Un DNS bloqueur de pub, et tout ce que fait Warda

Blocage

• Une liste intégrée, reconstruite chaque nuit (votre boîtier regarde toutes les heures s'il y en a une nouvelle), qui bloque la publicité, les traqueurs, les logiciels malveillants et l'hameçonnage dès l'installation.
• Des listes de protection qui s’enrichissent plus vite : l’équipe Warda confie à son service d’analyse de nombreuses adresses à la fois ; chacune est vérifiée auprès de plusieurs sources (VirusTotal, urlscan.io, flux de menaces) et classée automatiquement dans les listes de protection (hameçonnage, logiciels malveillants, arnaques, publicité…) que chaque boîtier télécharge. Les sites très populaires ne sont jamais classés automatiquement — une personne les examine — et un site bloqué par erreur passe vite sur une liste blanche. Pour cela, seules les adresses que soumet l’équipe sont envoyées à ces services, jamais une donnée de votre foyer.
• Des protections par catégorie : contenus pour adultes, jeux d'argent, réseaux sociaux, domaines récents, et d'autres.
• Des services nommés (plateformes vidéo, jeux, réseaux sociaux) bloqués pour tout le réseau, un groupe, une personne ou un seul appareil.
• La recherche sécurisée imposée sur les principaux moteurs et sur YouTube.
• Votre propre liste passe toujours en premier : un clic pour débloquer un site.
• Page « Bloqué par Warda » (activée par défaut et recommandée ; l’administrateur peut choisir une autre réponse) : au lieu d’une page qui ne s’ouvre pas, la personne voit que Warda a bloqué le site et pourquoi (sa catégorie ou sa liste), avec un lien pour demander son déblocage. Sur les sites sécurisés (HTTPS), la page s’affiche sans alerte du navigateur dès que le certificat Warda propre au foyer est installé sur l’appareil : une page du boîtier (/certificate) le fournit, avec des instructions pas à pas pour Windows, Mac, iPhone et iPad, Android, Linux et Firefox. Cette autorité de certification est créée par votre boîtier et y reste : elle ne le quitte jamais et ne figure jamais dans les sauvegardes. Certaines applications ignorent les certificats installés sur l’appareil et affichent toujours leur propre erreur, et la page demande que l’interface web du boîtier soit sur les ports 80 et 443 (avec Docker, ces ports ne doivent pas avoir été déplacés) : sinon, le boîtier continue de bloquer en silence, comme avant, et ses réglages expliquent pourquoi. Seule la page que vous ouvrez l’affiche : les publicités et traqueurs bloqués d’une page restent invisibles. Avec Warda Business, un administrateur peut aussi laisser la personne débloquer le site 15 minutes sur son propre appareil après avoir choisi pourquoi (désactivé par défaut, quelques fois par jour, jamais pour une menace), et la page affiche le logo de l’entreprise.
• Des règles par personne ou par groupe (bêta, gratuit) : bloquez ou autorisez un site pour une personne sur tous ses appareils, partagés compris, ou pour tout un groupe d’appareils (les caméras, les invités…), pour toujours ou pendant une heure, un jour, une semaine. La règle d’un appareil l’emporte sur celle de sa personne, qui l’emporte sur celle de son groupe ; sur une tablette partagée, le blocage d’une personne bloque, et une autorisation demande l’accord de toutes. Le journal des requêtes et la page de blocage disent de qui est la règle qui a décidé.

Ce que compte le compteur de Warda, et comment les nouvelles listes sont vérifiées

