qu'il peut théoriquement voir votre trafic. Pour la plupart des cas d'usage de développement, c'est acceptable — vous n'envoyez pas de données classifiées, et les engagements de confidentialité de Cloudflare sont bien documentés.

Si cela vous préoccupe, utilisez exclusivement le mode LAN et travaillez uniquement depuis votre réseau local.

Dépannage

"L'URL du tunnel n'apparaît pas"

• Vérifiez que cloudflared est installé : which cloudflared
• Vérifiez les logs de l'app Mac pour les erreurs cloudflared
• Essayez de lancer cloudflared manuellement : cloudflared tunnel --url http://localhost:8765
• Vérifiez que votre connexion internet est active

"La connexion fonctionne en LAN mais pas en Cloudflare"

• Vérifiez que vous utilisez wss:// (pas ws://) avec l'URL du tunnel
• Confirmez que la clé API correspond entre l'app Mac et les paramètres iPhone
• Vérifiez si votre réseau bloque les connexions sortantes sur des ports non standard (rare mais possible sur les réseaux d'entreprise)

"Déconnexions intermittentes"

• Les tunnels rapides Cloudflare peuvent recycler les URL après une longue inactivité
• Vérifiez l'app Mac — si l'URL du tunnel a changé, mettez à jour les paramètres de votre iPhone
• Envisagez un tunnel nommé avec un compte Cloudflare pour des URL permanentes

"Latence élevée"

• Les tunnels rapides routent via le datacenter Cloudflare le plus proche, ce qui est généralement rapide
• Si la latence est régulièrement élevée, votre FAI peut avoir un mauvais peering avec Cloudflare
• Testez avec : curl -o /dev/null -w "%{time_total}" https://your-tunnel-url.trycloudflare.com
• Une latence sous 200ms convient pour l'interaction terminal. Au-dessus de 500ms, cela devient perceptible.

Quick Tunnel vs Named Tunnel

Tactic Remote utilise les tunnels rapides par défaut — pas de compte Cloudflare requis, URL attribuée automatiquement. C'est le chemin le plus rapide vers un accès distant fonctionnel.

Limites des tunnels rapides :

• L'URL est générée aléatoirement et change si cloudflared redémarre
• Pas de domaine personnalisé
• Pas d'intégration Cloudflare Access (pas de SSO, pas de couches d'authentification supplémentaires)

Les tunnels nommés (nécessitent un compte Cloudflare gratuit) offrent :

• URL persistante qui ne change pas entre les redémarrages
• Mapping de domaine personnalisé (ex : dev.votredomaine.com)
• Cloudflare Access pour une authentification supplémentaire (SSO, vérification email)
• Mieux adapté aux configurations d'équipe où plusieurs personnes ont besoin d'un accès stable

Pour les développeurs individuels, les tunnels rapides fonctionnent bien. Si vous mettez fréquemment à jour l'URL du tunnel sur votre téléphone, envisagez de passer à un tunnel nommé.

Alternatives à Cloudflare Tunnel

Pour être complet, d'autres approches d'accès distant :

Redirection de port

• Ouvrir un port sur votre routeur, configurer le pare-feu
• Risque : votre Mac est directement exposé à internet
• Nécessite un DNS dynamique si votre IP change
• Non recommandé pour les environnements de développement

Tailscale/WireGuard VPN

• Crée un réseau privé entre vos appareils
• Bon modèle de sécurité (chiffrement pair à pair)
• Nécessite le client Tailscale sur Mac et iPhone
• Note : Tactic Remote ne s'intègre pas actuellement avec Tailscale — vous devriez l'exécuter séparément et pointer Tactic Remote vers l'IP Tailscale

ngrok

• Concept similaire à Cloudflare Tunnel
• Le tier gratuit a des limitations (nombre de connexions, bande passante)
• Produit mature avec une bonne expérience développeur
• Alternative si vous préférez l'écosystème ngrok

Tunnel SSH

• Approche classique utilisant la redirection de port SSH
• Nécessite la configuration du serveur SSH sur votre Mac
• Note : Tactic Remote utilise WebSocket, pas SSH — un tunnel SSH envelopperait la connexion WebSocket, ajoutant de la complexité sans bénéfice clair

Cloudflare Tunnel est l'option recommandée pour Tactic Remote car il est gratuit, ne nécessite pas de compte pour les tunnels rapides, et est directement intégré dans l'app Mac.