5. Au quotidien

La page « Bloqué par Warda »#

Quand Warda bloquait un site, la page ne s'ouvrait tout simplement pas, et personne ne savait pourquoi. Depuis 0.8.4, Warda le dit par défaut (depuis 0.8.3, un administrateur pouvait le choisir) : Réseau → Services DNS → Réponses, Réponse à un nom bloqué → Page de blocage : l’adresse de Warda, qui explique pourquoi (recommandé). Un boîtier où un administrateur a choisi une autre réponse la garde ; pour revenir au comportement d'avant, choisissez-y Adresse nulle 0.0.0.0 / ::. Le navigateur affiche alors Bloqué par Warda, dans sa langue, avec le site, la raison en mots simples (une liste de blocage, une catégorie bloquée pour le profil, les heures d'Internet…) et l'heure. Sur l'appareil pour lequel le site a été bloqué, un bouton demande plus de temps (hors des heures d'Internet) ou demande le déblocage (quand les demandes de déblocage sont disponibles). Un autre appareil voit le site et l'heure, jamais la raison : personne ne lit pourquoi quelqu'un d'autre a été bloqué. Les applications qui ne sont pas des navigateurs échouent simplement, comme avant.

Détails et demande de déblocage. Sur l'appareil pour lequel le site a été bloqué, la page indique aussi la Catégorie (par exemple « Publicité, pistage et menaces » ou « Sécurité »), ce qui a décidé (Décidé par : « La liste de base de Warda », une règle du réseau, les heures d'Internet ou le profil de la personne, la réputation du domaine…) et l'Appareil avec sa personne. Warda reconnaît l'appareil quelle que soit son adresse : un ordinateur qui interroge Warda en IPv6 et ouvre la page en IPv4 voit lui aussi sa raison. Sous Que faire ?, Demander le déblocage envoie une demande à la personne qui gère le réseau, sans connexion : choisissez Pour combien de temps (de 15 à 60 minutes, ou Définitivement), ajoutez un Message (facultatif), puis Envoyer la demande. La page répond « Demande envoyée à la personne qui gère ce réseau. », puis indique si la demande attend, a été acceptée ou refusée (avec la réponse). Les administrateurs y répondent là où ils répondent aux autres demandes (tableau de bord, Entreprise → Demandes de déblocage). Quand les demandes ne sont pas activées, la page l'indique : « La demande de déblocage n’est pas activée sur ce réseau. » ; un blocage qui protège l'appareil (une menace, les heures d'un enfant) ne peut pas être demandé. Les administrateurs y trouvent aussi un lien Règles vers l'interface de Warda (connexion requise).

Débloquer 15 minutes (Warda Business, ouvert à tous jusqu'à l'ouverture des abonnements, désactivé par défaut). Quand un administrateur l'autorise (chapitre 5, Warda Business : fuites de données et demandes de déblocage), la page propose aussi Le débloquer 15 minutes maintenant : choisissez Pourquoi (Site scolaire / devoirs, Site de travail, Le site est bloqué à tort ou Autre), puis Débloquer 15 minutes. Le site s'ouvre sur cet appareil seulement, sans attendre de réponse ; la page dit jusqu'à quand (« Débloqué pour 15 minutes, jusqu’à 14:32. Patientez une minute, puis rechargez cette page. »). Quelques fois par jour seulement : quand l'appareil ou le réseau a utilisé ses déblocages du jour, la page le dit, et une demande reste possible. Jamais pour une menace, les heures d'un enfant, une règle écrite par un administrateur, un domaine suspect, la prévention des fuites de données, un objet connecté en mode restreint, ni un VPN ou un proxy.

Le logo de l'entreprise. Avec Warda Business, la page montre le logo de l'entreprise (chapitre 5, Warda Business : centre de sécurité, services d'IA et politiques) à la place du bouclier de Warda ; une fois le site débloqué sur l'appareil, le bouclier revient.

Ce que voit le foyer. Seule la page que vous ouvrez affiche « Bloqué par Warda ». Les publicités, traqueurs et images qu'une page demande à des sites bloqués reçoivent une réponse vide et n'affichent rien : le reste de la page s'affiche comme avant. Un appareil qui ouvre beaucoup de pages bloquées en peu de temps (plus de 30 d'un coup, puis 2 par seconde) reçoit une courte page « Bloqué par Warda » sans les détails, qui invite à recharger dans quelques secondes ; une publicité affichée dans un cadre d'une autre page reçoit la même courte page.

Sites sécurisés (https). La plupart des sites sont sécurisés. Pour eux, le navigateur affiche d'abord une alerte de sécurité (« Votre connexion n'est pas privée »), car la page vient de votre box Warda et non du site. Pour que l'alerte disparaisse, installez une fois le certificat de votre Warda sur chaque appareil : ouvrez http://warda/certificate (ou le lien en bas de la page de blocage), qui donne les fichiers et les étapes de chaque système :

• Windows : téléchargez le certificat (.crt), ouvrez-le, Installer le certificat, et placez-le dans Autorités de certification racines de confiance. Redémarrez le navigateur.
• Mac : téléchargez le profil pour iPhone, iPad et Mac, ouvrez-le, puis installez-le dans Réglages Système → Général → Gestion des appareils.
• iPhone et iPad : ouvrez la page dans Safari, touchez le profil, installez-le dans Réglages (Profil téléchargé), puis activez la confiance totale dans Réglages → Général → Informations → Réglages des certificats.
• Android : téléchargez le certificat (.crt), puis dans Paramètres cherchez « certificat CA » et choisissez le fichier.
• Linux et Firefox (qui garde ses propres certificats, sur tous les systèmes) : suivez les étapes de la page.

Avant de lui faire confiance, vérifiez que l'empreinte affichée par la page est celle que montre votre appareil.

Ce que signifie l'installer. L'appareil fait alors confiance à tout certificat que fabrique votre box Warda. Warda n'en fabrique que pour sa page de blocage, et sa clé ne quitte jamais la box. Installez-le seulement sur vos propres appareils, seulement depuis le Warda de votre foyer, et retirez-le quand un appareil quitte votre réseau. Réinstallez-le quand la box est remplacée ou restaurée depuis une sauvegarde, ou quand un administrateur en crée un nouveau ; avec deux box (haute disponibilité), installez le certificat de chacune.

Limites. La page de blocage demande que Warda soit sur les ports 80 et 443 (avec Docker sur d'autres ports, la page Services DNS le signale, et la réponse par défaut reste l'adresse nulle). Sans le certificat, certains grands sites affichent une alerte impossible à passer. Un navigateur avec son propre DNS sécurisé ne demande jamais rien à Warda, et les appareils hors du foyer gardent la réponse habituelle.

Une application ou un site ne marche plus#

Dans Appareils, cliquez sur Quelque chose ne marche plus à côté de l'appareil concerné :

1. Warda arrête de le filtrer pendant 15 minutes : réessayez.
2. Il montre ce qu'il a bloqué pour lui juste avant. Si un nom est la cause, Débloquer pour cet appareil le laisse passer pour cet appareil seulement.

En cas d'urgence, un administrateur peut suspendre le filtrage de tout le réseau pendant 15 minutes depuis le tableau de bord. C'est affiché en rouge sur toutes les pages.