← Précédent : Petites entreprises Suivant : Sécurité →

Sécurité

• Logiciels malveillants, hameçonnage et arnaques bloqués pour tous les appareils, même ceux où l’on ne peut rien installer : télé, console, objets connectés.
• Réputation des domaines (bêta, gratuit) : un domaine que votre foyer connaît mal est soumis au service d’analyse de Warda, qui donne son avis. Un domaine malveillant est bloqué pour tout le monde, un domaine suspect pour les enfants et les adolescents, et un domaine suspect de moins de 14 jours pour tout le monde (activé par défaut sur les nouvelles installations). Un nom qui en imite un connu est vérifié dès sa première requête ; les autres le sont en arrière-plan : la toute première visite d’un domaine jamais vu peut donc passer, et s’il est jugé dangereux, le blocage suit en quelques minutes. Seul le domaine enregistrable quitte le boîtier (exemple.com), jamais l’appareil, la personne ni l’heure.
• Noms trompeurs : un nom qui imite une banque ou un service connu avec les lettres d’un autre alphabet (аpple.com) ne s’ouvre jamais ; une faute de frappe (paypa1.com), une marque accolée à un autre nom (paypal-login.help) ou cachée dans un sous-domaine (paypal.com.check-account.net) est signalée, et bloquée quand le domaine n’a que quelques jours.
• Un rapport des noms trompeurs : une ligne par nom, avec le nom imité, le type, ce que Warda a fait (bloqué ou signalé), le nombre de requêtes et d’appareils, la première et la dernière fois.
• Fuites de données par le DNS arrêtées : un programme qui cache des données dans les noms qu’il demande est repéré, son domaine bloqué pour cet appareil, et vous êtes prévenu.
• Attaques par le navigateur (DNS rebinding) arrêtées : un nom d’Internet qui répond par une adresse de votre maison (la box, une caméra, le NAS) est bloqué.
• Logiciels espions (stalkerware) repérés : les serveurs auxquels ces applications rendent compte sont bloqués, et la personne dont le téléphone est surveillé est prévenue, pas seulement les administrateurs.
• Outils de prise en main à distance (AnyDesk, TeamViewer…), utilisés dans les arnaques au faux support, et appareil qui appelle un même serveur rare avec une régularité d’horloge sont signalés.
• Le rapport de sécurité explique ce qui est normal et ce qui ne l’est pas, avec un bouton pour chaque point (voir les appareils, les alertes, les protections, la quarantaine) ; un appareil qui se comporte comme un appareil infecté y est signalé.
• Un appareil qui semble infecté passe en quarantaine en un clic : par Warda, il n’atteint plus que ses mises à jour et son antivirus jusqu’à ce que vous le libériez (une quarantaine par les noms : pour le couper tout à fait, débranchez-le).
• Exposition sur Internet (bêta, gratuit) : une fois par semaine ou à la demande, le service en ligne de Warda essaie depuis l’extérieur les ports à risque de votre propre adresse publique, et d’elle seule (bureau à distance, partage de fichiers, caméras, bases de données…) ; Warda lit les ports que votre box a ouverts d’elle-même (UPnP) et cherche Telnet et FTP sur votre réseau. Chaque point trouvé vient avec sa gravité et un conseil simple, et tout nouveau point vous est signalé. Les services UDP et les ouvertures IPv6 de chaque appareil ne sont pas vérifiés. Un point qui n’est plus retrouvé pendant 7 jours passe dans un historique, pour que vous voyiez ce qui est ouvert maintenant, et le tableau de bord a sa propre carte.
• Fuites de données connues (abonnement, bêta) : les adresses e-mail du foyer sont comparées chaque semaine aux fuites connues, par k-anonymat — seuls les 6 premiers caractères d’une empreinte de chaque adresse quittent le boîtier, jamais l’adresse — et chaque nouvelle fuite vous est signalée avec la marche à suivre. Les vérifications commencent à l’ouverture du service de fuites de Warda ; d’ici là, les adresses sont conservées.
