Flux réseau et ports
Ce qu'un poste du musée doit pouvoir joindre pour utiliser caisse.bzh, à travers un proxy filtrant qui n'autorise que les flux web. En bref : des connexions sortantes en HTTPS sur le port 443, aucun flux entrant vers le réseau de la collectivité.
Depuis les postes et téléphones
Toutes les connexions partent du poste vers Internet. Aucune ne demande l'ouverture d'un port entrant.
| Destination | Port et protocole | Pour quoi | Qui en a besoin |
|---|---|---|---|
| caisse.bzh | 443, HTTPS (TLS) | La console, la caisse, le contrôle des billets, la documentation. Les mises à jour en direct (jauges, accès) passent par la même adresse, en flux d'événements serveur. L'API publique et le module de billetterie intégré au site du musée utilisent aussi cette adresse. | Tous les postes et téléphones |
| auth.1clic.pro | 443, HTTPS (TLS) | La connexion des comptes à la console. | Les agents qui se connectent à la console |
| caisse.bzh sur le port 80 | 80, HTTP | Seulement une redirection vers HTTPS. Aucune donnée ne passe en clair. | Facultatif |
Pages publiques seulement, et pour les visiteurs, pas pour les agents : la mesure d'audience du site public (www.googletagmanager.com) ne se charge qu'après l'accord du visiteur ; la vérification anti-robot de la billetterie en ligne appelle challenges.cloudflare.com. La page Abonnement de l'éditeur ouvre le paiement Stripe (checkout.stripe.com). Aucun de ces services n'est appelé par les écrans de caisse.
Sur le réseau local du musée
| Appareil | Liaison | Remarque |
|---|---|---|
| Imprimante de tickets en USB | USB sur le poste | Par le pilote de l'ordinateur et la fenêtre d'impression, ou pilotée directement par le navigateur (Chrome ou Edge) après accord de l'utilisateur. |
| Imprimante de tickets en réseau | TCP, port 9100 en général, sur le réseau local | Pilotée par l'application pour ordinateur ou pour Android, pas par le navigateur seul. L'imprimante doit garder une adresse fixe (réservation DHCP). |
| Terminal de paiement Caisse-AP | TCP sur le réseau local, port fixé par le fournisseur du terminal (souvent 8888) | La caisse et le terminal doivent être sur le même réseau, sans isolement des appareils. Le terminal a sa propre liaison bancaire, fournie et décrite par sa banque ou son mainteneur. |
| Douchette | USB ou Bluetooth en mode clavier | Aucun pilote, aucun flux réseau. |
Depuis le serveur, sans passer par le réseau de la collectivité
Ces échanges partent du serveur de l'éditeur ; ils ne demandent rien au réseau du musée.
- Envoi des e-mails (billets, devis, factures, alertes) par le relais de messagerie de l'éditeur.
- Copie nocturne des archives du journal fiscal hors du serveur (Cloudflare R2).
- Vérification des connexions auprès d'auth.1clic.pro.
Messagerie et annuaire de la collectivité
Deux flux n'existent que si l'organisation les choisit. Ils partent du serveur de l'éditeur ou des postes vers des serveurs de la collectivité.
| Flux | Sens et port | Quand | À ouvrir chez la collectivité |
|---|---|---|---|
| Relais de messagerie (mode « Votre messagerie » de l'écran Expéditeur) | Du serveur de l'éditeur vers le serveur d'envoi de la collectivité (Zimbra par exemple) : port 587 avec STARTTLS, ou 465 en TLS direct, avec un identifiant et un mot de passe | Seulement après un essai réussi depuis l'écran Expéditeur ; sinon les courriels partent du relais de l'éditeur | L'accès du serveur de l'éditeur au port de soumission choisi. L'adresse IP de sortie du serveur est communiquée à la DSIN sur demande. |
| Connexion par l'annuaire de la collectivité (OpenID Connect) | Du navigateur des agents vers le fournisseur d'identité de la collectivité, en HTTPS sur le port 443 (redirection) ; du service de connexion de l'éditeur (auth.1clic.pro) vers ses adresses de découverte, de jetons et de clés, en HTTPS sur le port 443 | Seulement si elle est mise en place pour l'organisation ; elle ne l'est pour aucune aujourd'hui | Que le fournisseur d'identité soit joignable en HTTPS par les postes et, pour ses adresses de jetons et de clés, par le service de connexion de l'éditeur. |
La délégation DNS de l'écran Expéditeur ne crée aucun flux : la collectivité publie deux enregistrements dans son DNS. Le détail est dans le guide expéditeur des courriels. L'état de la connexion par l'annuaire est dans le guide connexion et annuaire.
Sonde de l’état du service
La page État du service publie les contrôles effectués chaque minute depuis un serveur distinct. Le contrôle authentifié vérifie le stockage, la signature fiscale et l’horloge par HTTPS ; aucune ouverture sur le réseau du musée n’est nécessaire. Deux points extérieurs sont actifs : Cloudflare, hors OVH, et un serveur OVH distinct. La sonde sur le serveur applicatif complète le diagnostic, sans compter dans le taux extérieur. Sans résultat extérieur récent pendant trois minutes, l’état instantané devient inconnu.
Proxy filtrant
- Autoriser en HTTPS : caisse.bzh et auth.1clic.pro.
- Si la connexion par l'annuaire de la collectivité est ouverte : autoriser aussi l'adresse de son fournisseur d'identité.
- Inspection TLS : si le proxy déchiffre le trafic, son certificat doit être reconnu par les postes ; sinon la connexion est refusée par le navigateur.
- Les mises à jour en direct utilisent une connexion longue (flux d'événements). Un proxy qui la retient en mémoire tampon retarde l'affichage en direct sans bloquer la vente : les écrans se mettent aussi à jour au rechargement.
- Les polices de caractères sont servies par le site lui-même : aucun appel à fonts.googleapis.com ni fonts.gstatic.com.
Vérifier sur place
Depuis un poste du musée, la page État du service doit s'afficher, et la connexion à la console aboutir. Le fonctionnement derrière le proxy de la Ville n'a pas encore été essayé : il fait partie de la recette sur place.