Les suggestions#

Dans Suggestions, Warda explique chaque nom qu'il soupçonne : son rôle, l'appareil, ce qui s'est passé juste avant. Bloquer l'ajoute à vos règles ; Laisser passer le laisse autorisé et il ne sera plus proposé.

L'onglet Noms surveillés montre les noms suspects que Warda surveille encore, et pourquoi chacun n'est pas encore proposé : la période d'observation n'est pas finie (avec sa date de fin), sa confiance est sous le seuil de votre niveau d'apprentissage (avec le niveau auquel il serait proposé), seuls de nouveaux appareils le demandent (observés 48 heures), seuls des serveurs le demandent, ou la limite de suggestions de la semaine est atteinte. Rien n'y est bloqué. Une carte en haut donne le niveau, la dernière analyse et la fin de l'observation ; Analyser maintenant lance l'analyse tout de suite (au plus une fois par minute). Quand il ne reste rien à décider, la page renvoie vers cet onglet ; quand l'apprentissage est désactivé, elle le dit, avec un lien vers les réglages.

En haut de Noms surveillés, la carte Ce que Warda surveille dit simplement combien de noms Warda surveille, qu'aucun n'est bloqué, et à quel point Warda doit être sûr avant de proposer un nom à votre niveau : Faible 90 %, Moyen 70 %, Élevé 50 % (plus le niveau est élevé, plus il propose de noms). Le graphique place chaque nom comme un point sur une ligne de 0 à 100 %, avec le seuil de chaque niveau ; les points à votre seuil ou au-dessus sont Suggéré à votre niveau. Niveau de détail → Détaillé ajoute pourquoi ils ne sont pas encore proposés, et ce qu'ils font probablement.

Bloquer automatiquement les nouveaux traqueurs certains (à partir de Warda 0.8.0, gratuit, désactivé par défaut), la carte sous les onglets, ne fonctionne qu'au niveau d'apprentissage Fort (choisi dans les Réglages). Une fois Les bloquer automatiquement coché, une nouvelle suggestion de pisteur ou de service de télémétrie (les comptes rendus qu'une télé ou un objet envoie à son fabricant) dont Warda est sûr à 90 % au moins est bloquée sans vous attendre, au plus autant par semaine que vos suggestions par semaine. Jamais un service vital, un site que votre foyer visite souvent, ni un nom qui a déjà une règle. Chacun apparaît sur la carte, devient une règle marquée Bloqué automatiquement (apprentissage) dans Mes règles, et une alerte les nomme. Annuler (ou supprimer la règle) le laisse passer de nouveau, et ce nom ne sera plus jamais bloqué automatiquement. Si le niveau redescend sous Fort, la carte indique Activé, mais en pause, et plus rien n'est bloqué d'office.

Vos règles#

Mes règles contient les noms que vous avez bloqués ou autorisés vous-même. Elles passent avant les listes téléchargées.

Une règle couvre le nom et tout ce qui est en dessous : bloquer example.com bloque aussi ads.example.com. Pour les habitués, une règle écrite entre deux barres obliques est une expression régulière, testée sur le nom entier : /^ads?[0-9]*\./ bloque ads.example.com, ad1.example.com…, et /(^|\.)casino/ tout nom dont une partie commence par casino. Elle est marquée regex dans la liste. Autoriser l'emporte toujours, puis les noms passent avant les expressions ; les majuscules ne comptent pas ; une expression qui correspond à tous les sites est refusée, pour autoriser comme pour bloquer.

Une règle peut aussi ne valoir que pour un appareil : sur le formulaire, choisissez l'appareil dans Pour. La règle d'un appareil passe avant les listes et les règles de tout le réseau, pour cet appareil seulement : un nom bloqué pour le réseau peut être autorisé sur la télé, ou l'inverse. Une règle d'autorisation d'un appareil laisse aussi passer un service bloqué dans Services et recherche sûre ; les horaires Internet s'appliquent toujours. La liste affiche le nom de l'appareil à côté de ses règles, et « jusqu’au … » pour une règle donnée pour un temps (une demande de déblocage acceptée).

Les Règles de base Entreprise (Warda Business, ouvertes à tous jusqu'à l'ouverture des abonnements) bloquent, pour les adultes et les appareils rattachés à personne, les contenus pour adultes, les jeux d'argent, le piratage, la haine et les moyens de contourner le filtre, et pour tous les pools de minage (que Bloquer les pools de minage, chapitre 4, bloque de toute façon dans toutes les formules). Elles sont données d'elles-mêmes quand l'offre devient Warda Business, ou par le bouton de leur carte dans Mes règles ; chacune devient une règle ordinaire, marquée Règle de base Entreprise, que vous pouvez supprimer, et un nom sur lequel vous avez déjà décidé garde votre règle.

Le tableau de bord et les rapports#

Le Tableau de bord montre l'état de la protection, l'activité et ce qui est bloqué ; Personnaliser ajoute, retire ou déplace ses modules. Depuis Foyer, Voir le rapport détaille l'activité d'un enfant ou d'un ado sur la période choisie. Sur le graphique d'activité, pointez une barre pour voir ses requêtes (toutes les 10 minutes sur les dernières 24 heures) ; un clic les ouvre dans le journal des requêtes.

Le graphique d'activité marque aussi ce qui est arrivé au boîtier, à son heure : un losange pour une alerte, un triangle pour une mise à jour installée, un disque pour un redémarrage de Warda et un carré pour un démarrage du boîtier (un redémarrage dans les 10 minutes qui suivent une mise à jour ou un démarrage est montré avec lui). Pointez une marque pour ses détails ; une barre choisie liste ses événements sous le graphique, et une alerte mène aux Alertes. Un changement soudain de l'activité s'explique alors de lui-même. Les marques s'affichent pour toutes les périodes sauf Temps réel (5 min) ; les alertes s'affichent pour les comptes qui lisent les rapports, avec l'abonnement (ouvert à tous jusqu'à l'ouverture des abonnements). Deux marques de plus : un triangle pointe en bas pour une Mise à jour des listes (les listes de Warda qui ont changé, nommées au survol), et un hexagone pour une alerte d'une Catégorie surveillée (la catégorie et la personne ; un clic ouvre Alertes).

À partir de Warda 0.7.10, la marque d'un redémarrage dit pourquoi Warda a redémarré, quand c'est connu : une mise à jour, un redémarrage demandé depuis l'interface (le bouton, ou un réglage qui le demande), l'arrivée du certificat du DNS chiffré, une sauvegarde restaurée, une coupure de courant, un arrêt que personne n'a demandé. Chaque démarrage est aussi inscrit dans Administration → Journal (action service.start, avec sa raison). Et un redémarrage ne vide plus ce que vous voyez : les compteurs, les graphiques et la dernière analyse de l'apprentissage sont les mêmes après (ce qui peut encore être perdu : chapitre 6, La maintenance).

Pour les administrateurs, de petits badges sous l'état de la protection montrent les options des services DNS activées (DNSSEC, DNS chiffré, limite de requêtes, réponse aux noms bloqués) ; un clic ouvre Réseau → Services DNS.