• Tester un mot de passe (bêta, gratuit) : votre navigateur calcule son empreinte et n’en envoie que les 5 premiers caractères ; Warda vous dit si ce mot de passe figure dans des fuites connues. Le mot de passe ne quitte jamais le navigateur.
• Minage de cryptomonnaie caché bloqué pour tout le monde (bêta, gratuit) : les pools de minage et les mineurs qui tournent dans une page web ne répondent plus, et un appareil qui essaie est signalé, avec la quarantaine à portée de clic.
• Mode restreint pour les objets connectés (bêta, gratuit, à la maison comme en entreprise) : pendant quelques jours, Warda apprend les noms dont une caméra, une télévision ou un capteur a besoin, puis n’autorise plus que ceux-là ; tout autre nom est bloqué et signalé, et se réautorise en un clic. Un programme qui a son propre résolveur le contourne, comme tout filtre par les noms.
• Ces protections ne déchiffrent rien : seuls les noms et les adresses répondues sont lus, sur le boîtier. Seules trois options envoient des noms de domaine au dehors, et chacune se désactive : le second avis (un domaine suspect, seul, pour connaître son âge), la réputation des domaines (le domaine enregistrable des noms que le foyer connaît mal) et la base collective (des noms de domaine enregistrables uniquement, désactivée par défaut).
• Décider de chaque alerte (abonnement, bêta) : accepter le risque (l’autorisation qui lui correspond), le refuser (le blocage, ou la quarantaine de l’appareil) ou continuer à surveiller (signalée de nouveau au plus tous les 14 jours tant que cela dure) ; chaque décision est datée, inscrite au journal et s’annule d’un clic. Un appareil dont la journée est bien plus chargée ou plus calme que ses habitudes déclenche aussi une alerte.
• Fuites repérées par les types d’enregistrements (bêta, gratuit, depuis Warda 0.9.10) : en plus de la forme des noms, Warda regarde le type d’enregistrement qu’un appareil demande ; une rafale d’enregistrements rares (TXT, NULL, MX, ANY…) qui transportent des données vers un même domaine est arrêtée pour cet appareil, tandis que les serveurs de courrier qui vérifient SPF, DKIM et DMARC ne sont pas gênés.
• Les appareils qui utilisent peut-être un autre DNS (bêta, gratuit, depuis Warda 0.9.10) : un appareil présent sur le réseau qui n’interroge jamais Warda, ou qui a cessé de l’interroger, est listé avec ce qu’il faut vérifier (DNS privé, VPN, Relais privé iCloud, DNS sécurisé du navigateur, DNS IPv6 annoncé par la box), et crée une alerte une fois par jour. Warda ne voit pas les requêtes envoyées directement à un autre serveur : c’est la fermeture des ports 53 et 853 dans le routeur qui les arrête.
• Une liste sous licence des contenus pédocriminels (bêta, gratuit, depuis Warda 0.9.10) : un organisme titulaire d’une licence délivrée par une autorité habilitée, comme l’IWF, peut donner à Warda l’adresse de sa liste d’empreintes ; elle est téléchargée en HTTPS, appliquée à tous les appareils et jamais lisible sur le boîtier. Warda lui-même ne détient aucune liste de ce type.
• Analyser un domaine (bêta, gratuit, depuis Warda 0.9.10) : depuis n’importe quelle ligne du journal des requêtes, Analyser demande l’avis du service d’analyse de Warda sur le domaine — seul le domaine quitte le boîtier — et donne son verdict (malveillant, suspect, digne de confiance ou inconnu), une note sur 100, les raisons et l’âge du domaine. Un domaine dangereux est proposé à l’équipe de Warda pour les listes partagées, jamais ajouté tout seul : chaque boîtier le bloque une fois que l’équipe l’a vérifié. Sur votre boîtier, c’est vous qui décidez : le bloquer ou l’autoriser. Jusqu’à 20 analyses par heure.

