Sécurité

Tactic Remote donne à votre iPhone le contrôle d'un terminal sur votre Mac. Cette page couvre ce qui est protégé, comment, et ce que vous devez configurer.

Authentification par clé API

Le serveur supporte l'authentification par clé API. Quand elle est définie, chaque connexion doit fournir la bonne clé.

export CLAUDE_REMOTE_API_KEY="your-secret-key"

L'app Mac peut générer une clé aléatoire pour vous.

Quand c'est obligatoire :

• Toujours obligatoire pour l'accès public/tunnel (fortement recommandé).
• Optionnel pour l'accès local uniquement, mais reste une bonne pratique.

Règles :

• Ne partagez pas votre clé API dans des captures d'écran ou des chats.
• Faites une rotation de la clé si vous suspectez une exposition.
• L'app Mac stocke la clé dans le Trousseau macOS.

Restrictions de chemin

Vous pouvez restreindre les répertoires auxquels Claude Code peut accéder :

export CLAUDE_REMOTE_ALLOWED_PATH="/Users/you/projects"

Par défaut, c'est défini à votre répertoire personnel (~). Le restreindre à votre dossier de projets empêche Claude d'accéder à des fichiers non liés.

Bloqué par défaut : Le serveur bloque l'accès aux répertoires sensibles comme .ssh, .aws, .gnupg et chemins similaires, indépendamment du paramètre de chemin autorisé.

Sécurité des sessions

• Les noms de session sont validés : caractères alphanumériques, underscores et tirets uniquement (max 50 caractères). Cela empêche l'injection de commandes via les noms de session.
• Les commandes passées à tmux sont validées. Seule la commande claude avec des flags approuvés peut être lancée.
• Les attaques par traversée de chemin (par ex. ../../etc/passwd) sont bloquées.

Limitation de débit

Le serveur applique une limite de 30 requêtes par minute par connexion. Cela empêche les abus et les tempêtes de requêtes accidentelles.

Sécurité réseau

Réseau local

Sur un réseau domestique ou de bureau de confiance, le mode local est raisonnablement sécurisé. Le risque principal vient des autres appareils sur le même réseau. Traitez l'IP et la clé API comme des identifiants.

Cloudflare Tunnel

Les connexions tunnel sont chiffrées (WSS/TLS) par défaut. Cloudflare fournit aussi une protection DDoS. Le tunnel ne nécessite aucun port entrant sur votre routeur.

Pour l'accès public, toujours :

1. Définir une clé API.
2. Utiliser un tunnel nommé avec une URL stable quand possible.
3. Supprimer les configurations de tunnel obsolètes quand elles ne sont plus nécessaires.

Checklist