Le réseau en direct (dans la carte de la protection, pour les comptes qui lisent les rapports) montre les 7 derniers noms demandés, toutes les 3 secondes, avec leur appareil, leur personne, et s'ils ont été bloqués et pourquoi ; Pause l'arrête pour lire. Les 7 lignes sont fixes. Son compteur « … requêtes la dernière minute » compte parmi les 100 derniers noms : il plafonne donc à 100 sur un réseau chargé.

Catégories sensibles montre les sites des catégories surveillées des 7 derniers jours, par personne et par catégorie. Elle ne se remplit que si un appareil est attribué à un enfant ou à un ado, qu'une catégorie est sur Surveiller pour ce profil dans Réglages de protection (par défaut : piratage et réseaux sociaux pour un enfant, violence et drogues pour un ado), et que rien d'autre n'a bloqué le site avant. Les adultes ne sont jamais surveillés : sans enfant ni ado, la carte reste vide. Sans l'abonnement (une fois les abonnements ouverts), la carte dit que les alertes viennent avec lui.

Exposition sur Internet (une carte du tableau de bord ; ajoutez-la avec Personnaliser si votre tableau de bord a été personnalisé avant) donne la dernière vérification de ce que votre réseau expose sur Internet et les constats par gravité, avec un lien vers la page.

À partir de Warda 0.7.11, la carte Services du boîtier se termine par la ligne Liste de base, qui donne deux chiffres, par exemple « 605 224 domaines bloqués, qui couvrent 731 487 noms des listes d'origine » pour les listes du 31 octobre 2026 (les vôtres peuvent différer un peu : les listes changent chaque nuit). Le premier est ce que Warda garde : une entrée par domaine, et une entrée bloque aussi tous ses sous-domaines. Le second est le nombre de noms des listes à partir desquelles Warda est fabriqué, comptés un par un. D'autres logiciels (Pi-hole, AdGuard Home) gardent une ligne par nom et affichent ce compte : leur compteur est plus grand pour les mêmes noms bloqués. Comparez-le au second chiffre, jamais au premier : un compteur plus petit ne veut pas dire une protection moindre. La petite ligne en dessous donne le jour où la liste a été fabriquée (les listes de Warda sont refaites chaque nuit) et la dernière vérification de votre boîtier (toutes les heures). Tant que le boîtier n'a pas reçu une liste qui porte ces chiffres, la ligne se lit comme avant : « … domaines, mise à jour le … ».

Inutile d'attendre la prochaine vérification : le bouton Mettre à jour les listes maintenant, sous la ligne Liste de base (et dans la carte Mise à jour des listes de Réglages de protection, avec le jour de fabrication de la liste et la dernière vérification), vérifie tout de suite la liste de base et celles des catégories utilisées. Le bouton devient « Mise à jour en cours… », puis affiche « Listes à jour » (une liste a changé et s'applique), « Déjà à jour » (rien de nouveau depuis la dernière vérification) ou « Échec : … » avec la raison (le boîtier garde ses listes précédentes). Une seule mise à jour à la fois, et le bouton attend une minute avant la suivante, pour ne pas surcharger les serveurs des listes. Il est réservé aux administrateurs qui modifient le système, et chaque mise à jour est notée dans le journal d'administration. Avec deux boîtiers en haute disponibilité, le bouton met à jour le boîtier dont vous ouvrez la page ; l'autre garde son propre rythme.

Rapports → Journal des requêtes liste les derniers noms demandés, du plus récent au plus ancien : cherchez un nom, gardez seulement les blocages ou un appareil, ou suivez-les en direct. Cliquez un nom pour son détail ; Bloquer ou Autoriser en fait une règle pour tout le réseau. Les appareils des adultes qui n'ont pas accepté les rapports n'y apparaissent jamais.

La colonne Personne / groupe donne la personne de chaque appareil, ou son groupe quand il n'est à personne en particulier ; le filtre du même nom garde une seule personne ou un seul groupe.

Nom local inconnu n'est pas une erreur. Un appareil a demandé un nom de votre réseau local (un seul mot comme nas, un nom en .lan, .home ou .internal, la recherche inverse d'une adresse privée) qu'aucun appareil de votre réseau ne porte. Warda répond lui-même « introuvable » et n'envoie jamais ces noms sur Internet : ils révéleraient à l'extérieur ce qu'il y a chez vous. Survolez le motif, ou ouvrez la ligne, pour retrouver cette explication (et voyez le chapitre 7 si votre box connaît ce nom).

Le menu Rapports (administrateurs) détaille les requêtes (types, cache, motifs de blocage, activité par heure), les domaines les plus autorisés et bloqués, les appareils les plus actifs ou silencieux, les pays des sites consultés et les serveurs amont. Dans Requêtes, l'Activité par heure va du vert pour les heures calmes, en passant par l'orange, au rouge pour les heures les plus chargées de la période ; une heure sans aucune requête reste vide. Les motifs de blocage et les types de requêtes sont dessinés en barres, les serveurs amont en anneau.

Les demi-anneaux. Chacun des quatre chiffres en haut de Requêtes, Domaines, Appareils et Internet a son demi-anneau : sous Requêtes, les appareils qui ont demandé quelque chose parmi les appareils connus ; sous Bloquées, la part des requêtes bloquées ; sous Réponses du cache, la part des réponses venues du cache ; sous Temps moyen, la vitesse des réponses (Rapide sous 50 ms, Correct sous 150 ms, Lent au-delà ; plein à 200 ms). Dans Appareils, Types de requêtes par appareil montre ce que demande chacun des appareils les plus actifs (A, AAAA, HTTPS…, les plus rares sous Autres), jamais pour l'appareil d'un adulte qui n'a pas accepté les rapports détaillés. Dans Internet, la Carte des pays colore les 15 pays de la liste en cinq nuances (un petit pays reçoit un point), les autres restent blancs ; la carte est dessinée sur le boîtier (Natural Earth, domaine public), rien n'est chargé d'ailleurs. Tout est calculé sur le boîtier et rien n'est envoyé nulle part. L'identifiant de votre installation (WRD-FR-1234-ABCD-EFGH) figure en bas de la carte Services du boîtier du tableau de bord : donnez-le au support si vous demandez de l'aide.

Rapports → Noms trompeurs (gratuit) liste les noms faits pour être confondus avec des noms connus que vos appareils ont demandés, une ligne par nom : le nom imité, son type (autres lettres, faute de frappe…), ce que Warda a fait (Bloqué ou Signalé), combien de requêtes, sur combien d'appareils, la première et la dernière fois ; triez par Requêtes, Appareils ou Plus récents. Rapports → Sécurité (abonnement) compte les menaces arrêtées sur les 7 ou 30 derniers jours. Les deux vont jusqu'à maintenant, aujourd'hui compris : une menace de ce matin apparaît tout de suite.

Les rapports sont regroupés par thème dans le menu : Activité, Famille, Sécurité et Entreprise. Réseau → Carte du réseau montre votre réseau simplement : la box Internet, les switchs et les bornes Wi-Fi, et sous chacun les appareils branchés par câble ou connectés en Wi-Fi. Ce que Warda devine est dessiné en pointillé : cliquez sur un appareil (ou Corriger sur une borne) pour dire ce que c'est et où il est connecté ; c'est gardé. Le Plan le dessine en schéma (la Liste reste à un clic) ; avec un switch administrable, donnez sa communauté SNMP (lecture seule) avec Corriger : Warda lit alors quel appareil est sur chaque port, et quelle borne chaque appareil Wi-Fi utilise. Tout le plan tient dans la page, sur téléphone comme sur ordinateur, sans défilement.