Exfiltration DNS : ce que Warda détecte

← Précédent : Blocage Suivant : Apprentissage →

Apprentissage

• Warda apprend des requêtes de votre réseau, à trois niveaux : faible, moyen, fort.
• Chaque suggestion vient avec son contexte : l'appareil, l'heure, la requête qui la précède.
• Un onglet « Noms surveillés » montre chaque nom suspect que Warda surveille et pourquoi il n’est pas encore suggéré : premiers jours d’observation, score sous votre niveau, demandé seulement par de nouveaux appareils ou par des serveurs, limite de la semaine atteinte. Une analyse se lance à la demande. Un graphique place chaque nom face aux seuils des trois niveaux (faible 90 %, moyen 70 %, fort 50 %), le vôtre mis en avant, avec une vue détaillée par raison et par rôle.
• Par défaut, rien n’est bloqué sans vous : les suggestions sont regroupées dans un résumé hebdomadaire.
• Nouveaux traqueurs certains bloqués automatiquement (option, bêta, gratuit ; au niveau fort seulement) : les nouveaux noms de pistage et de télémétrie dont Warda est le plus sûr — téléviseurs et objets connectés en envoient beaucoup — sont bloqués d’eux-mêmes, quelques-uns par semaine au plus, jamais un site que vous utilisez ou que vous avez autorisé. Chacun est listé et s’annule en un clic ; il n’est alors plus jamais bloqué automatiquement.
• La base collective (abonnement, bêta), désactivée par défaut : dès qu'un administrateur l'active, Warda demande l'avis du service d'analyse de Warda sur les noms dont il doute, comme un EDR qui demande un second avis à son cloud. L'avis (sain, suspect ou malveillant, avec ses raisons) s'affiche sur les suggestions, et les noms dangereux vus sur votre réseau reviennent en suggestions marquées « Base collective ». Rien n'est jamais bloqué sans vous.
• Seuls des noms de domaine enregistrables quittent le boîtier, jamais un appareil, une personne, une heure ni une adresse, et le service d'analyse ne sait jamais quel boîtier demande. Le tableau de bord montre la base collective au travail : derniers échanges, avis reçus sur 7 jours, état du service d'analyse.
• Le modèle de l’apprentissage (bêta, gratuit, depuis Warda 0.9.10) : le boîtier peut utiliser un petit modèle entraîné sur les décisions des administrateurs de nombreux boîtiers Warda. Il rend Warda plus ou moins sûr d’un nom, et peut proposer un nom suspect que les règles manquent — toujours expliqué (ce qui a le plus pesé), jamais appliqué sans vous, dans la même limite par semaine. Le modèle est téléchargé signé et tourne sur le boîtier : rien de votre réseau n’en sort pour cela.

← Précédent : Sécurité Suivant : Famille →

Famille

• Une carte par personne, avec ses appareils, et des profils adaptés à l'âge.
• Les enfants deviennent ados à 15 ans et adultes à 18 ans, automatiquement.
• Un appareil partagé par plusieurs personnes du foyer suit le profil le plus protecteur de celles qui l’utilisent ; son temps et son activité sont affichés comme « appareil partagé » et ne comptent dans le total personnel de personne.
• Une pause pour un appareil ou pour toute la maison, sans laisser passer ce qui reste bloqué pour les autres.
• Un compte pour chaque adulte, avec un tableau de bord clair ; un adulte qui n’a pas accepté les rapports détaillés compte quand même dans les totaux, mais les noms qu’il visite restent privés.
• Le journal des requêtes affiche la personne derrière chaque appareil, sinon son groupe, et filtre par personne ou par groupe. Chaque compte peut l’ouvrir : un membre ne voit que ses propres appareils, les administrateurs voient tout.
• Facile à lire pour tout le monde : les longues listes par pages de 10 à 100 lignes, une ligne sur deux légèrement ombrée dans la liste des appareils, une couleur douce pour chaque personne et chaque groupe.
• Protection hors de la maison (abonnement, bêta) : un téléphone, une tablette ou un ordinateur portable garde ses règles en données mobiles et sur les autres réseaux Wi-Fi — le service en ligne de Warda transmet ses requêtes à votre boîtier, qui répond avec les règles de cet appareil. Un profil pour iPhone, iPad et Mac, une application comme RethinkDNS ou Intra sur Android, un réglage dans Windows 11 et dans les navigateurs. Quand votre boîtier est injoignable, les requêtes reçoivent une réponse sans vos règles (par un résolveur qui bloque les logiciels malveillants connus), et elles sont comptées.
• Données mobiles à la maison (abonnement, bêta) : quand le téléphone d’un enfant protégé hors de la maison passe en données mobiles juste après avoir été sur votre réseau, les parents sont prévenus ; Warda ne peut pas savoir si l’enfant est encore à la maison ou vient de sortir, et le dit. Si un autre appareil de l’enfant cesse au même moment d’interroger Warda, Warda indique qu’il utilise probablement la connexion partagée : une probabilité, pas une preuve.
• Le bilan de la semaine (abonnement, bêta), pour les enfants, les ados et les adultes qui ont accepté les rapports détaillés, gardé 52 semaines et envoyé chaque lundi par e-mail par votre propre serveur de messagerie, jamais par le service en ligne de Warda ; les vacances scolaires choisies par zone là où le pays en a (France A, B, C).

Le contrôle parental au niveau du DNS : comment ça marche

← Précédent : Apprentissage Suivant : DNS chiffré →

DNS chiffré

• Les requêtes vers Internet chiffrées par défaut (DNS sur HTTPS ou TLS), validées par DNSSEC.
• Vos appareils peuvent parler à Warda en DNS sur HTTPS, TLS ou QUIC, avec un nom et un certificat fournis gratuitement par Warda.
• Si l'un de nos domaines devenait indisponible, Warda passerait de lui-même sur un autre des nôtres, sur un ordre signé par nous, et vous dirait si vos appareils doivent prendre son nouveau nom.
• Dès que le boîtier a son nom et un certificat valide, l’interface de Warda passe d’elle-même en HTTPS au nom du boîtier, sans avertissement du navigateur ; si le certificat n’est plus valide, elle revient d’elle-même à son fonctionnement précédent.
• Si Warda s'arrête, Internet continue de fonctionner sans filtrage, et vous êtes prévenu.
• Un guide pas à pas pour chaque type d’appareil (Android, iPhone, Mac, Windows, Linux, navigateurs), à un clic dans l’interface ; toutes les 15 minutes, une sonde vérifie chaque protocole pour de vrai.

← Précédent : Famille Suivant : Réseau →

Réseau

• Un serveur DHCP en option, IPv4 et IPv6, avec adresses réservées et noms locaux.
• Des enregistrements DNS locaux pour vos propres services.
• Les noms locaux que personne ne connaît sur le réseau (nas, .lan, .home…) reçoivent la réponse de Warda lui-même et ne partent jamais sur Internet : les noms de la maison ne fuient pas. Hors de la maison, un appareil protégé par le service en ligne n’obtient aucune réponse pour ces noms, ni pour les enregistrements locaux et les noms des appareils : ils ne fonctionnent qu’à la maison.
• Le domaine local se choisit librement : .lan, .home.arpa, .internal, .local ou un domaine qui vous appartient. Warda prévient sans refuser : .local est aussi le domaine de Bonjour (mDNS), si bien que certains appareils peuvent répondre lentement à ces noms, et un domaine qui existe sur Internet reçoit la réponse de Warda pour les appareils du réseau.
• Un contrôle du réseau toutes les 5 minutes : la box qui annonce son propre serveur DNS en IPv6 et les appareils qui n’interrogent jamais le filtre sont repérés, avec un guide box par box (Freebox, Livebox, Bbox, SFR Box, Synology…) et dans l’assistant ; un appareil qui a son propre DNS exprès (imprimante, caméra) peut être ignoré.
• Un plan du réseau en couleur qui tient dans l’écran, sur téléphone comme sur ordinateur : la box, les switchs, les bornes Wi-Fi et les appareils sur chacun, une icône par sorte de machine, la box Internet et Warda mis en avant, les liens colorés selon leur type et leur état, et une légende ; avec un switch administrable (SNMP, en lecture seule), chaque appareil est placé sur son port et sous sa borne.
• Le fabricant de chaque appareil d’après les trois registres de l’IEEE, et des noms pour les téléphones à adresse privée : celui qu’ils donnent à la box en rejoignant le Wi-Fi, sinon leur système (Appareil Apple, Téléphone Android avec sa marque, Ordinateur Windows). Les fabricants sont téléchargés de nouveau chaque jour avec les listes, et les machines virtuelles et les conteneurs sont nommés comme tels.