La date en haut du tableau de bord affiche aussi l'heure, et les chiffres de Protection sont disposés deux par deux, centrés dans leurs cases, chacun avec son icône : une loupe pour les requêtes, un bouclier barré d'une croix pour les blocages, un ordinateur portable et un téléphone pour les appareils actifs, une ampoule pour les suggestions en attente. Après un redémarrage, Services en ligne s'affiche tout de suite, avec l'heure de chaque vérification (« vérifié il y a 3 minutes »).

La carte Santé du boîtier suit le boîtier en direct. Ses barres changent de couleur avec l'usage : vertes jusqu'à 70 %, orange jusqu'à 85 %, rouges au-delà, noires quand c'est plein ; la mémoire et le stockage indiquent leur pourcentage, et la température est mesurée par rapport à 85 °C. Les graphiques de la charge et du réseau sont dans un cadre. Au-dessus du Processeur, le graphique de la Charge montre la dernière heure (moyennes sur 1, 5 et 15 minutes). Après le Stockage, le bloc Réseau donne ce que le boîtier reçoit et envoie en ce moment (Reçu, Envoyé), son graphique de la dernière heure et les totaux depuis son démarrage. Si Warda tourne dans Docker sur un réseau à lui, seul son propre trafic est compté : la carte le signale.

Services en ligne consacre une ligne à chaque DNS chiffré : DNS over TLS (DoT), DNS over HTTPS (DoH) et DNS over QUIC (DoQ), chacun avec son état (Répond ou Ne répond pas, avec l'erreur) et l'heure de sa dernière vérification. Le boîtier s'interroge lui-même : un pare-feu placé entre vos appareils et lui n'apparaît pas ici (voir le chapitre 9 si un appareil n'arrive pas à le joindre).

Les rapports Requêtes, Domaines, Appareils et Internet s'ouvrent tout de suite quand un rapport de la période existe déjà. S'il date de plus de 5 minutes, Warda en calcule un plus récent en arrière-plan et affiche « Un plus récent est en cours de calcul. » jusqu'à le remplacer.

Rapports → Sécurité explique ce qui est normal sous chaque chiffre (quelques menaces par semaine, c'est courant ; un contournement devrait rester à 0 à la maison) et ce que montre le graphique par jour, et mène à l'action : Voir les appareils, Ouvrir les alertes, Régler les protections, Bloquer les contournements du filtre, ou la quarantaine d'un appareil depuis sa ligne. Dans Noms trompeurs, Ce n'est pas une imitation est un bouton sur la ligne de chaque nom.

Chaque compte ouvre le journal des requêtes. Un membre n'y voit que ses propres appareils : ceux de sa personne, ceux des groupes qu'il a créés, et l'appareil qu'il utilise ; la page le dit (« Seuls vos appareils apparaissent ici… »). Les administrateurs voient tout le réseau, leurs propres appareils compris.

Les longues listes s'affichent par pages : tâches planifiées, appareils, règles, alertes, journal des requêtes, rapports, Journal… 50 lignes par page par défaut ; Lignes par page propose 10, 25, 50, 75 ou 100, retenu pour chaque liste dans ce navigateur. La barre des pages n'apparaît qu'au-delà de 10 lignes, avec Première page, Précédente, Suivante, Dernière page et « Lignes 1 à 50 sur 1 234 ». Sur Administration → Journal, la recherche et le filtre par auteur portent sur tout le journal, pas seulement sur la page affichée. Dans la liste des Appareils, une ligne sur deux est légèrement ombrée, pour que l'œil suive une ligne plus facilement.

Le Journal des requêtes est lu page par page depuis le boîtier, ses filtres portant sur tout le journal ; passer au-delà de la première page arrête En direct, qui montre les noms les plus récents.

Sur la Carte du réseau, chaque machine a la couleur et l'icône de sa sorte (ce boîtier, appareils des personnes, télés, imprimantes, caméras, objets connectés…), la box Internet ressort, et les liens sont colorés selon leur type, gris quand la machine n'a pas été vue récemment : la Légende sous la carte les explique.

Les alertes et le temps passé#

Protection → Alertes rassemble ce qui mérite un coup d'œil : un enfant qui a tenté un VPN, un proxy ou un DNS chiffré (bloqué), un appareil utilisé pendant une coupure qui s'est tu (éteint, ou sur un autre réseau ?), un nouvel appareil sur votre réseau, et les sites des catégories surveillées. Le tableau de bord indique combien sont nouvelles. Les adultes ne sont jamais surveillés : quand l'appareil d'un adulte sort de Warda, seul cet adulte le voit, dans Mon compte.

Décider d'une alerte. Sous chaque alerte, choisissez :

• Accepter le risque : Warda crée l'autorisation qui lui correspond (le site autorisé pour cet appareil, ou pour tout le réseau, l'exposition marquée comme connue…), après un message qui dit ce qui va changer ;
• Refuser le risque : Warda crée le blocage qui lui correspond (le site bloqué pour cet appareil ou pour le réseau, ou l'appareil mis en quarantaine) ;
• Continuer à surveiller : rien ne change, et l'alerte est signalée de nouveau au plus tous les 14 jours tant que sa cause est toujours là ;
• Lu, pour les alertes auxquelles aucune règle ne répond (un appareil devenu silencieux, une fuite de données…).

Chaque décision marque l'alerte comme lue, affiche sa date et qui l'a prise (« Risque accepté le … par … »), va au journal, et Annuler remet ce qu'elle a changé (sauf si quelqu'un l'a changé depuis). Un nouvel appareil ou une journée inhabituelle n'est signalé qu'une fois : il peut être accepté (l'appareil gardé tel quel) ou refusé (l'appareil en quarantaine), pas surveillé. Accepter ou refuser demande le droit de modifier les appareils, les règles ou le réseau, selon ce qui change.

À partir de Warda 0.8.0, le groupe Sécurité rassemble aussi : un port de votre maison qui répond depuis Internet (Exposition sur Internet, ci-dessous), une adresse e-mail du foyer trouvée dans une fuite de données, un appareil qui a contacté un pool de minage, un objet connecté en mode restreint qui a demandé un nom hors de sa liste, et les pisteurs que Warda a bloqués de lui-même. Le groupe Contournement ajoute deux avis pour les appareils inscrits des enfants : les données mobiles à la maison, et un partage de connexion probable (chapitre 8).

Rapports → Temps passé estime le temps que passe sur Internet chaque enfant, chaque ado et chaque adulte qui a accepté les rapports détaillés : par jour, par heure, par site et par appareil.