• Un type pour chaque appareil, avec son icône : téléphone, tablette, ordinateur, serveur, pare-feu ou routeur, borne Wi-Fi ou switch, imprimante, télévision, console de jeux, enceinte connectée, caméra, objet connecté, stockage (NAS), montre. Warda le propose d’après ce qu’il détecte (fabricant, système, nom) et n’écrase jamais votre choix ; la liste se filtre par type. Le système d’un téléphone à adresse privée est reconnu aux noms que seul ce système demande, jamais deviné d’après son adresse.
• Un appareil par machine : une machine vue deux fois (une nouvelle adresse IPv6, un autre nom donné par la box) est fusionnée d’elle-même, et les noms perdent le domaine local (nas.maison.lan devient nas) ; une fusion peut aussi se faire à la main.
• Le tableau de bord raconte ce qui s’est passé : la santé du boîtier en direct, avec des barres qui passent à l’orange puis au rouge quand le processeur, la mémoire, le stockage ou la température montent, la charge et le trafic réseau sur la dernière heure en graphiques ; et sur le graphique d’activité, une marque pour chaque alerte, mise à jour et redémarrage, à son heure ; chaque chiffre de la protection a son icône, et dans les rapports les heures d’activité vont du vert au rouge : les plus chargées se voient d’un coup d’œil. Le graphique d’activité marque aussi les mises à jour des listes et les sites des catégories surveillées ; dans les rapports, des demi-anneaux sur les chiffres, les types de requêtes de chaque appareil et une carte du monde dessinée sur le boîtier.
• Les box internet de 45 fournisseurs en Europe (UE, Royaume-Uni, Suisse, Norvège) et 21 familles de routeurs de la maison, systèmes mesh compris (Deco, Orbi, Velop, Nest Wifi, eero, UniFi…), reconnues par l’assistant : il indique où mettre Warda comme serveur DNS, montre la box derrière votre propre routeur (double NAT) et vous dit quand il vaut mieux laisser Warda distribuer les adresses.
• Les autres réseaux du lieu (bêta, gratuit) : les VLAN des invités, des caméras ou des objets connectés se déclarent en deux champs (un nom, une plage) ; Warda leur répond, analyse leurs machines avec le réseau du boîtier, nomme leurs appareils d’après eux, et propose les réseaux qu’il voit l’interroger sans être déclarés.
• Une liste d’appareils qui reste claire (bêta, gratuit) : supprimez un appareil, plusieurs à la fois, ou d’un coup ceux connus seulement en IPv6 ou non vus depuis un nombre de jours ; Warda les compte d’abord. Le journal des requêtes d’un appareil supprimé s’efface, ses comptes restent dans les statistiques ; le boîtier lui-même n’est jamais supprimé.
• Un journal des requêtes qui suit un réseau chargé (depuis Warda 0.9.10) : avec des millions de requêtes, les lignes s’affichent tout de suite, le total arrive un instant après, et les pages ne lisent jamais tout le journal.