Un enfant qui veut plus de temps ouvre http://warda/ask sur son appareil et demande 15, 30 ou 60 minutes : vous acceptez ou refusez d'un clic depuis le tableau de bord ou Alertes. Rapports → Bilan de la semaine donne en un coup d'œil la semaine de chaque enfant et de chaque ado, et de chaque adulte qui a accepté les rapports détaillés. Chaque lundi matin, Warda garde le bilan de la semaine écoulée : Semaine montre les 52 derniers. Pour le recevoir par e-mail, réglez d'abord le serveur de messagerie du boîtier (chapitre 6, Les réglages), puis cochez Envoyer chaque lundi matin le bilan de la semaine écoulée et ajoutez chaque Destinataire (un administrateur ou un adulte du foyer, avec une Adresse e-mail et une Langue). Il va de votre boîtier à votre serveur de messagerie seulement, jamais par le service en ligne de Warda ; Envoyer maintenant celui de la semaine écoulée l'envoie tout de suite. Un adulte qui retire son accord, ou une personne supprimée, sort aussi des bilans passés.

Les notifications#

À partir de Warda 0.8.8, les alertes de Warda arrivent aussi sur vos téléphones et ordinateurs, comme celles d'une application. Les textes restent généraux (« Nouvel appareil », « Menace bloquée »…) : le détail n'est visible qu'après connexion à Warda. Toucher une notification ouvre la page de Warda qui la concerne.

Chaque adulte règle les siennes dans Mon compte, carte Notifications : ses appareils, ses alertes et ses heures calmes. Ses choix ne concernent que lui : les autres adultes font les leurs. Dans Administration → Accès à Warda, les administrateurs voient combien d'appareils reçoivent les notifications de chaque compte. Une fois, Warda les propose aussi en haut de la page : Activer les notifications ou Plus tard.

Avant tout. Les notifications demandent que le boîtier ait son nom Warda et son certificat : un administrateur les règle dans Réseau → Services DNS (le DNS chiffré, chapitre 3). Tant que ce n'est pas fait, la carte le dit. Un appareil s'inscrit seulement à l'adresse sécurisée de Warda (son nom, en https://) : ailleurs, la carte donne le lien. Les notifications passent par le service en ligne de Warda ; avec deux boîtiers en paire, elles se règlent sur le principal. Tant qu'un compte les reçoit, Warda laisse passer de lui-même les services de notification d'Apple, Google, Mozilla et Microsoft (une règle Notifications, non modifiable).

Mes alertes. Un interrupteur au bout de chaque ligne :

• Boîtier hors ligne : votre boîtier ne répond plus depuis 15 minutes ;
• Boîtier de nouveau en ligne : il répond de nouveau après une coupure ;
• Mise à jour disponible : une nouvelle version de Warda, une seule fois par version (administrateurs seulement) ;
• Listes de protection non actualisées : les listes n'ont pas pu être mises à jour depuis 3 jours (administrateurs seulement) ;
• Contournement détecté ★ : un appareil d'enfant ou d'ado contourne la protection (VPN, autre DNS…) ; pour votre propre appareil, vous seul êtes prévenu ;
• Nouvel appareil ★ : un appareil inconnu s'est connecté à votre réseau ;
• Menace bloquée ★ : hameçonnage ou logiciel malveillant bloqué ; regroupées, une fois par heure au plus ;
• Catégorie sensible ★ : un appareil d'enfant a tenté d'ouvrir une catégorie surveillée ;
• Fuite de données par DNS ★ : un appareil a fait sortir des données par des noms de domaine ;
• Résumé de la semaine ★ : le bilan de la semaine est prêt, le lundi matin.

★ : compris dans l'abonnement (ouvert à tous jusqu’à l’ouverture des abonnements). Toutes sont activées d'office, sauf Boîtier hors ligne, Boîtier de nouveau en ligne et Résumé de la semaine. Pour les deux premières, Warda explique d'abord ce qui change : votre boîtier envoie un signal à Warda toutes les 5 minutes, avec seulement son identifiant, l'heure et sa version. Rien sur vos sites, vos appareils ou votre foyer, et le boîtier ne devient pas joignable depuis Internet. Le signal s'arrête dès qu'aucun adulte ne veut plus ces alertes.

Heures calmes. Pendant ces heures (par défaut de 22:00 à 07:00), vos alertes attendent et arrivent regroupées à la fin. La même heure de Début et de Fin : pas d'heures calmes. Laisser passer « boîtier hors ligne » pendant les heures calmes fait une exception pour cette alerte.

Android (Chrome).

1. Ouvrez Warda dans Chrome, à son adresse sécurisée, puis Mon compte.
2. Touchez Activer les notifications sur cet appareil.
3. Android affiche alors ses propres fenêtres, l'une après l'autre : Chrome demande d'autoriser les notifications du site, puis Android peut demander d'autoriser les notifications de Chrome. Elles ressemblent aux demandes des publicités et des spams, mais acceptez-les toutes : sinon, rien n'arrive.
4. L'appareil apparaît sous Mes appareils, marqué cet appareil.

Refusé par erreur ? Dans Chrome : ⋮ → Paramètres → Paramètres des sites → Notifications, et autorisez Warda. Dans Android : Paramètres → Applications → Chrome → Notifications, et activez-les. Touchez ensuite de nouveau le bouton dans Mon compte.

iPhone et iPad (iOS 16.4 ou plus récent). Une page web ne reçoit des notifications qu'une fois ajoutée à l'écran d'accueil :

1. Ouvrez Warda dans Safari, à son adresse sécurisée.
2. Touchez Partager, puis Sur l'écran d'accueil.
3. Ouvrez Warda depuis cette nouvelle icône, pas depuis Safari.
4. Mon compte → Activer les notifications sur cet appareil, puis Autoriser.

iOS affiche la notification sous le nom Warda, suivi du nom du site (« from warda » sur un iPhone en anglais). C'est iOS qui l'ajoute : Warda ne peut pas le retirer.

Ordinateur (Chrome, Edge, Firefox). Ouvrez Warda à son adresse sécurisée, Mon compte → Activer les notifications sur cet appareil, et choisissez Autoriser quand le navigateur le demande. Pour changer d'avis, sur Firefox comme sur les autres : le cadenas à gauche de l'adresse, puis les notifications.

Essayer. Envoyer une notification de test (dès qu'un appareil est inscrit) : elle arrive en quelques secondes sur vos appareils. Sous chaque appareil, Warda montre la dernière notification reçue. Retirer arrête les notifications sur un appareil.

Rien n'arrive ? Vérifiez, dans l'ordre :

• la permission : si elle a été refusée, la carte dit que les notifications sont bloquées pour Warda dans ce navigateur ; autorisez-les (voir plus haut), puis réessayez ;
• l'appareil : en veille ou en économie d'énergie, un téléphone peut retarder les notifications ; sur Android, laissez Chrome sans restriction de batterie ; le mode Concentration ou Ne pas déranger les cache aussi ;
• le boîtier : son nom et son certificat dans Réseau → Services DNS, et Warda ouvert à son adresse sécurisée ;
• les heures calmes : pendant ces heures, les alertes attendent la fin ;
• sur iPhone et iPad : Warda ouvert depuis l'icône de l'écran d'accueil, et Réglages → Notifications → Warda autorisé.

Les tendances et les journées inhabituelles#

Rapports → Tendances (abonnement, ouvert à tous jusqu'à l'ouverture des abonnements) compare les 7 ou 30 derniers jours aux précédents : les requêtes, celles bloquées et leur part, les appareils actifs, jour par jour, ce qui a bloqué, les appareils dont les habitudes ont changé et les nouveaux noms. Chacun de ses quatre chiffres a son demi-anneau : cette période face à la précédente (un trait marque la période précédente), la part bloquée, les appareils actifs parmi les appareils connus.

Journées inhabituelles. Pour chaque appareil, Warda compare chaque journée au même jour de la semaine sur les 8 dernières semaines. Une journée est inhabituelle quand l'appareil a fait au moins deux fois plus de requêtes que d'habitude, ou au plus trois fois moins, bien au-delà de son écart habituel, avec au moins 200 requêtes. Il faut d'abord trois semaines d'habitudes à un appareil, et une journée sans aucune requête n'en est jamais une (voir les appareils silencieux). Seuls les nombres servent, jamais les noms. La page liste les journées inhabituelles de la période (Bien plus que d’habitude, Bien moins que d’habitude, avec le nombre habituel pour ce jour) et les marque sous le graphique des jours. Chaque journée inhabituelle déclenche aussi une alerte : bien plus peut être un nouveau programme, une mise à jour ou un appareil qui ne se comporte plus comme avant ; bien moins, un appareil peu utilisé ce jour-là, ou qui interroge un autre DNS. Depuis l'alerte, Accepter le risque garde l'appareil tel quel, Refuser le risque le met en quarantaine.

L'exposition sur Internet#

Une caméra, un NAS ou une box qui répond depuis Internet, c'est la porte d'entrée habituelle des attaquants et des botnets. Réseau → Exposition sur Internet (à partir de Warda 0.8.0, gratuit) montre ce qui, chez vous, est joignable de l'extérieur. Warda vérifie de lui-même une fois par semaine, quand votre box change, et quand vous appuyez sur Vérifier maintenant (au plus toutes les 2 minutes ; le service en ligne accepte six vérifications par jour).

La page regarde trois choses :

• Redirections de ports de la box (UPnP) : les ports que votre box a ouverts d'elle-même parce qu'un appareil le lui a demandé (une console, une caméra, un NAS), avec cet appareil et le nom qu'il a donné. Warda lit cette liste sur la box de votre réseau, et seulement sur elle.
• Vu depuis Internet : le service en ligne de Warda se connecte en retour à votre adresse publique, et à aucune autre, sur une liste de ports à risque (accès à distance, partage de fichiers, caméras, bases de données, administration d'une box, à partir de Warda 0.8.0 le DNS…) et sur les ports des redirections. Il ne fait qu'ouvrir une connexion, n'envoie rien et ne garde aucune adresse. Cette partie demande d'avoir accepté les conditions d'utilisation du service en ligne.
• Telnet et FTP sur votre réseau : les machines présentes qui acceptent ces vieilles portes d'entrée, où tout passe en clair.

Ce que veulent dire les constats. Ce qui est exposé donne à chaque constat un niveau : Critique (une porte attaquée à longueur de journée : telnet, partage de fichiers, bureau à distance, base de données, enregistreur vidéo), Élevé (SSH, l'administration d'un NAS ou d'une box, le flux d'une caméra, la page web d'un appareil qui n'est pas un serveur), Moyen ou Information (UPnP activé, un port de jeu). Chacun vient avec son conseil, en mots simples. Un nouveau constat déclenche une alerte, une seule fois, jamais les semaines suivantes ; Je suis au courant, ne plus alerter met de côté un constat voulu (un serveur que vous publiez exprès), Alerter de nouveau le fait revenir.

Les constats qui expirent. Un constat reste dans la liste tant qu'une vérification l'a trouvé dans les 7 derniers jours (« constaté pour la dernière fois le … »). Non retrouvé pendant 7 jours, il passe dans l'Historique, avec ses dates de premier et de dernier constat et sa date d'expiration : en revenant après des semaines, vous voyez ce qui est ouvert maintenant, pas ce qui a été fermé il y a longtemps. Retrouvé, il revient dans la liste et déclenche une nouvelle alerte. Le tableau de bord peut afficher une carte Exposition sur Internet : la dernière vérification et les constats par gravité.

Fermer un port, selon le constat :

1. Une redirection faite par UPnP : coupez l'accès à distance dans l'appareil (caméra, NAS), ou désactivez l'UPnP dans la box si aucune console ni application n'en a besoin : les appareils ne peuvent alors plus ouvrir de ports d'eux-mêmes.
2. Une redirection faite à la main (appelée NAT, redirection de ports ou serveur virtuel dans la box) : supprimez-la. Pour joindre un appareil de l'extérieur, préférez un VPN à un port ouvert.
3. Aucune redirection, et pourtant ouvert : c'est la box qui répond ; coupez son administration à distance.
4. Changez le mot de passe d'usine de l'appareil et mettez à jour son micrologiciel, puis Vérifier maintenant.

Ce qu'elle ne voit pas : les services qui passent par UDP (listés seulement quand la box les redirige par UPnP) ; en IPv6, les ports que la box ouvre pour chaque appareil (seule l'adresse du boîtier Warda est essayée : gardez le pare-feu IPv6 de la box activé) ; les redirections d'une box sans UPnP (la vérification depuis l'extérieur voit quand même ce qui répond à votre adresse). Derrière l'adresse partagée de certaines offres 4G, 5G ou fibre, l'adresse publique appartient à l'opérateur et ne peut pas être vérifiée.

Les fuites de données et les mots de passe#

Quand un site où vous avez un compte est piraté, ses comptes finissent publiés, et les attaquants essaient les mots de passe divulgués partout ailleurs. Protection → Fuites de données (à partir de Warda 0.8.0) a deux parties.

Adresses surveillées (abonnement, ouvert à tous jusqu'à l'ouverture des abonnements). Saisissez une adresse e-mail telle que vous l'utilisez pour vous connecter, choisissez si vous le souhaitez la Personne du foyer, puis Surveiller (20 adresses au plus). Warda la vérifie dans la minute, puis une fois par semaine ; Vérifier maintenant une fois par jour et par adresse. Chaque adresse affiche Aucune fuite connue, ou les sites dont les fuites la contiennent, avec la date de découverte. Un membre ne voit sur cette page que les adresses liées à sa propre personne.

Comment l'adresse reste privée : Warda en calcule une empreinte et n'en envoie que les 6 premiers caractères, par le service en ligne de Warda, à Have I Been Pwned, qui répond avec toutes les adresses dont l'empreinte commence de la même façon (des centaines). Warda cherche la sienne chez vous : aucun des deux services ne peut savoir quelle adresse vous surveillez.

Pas encore ouvert. Tant que la page indique Le service des fuites de Warda n'est pas encore ouvert, rien n'est vérifié : vos adresses sont gardées et seront vérifiées dans la journée qui suit l'ouverture. Le test de mot de passe fonctionne déjà.

Après une alerte (« … figure dans une fuite de données : … » ; une alerte par nouvelle fuite) :

1. Changez le mot de passe de ce site, et de tous les sites où vous utilisiez le même.
2. Activez la validation en deux étapes partout où c'est possible.
3. Méfiez-vous des e-mails et des messages qui se servent des données divulguées pour paraître authentiques.

Ne plus surveiller oublie l'adresse, ses fuites et ses alertes.