Bloquer le DNS sortant sur la box

← Précédent : DNS chiffré Suivant : Petites entreprises →

Petites entreprises

• Des groupes d'employés et de serveurs, avec des règles pour tous.
• Un journal d'activité global et des alertes sur les catégories sensibles.
• Administrateur ou Membre dans toutes les offres. Avec Warda Business, des groupes de comptes, chacun doté de rôles pris dans un catalogue (comptes et groupes, sauvegardes et restauration, réseau, gestion courante, rapports et journaux, lecture seule…) ; personne ne donne un droit qu'il n'a pas, et chaque changement est écrit dans le journal d'activité. Le compte de secours ne peut jamais être supprimé ni rétrogradé : seuls les administrateurs peuvent le réinitialiser.
• Demandes de déblocage (bêta) : un salarié choisit un nom bloqué sur son appareil, demande 15, 30, 45 ou 60 minutes ou un déblocage définitif, et dit pourquoi ; un administrateur accepte ou refuse depuis le tableau de bord, avec un commentaire, et l'historique garde chaque demande. Les menaces ne se débloquent jamais ainsi. Si l’administrateur le permet (désactivé par défaut), la personne devant la page de blocage peut aussi débloquer un site 15 minutes sur son appareil après avoir choisi pourquoi, quelques fois par jour ; chaque déblocage est inscrit au journal et déclenche une alerte.
• Export vers votre SIEM (Wazuh, Graylog, Elastic, Splunk, Sentinel) : alertes, journal d’administration et noms bloqués, en syslog au format JSON ou CEF.
• Prévention des fuites de données (DLP, bêta), au niveau du DNS : transferts de fichiers, stockage personnel, sites de copier-coller, hébergeurs de fichiers anonymes, messageries web personnelles et assistants d'IA, chacun sur Autoriser, Alerter ou Bloquer pour le réseau, un groupe, une personne ou un appareil. Un rapport par canal, appareil et personne, les événements envoyés à votre SIEM, et un texte prêt pour informer les salariés, comme la loi l'exige.
• Centre de sécurité (bêta) : un score sur 100 avec sa tendance sur 7 ou 30 jours, et les actions à mener par ordre de priorité, chacune avec son bouton pour corriger : appareils infectés ou en quarantaine, noms trompeurs, sauvegardes absentes, administrateurs sans second facteur, mises à jour en attente…
• Services d’IA (bêta) : quels assistants sont utilisés, par quel appareil et quelle personne, et depuis quand ; autorisés, signalés ou bloqués pour le réseau, un groupe, une personne ou un appareil, tous ensemble ou un par un (autoriser ChatGPT, bloquer DeepSeek).
• Politiques d’appareils (bêta) : les règles de chaque groupe d’appareils dans un tableau (protections, SafeSearch, services, DLP, règles de base), et une liste de conformité : appareils attribués à personne, muets, qui tentent de contourner le filtre, en quarantaine.
• Annuaire (bêta) : les personnes d’Active Directory ou d’OpenLDAP (LDAPS ou StartTLS), de Microsoft Entra ID ou de Google Workspace importées toutes les heures, les groupes de l’annuaire associés à des groupes d’appareils. Elles se connectent à Warda avec le mot de passe de l’annuaire, ou avec « Se connecter avec Microsoft » ou « Se connecter avec Google », et les groupes de l’annuaire leur donnent leurs droits ; une personne désactivée dans l’annuaire est déconnectée à l’import suivant. Les comptes de Warda gardent leur propre mot de passe, au cas où l’annuaire ne répondrait pas.
• Rapports de l’entreprise (bêta) : un bilan de la semaine ou du mois, prêt à imprimer : requêtes, blocages, score de sécurité, alertes, DLP et IA, par personne et par sorte d’appareil ; ils s’ouvrent aussitôt, calculés toutes les heures ou à la demande. Avec le logo de l’entreprise, affiché aussi sur la page de blocage et la page de déblocage.
• Haute disponibilité (bêta) : deux boîtiers appairés et une adresse partagée, IPv4 et IPv6 (VRRP, keepalived) : si le premier s’arrête, le second répond à sa place, avec les réglages copiés chaque minute, et les administrateurs sont prévenus. Le secondaire est en lecture seule, rien n’y est donc changé par erreur ; les rapports du primaire comptent les deux boîtiers ; si le primaire est perdu pour de bon, le secondaire le remplace en un clic. Le second boîtier prend aussi le relais de la protection hors de la maison.
• Sites (bêta) : les boîtiers des sites distants se joignent avec un code et sont suivis depuis un boîtier gestionnaire. Depuis le siège, une politique pour tous les sites (règles de l’entreprise, prévention des fuites, services d’IA, politiques des appareils), signée par le gestionnaire et vérifiée par chaque boîtier, avec ou sans exceptions locales ; tous les sites, ou quelques-uns, mis à jour d’un coup avec la dernière version signée ; un rapport de l’entreprise qui additionne les comptes de chaque site, jamais un nom ; et une alerte quand un site reste muet une journée.
• Proxy web (bêta, désactivé par défaut) : un proxy explicite dans le boîtier, annoncé aux ordinateurs par le réseau (WPAD) ou fixé par une politique de l’entreprise. Chaque site qu’ils ouvrent est décidé par les mêmes règles que le DNS, même dans un navigateur qui a son propre DNS chiffré ; avec une règle du pare-feu (ports 80 et 443 sortants pour le seul boîtier, QUIC refusé), il devient la seule sortie. Chaque connexion est journalisée avec son site, son appareil et son volume, et les services d’IA, partages de fichiers et webmails utilisés sont montrés par appareil — lus dans le nom de la poignée de main TLS : rien n’est déchiffré, tout reste sur le boîtier. Les applis des téléphones et des objets ignorent souvent les proxys : le filtre DNS continue de les protéger.
• Les alertes de la paire et des sites sur le téléphone (bêta, depuis Warda 0.9.10) : les administrateurs sont prévenus par une notification quand un boîtier de la paire prend le relais, quand l’autre boîtier est perdu, quand le boîtier principal a été remplacé, ou quand un site reste muet — même quand c’est le boîtier principal qui s’est arrêté.

Le filtrage DNS pour une petite entreprise : comment ça marche

← Précédent : Réseau Suivant : Blocage →