Tester un mot de passe (gratuit, tous les comptes). Saisissez-le dans Mot de passe à tester, puis Tester : Warda indique combien de fois il a été vu dans des fuites (ne l'utilisez plus), ou qu'il n'est pas dans les fuites connues, ce qui ne suffit pas à le rendre solide. Le mot de passe ne quitte jamais votre navigateur : le navigateur calcule son empreinte et ne donne au boîtier que les 5 premiers caractères ; le boîtier demande à Pwned Passwords tous les mots de passe divulgués qui commencent de la même façon, et la comparaison se fait dans votre navigateur. Rien n'est gardé, et le champ se vide après chaque test. Si le navigateur propose de suggérer ou d'enregistrer un mot de passe dans ce champ, ignorez-le.

Les données viennent de Have I Been Pwned (Troy Hunt), sous licence CC BY 4.0 : la page le mentionne en bas.

Warda Business : fuites de données et demandes de déblocage#

Prévention des fuites. Dans Entreprise → Prévention des fuites (DLP), une entreprise choisit ce qui se passe avec les services par lesquels ses données peuvent sortir : Transferts de fichiers, Stockage personnel, Stockage mixte, Sites de copier-coller, Dépôts anonymes, Messageries personnelles et Assistants d’IA (WeTransfer, Dropbox, Pastebin, Gmail, ChatGPT…). Warda voit quel appareil contacte quel service, jamais ce qui est envoyé.

• Dans l'onglet Politique, choisissez pour chaque canal Autoriser, Signaler (le nom passe et c'est enregistré) ou Bloquer, pour tout le réseau, un groupe, une personne ou un appareil : le choix le plus précis l'emporte. Par défaut, tout est autorisé. Le Stockage mixte (Google Drive, OneDrive, iCloud Drive) peut seulement être signalé : ses noms servent aussi bien aux comptes professionnels que personnels.
• Un service que l'entreprise utilise elle-même (son propre stockage, sa messagerie) s'autorise par une règle dans Mes règles : les règles passent avant la politique.
• L'onglet Rapport compte ce qui a été bloqué et signalé aujourd'hui, sur 7 ou 30 jours, par canal, par appareil et par personne, avec les derniers événements (gardés 90 jours). Chaque événement figure aussi dans Alertes, une fois par jour, et dans l'export SIEM s'il est choisi.
• La politique s'applique à tous les appareils de l'entreprise : informez d'abord les salariés. L'onglet Informer les salariés rappelle les obligations légales et donne un texte à adapter.

Demandes de déblocage. Quand un nom dont quelqu'un a besoin est bloqué sur son appareil (par la politique, une catégorie, un service, une règle…) :

1. Il ouvre le menu de son compte (son initiale, en haut à droite) → Demander un déblocage : Bloqué récemment sur vos appareils liste les noms bloqués dans les dernières 24 heures, avec ce qui les a bloqués.
2. Il prend un nom de cette liste (Demander le déblocage : seul un nom bloqué sur cet appareil ces dernières 24 heures peut être demandé), choisit la durée (Pour : 15, 30, 45 ou 60 minutes, ou définitivement), répond à Pourquoi en avez-vous besoin ?, puis Envoyer la demande.
3. Les administrateurs la voient sur le tableau de bord (Demandes de déblocage en attente) et dans Entreprise → Demandes de déblocage, et choisissent Accepter ou Refuser, avec un commentaire s'ils le souhaitent.
4. Acceptée, le nom s'ouvre pour cet appareil seulement, pour la durée demandée (puis il est de nouveau bloqué tout seul) ou définitivement. La réponse et le commentaire s'affichent dans Mes demandes.

Une seule demande attend à la fois par appareil et par nom, 10 par jour et par compte ; une demande restée sans réponse expire au bout de 7 jours. Les protections contre les menaces, les contenus illégaux et les horaires Internet d'un enfant ne peuvent pas faire l'objet d'une demande. Chaque demande et chaque réponse est inscrite au journal.

Une demande peut aussi partir de la page « Bloqué par Warda » elle-même, sans compte : elle apparaît comme Quelqu’un depuis la page de blocage, avec l'appareil, et la limite de 10 par jour s'applique à chaque appareil.

Déblocage de 15 minutes depuis la page de blocage (désactivé par défaut). Sur Entreprise → Demandes de déblocage, la carte Déblocage de 15 minutes depuis la page de blocage permet à la personne devant un site bloqué de l'ouvrir 15 minutes sur son propre appareil, sans vous attendre, après avoir choisi pourquoi. Le risque : n'importe qui sur le réseau peut alors ouvrir un site bloqué un moment sans vous le demander ; Warda vous demande donc de confirmer. Réglez Déblocages par jour pour un appareil (3 par défaut, de 1 à 10) et Déblocages par jour pour tout le réseau (10 par défaut, de 1 à 50). Il ne lève jamais une menace, les heures d'un enfant, les contenus illégaux, vos propres règles de blocage, un domaine suspect, la prévention des fuites de données, un objet connecté en mode restreint, ni un VPN ou un proxy (une fois installé, il contournerait le filtre pour de bon) : une demande reste possible pour ceux-là. Chaque déblocage va au journal, déclenche une alerte, et apparaît dans l'historique comme Débloqué automatiquement, avec la raison choisie.

Warda Business : centre de sécurité, services d'IA et politiques#

Toutes les pages de Warda Business fonctionnent (ouvertes à toutes les installations jusqu'à l'ouverture des abonnements).

Centre de sécurité. Dans Entreprise → Centre de sécurité, un Score de sécurité sur 100 résume la sécurité de l'entreprise : bon à partir de 85, moyen à partir de 60, mauvais en dessous. En dessous, les Actions par priorité : appareils en quarantaine, menaces trouvées, fuites de données, appareils qui contournent le filtre ou ne sont donnés à personne, administrateurs sans seconde étape, mise à jour en attente, sauvegardes absentes, protections désactivées… Chacune coûte des points et a son bouton Ouvrir, vers la page qui la règle. La Tendance montre le score et les alertes de chaque jour sur 7 ou 30 jours.

Services d'IA. Dans Entreprise → Services d'IA, l'onglet Utilisation montre quels assistants d'IA (ChatGPT, Claude, Copilot, Gemini, DeepSeek…) sont utilisés, sur quels appareils et combien, et signale ceux utilisés pour la première fois cette semaine. L'onglet Politique choisit Autoriser, Signaler ou Bloquer pour tous les assistants, pour le réseau, un groupe, une personne ou un appareil (le même réglage que le canal Assistants d'IA de la prévention des fuites), et bloque un assistant à lui seul si vous le voulez : ChatGPT autorisé, DeepSeek bloqué. Warda voit quel appareil contacte quel assistant, jamais ce qui lui est envoyé. Comme la prévention des fuites, cette page et les rapports de l'entreprise relèvent de la politique de l'entreprise : ils couvrent tous ses appareils, adultes compris, quels que soient les rapports choisis par chacun ; informez les salariés (un modèle est dans l'onglet Informer les salariés de la prévention des fuites).

Politiques d'appareils. Dans Entreprise → Politiques d'appareils, un tableau donne pour chaque sorte d'appareil (les groupes : serveurs, télés, imprimantes, caméras, objets connectés…) ses protections, ses services bloqués et sa prévention des fuites ; Modifier une politique en change une, appliquée tout de suite. Un nouvel appareil rejoint en dix minutes le groupe auquel il ressemble et reçoit sa politique. Conformité liste les appareils qui échappent à une politique : donnés à personne, non reconnus, qui ne demandent pas à Warda, qui essaient de contourner le filtre, en quarantaine.

Utilisateurs de l'annuaire. Dans Entreprise → Utilisateurs de l'annuaire, donnez l'adresse de votre Active Directory ou de votre annuaire LDAP (ldaps://, ou ldap:// avec StartTLS : jamais en clair), un compte qui peut seulement le lire et l'endroit où sont les personnes. Tester la connexion, puis Importer maintenant : chaque personne de l'annuaire devient une personne de Warda, importée de nouveau toutes les heures. Rien n'est écrit dans l'annuaire, et personne n'est supprimé sans vous. Un groupe de l'annuaire peut recevoir un groupe d'appareils : les appareils de ses personnes suivent alors sa politique.

Connexion à Warda (à partir de Warda 0.8.2). Sur la même page, la carte Connexion à Warda permet aux personnes de l'annuaire de se connecter avec leur mot de passe habituel de l'entreprise, ou avec Se connecter avec Microsoft (Microsoft Entra ID) ou Se connecter avec Google (Google Workspace). Leur compte est créé à leur première connexion et n'a pas de mot de passe dans Warda : elles le changent dans l'entreprise. Sous Droits des groupes, donnez à un groupe de l'annuaire un groupe de comptes : ses personnes reçoivent ces droits à chaque connexion (le groupe des administrateurs fait des administrateurs ; sans groupe, une personne se connecte comme Membre, ou est refusée quand Seules les personnes d'un groupe désigné ci-dessous peuvent se connecter est activé). Vous ne pouvez donner que des droits que vous avez vous-même. Une personne désactivée dans l'annuaire ne peut plus se connecter, et elle est déconnectée au prochain import. Les comptes de Warda, et d'abord le compte de secours admin, se connectent toujours avec leur propre mot de passe, même quand l'annuaire ne répond pas : gardez ce mot de passe en lieu sûr. Une personne qui se connecte seulement avec Microsoft ou Google ne peut pas modifier les comptes (Warda ne peut pas lui redemander son mot de passe).

• Mot de passe de l'annuaire : avec l'annuaire réglé plus haut, cochez Connexion avec le mot de passe de l'annuaire, puis Enregistrer.
• Microsoft Entra ID : Warda a d'abord besoin d'un nom public (Réseau → Services DNS, un certificat donné par Warda). Dans le centre d'administration Microsoft Entra, inscrivez une application pour votre seul locataire, de plateforme Web, avec l'URI de redirection à enregistrer que Warda affiche ; copiez l'ID du locataire, l'ID de l'application (client) et la valeur d'un nouveau secret client dans ID du locataire (tenant), ID client et Secret client. Pour importer aussi les personnes, donnez à l'application les autorisations User.Read.All et GroupMember.Read.All (application, avec le consentement d'un administrateur), et cochez Importer les personnes d'Entra ID toutes les heures. Cochez Afficher « Se connecter avec Microsoft » et Enregistrer.
• Google Workspace : dans la console Google Cloud, un écran de consentement interne et un client OAuth de type Application Web avec l'URI de redirection que Warda affiche ; copiez son ID et son secret dans ID client et Secret client, et tapez votre Domaine. Pour importer aussi les personnes, un compte de service avec une clé JSON et la délégation au niveau du domaine des autorisations en lecture seule des utilisateurs et des groupes (console d'administration Google), puis Clé du compte de service (JSON) et Administrateur du domaine. Cochez Afficher « Se connecter avec Google » et Enregistrer.

L'enregistrement redemande votre mot de passe. Chaque étape, avec les menus exacts de Microsoft et de Google, est dans la référence technique.

Rapports de l'entreprise. Rapports → Rapports de l'entreprise résume la semaine ou le mois pour la direction, prêt à imprimer : requêtes, score de sécurité, alertes, prévention des fuites, services d'IA, par personne et par sorte d'appareil. Il s'ouvre aussitôt : Warda le calcule en arrière-plan toutes les heures, et la page dit quand (« Chiffres de 14:00, recalculés toutes les heures. ») ; les chiffres du jour peuvent donc avoir jusqu'à une heure de retard. Calculer maintenant les met à jour (comptes qui peuvent modifier les rapports, au plus une fois par minute). Après avoir renommé une personne ou donné un appareil à quelqu'un d'autre, le rapport en tient compte au prochain calcul de l'heure, après minuit, ou avec Calculer maintenant. Ses quatre chiffres ont leur demi-anneau : le score de sécurité sur 100, les appareils actifs parmi les appareils connus, la part bloquée, et les fuites bloquées parmi celles vues.

Logo de l'entreprise. Dans Entreprise → Logo de l’entreprise, Ajouter un logo : une image PNG, JPEG ou WebP (jamais SVG), de 256 Ko et 4096 pixels de côté au plus, 4 millions de pixels au total au plus. Warda la redessine sur le boîtier, sans ses métadonnées (lieu, appareil photo, auteur), réduite pour tenir dans 640 × 320 pixels, puis Enregistrer le logo. Il s'affiche sur les rapports de l'entreprise (et leur impression), sur la page « Bloqué par Warda » et sur la page Demander un déblocage, toujours chargé depuis le boîtier lui-même. Il est dans les sauvegardes et va au second boîtier d'une paire ; Retirer le logo remet le bouclier de Warda.

Warda Business : haute disponibilité#

Deux boîtiers Warda peuvent partager une adresse : les appareils l'utilisent comme serveur DNS, et quand un boîtier s'arrête, l'autre répond en quelques secondes. Les deux boîtiers ont besoin d'une adresse IPv4 fixe sur le même réseau, et l'adresse partagée doit être libre, hors de la plage de votre serveur DHCP.

1. Sur le premier boîtier (le primaire) : Entreprise → Haute disponibilité → Créer un code d'appairage. Le code WH-… est valable 15 minutes.
2. Sur le second boîtier : Rejoindre une paire, tapez l'Adresse du primaire et le Code d'appairage, puis Rejoindre (le champ montre un exemple d'adresse tiré de votre propre réseau, et ce qui ne va pas dans le formulaire est expliqué dans votre langue). Sa configuration, comptes compris, est remplacée par celle du primaire, qu'il recopie ensuite chaque minute.
3. Sur le primaire, saisissez l'Adresse partagée : l'adresse seule (192.168.1.2) ou avec la longueur de son réseau (192.168.1.2/24). Seule, Warda prend la longueur du réseau du boîtier ; le champ montre un exemple tiré de votre propre réseau, et un refus est expliqué dans votre langue (à partir de Warda 0.7.10 ; avant, la longueur était obligatoire). Gardez le Routeur virtuel proposé, sauf si un autre équipement de votre réseau utilise déjà VRRP.
4. Donnez l'adresse partagée à vos appareils comme serveur DNS, dans le serveur DHCP de votre box ou de votre routeur (ou de Warda).

Installé avec le paquet ou l'image Raspberry Pi, Warda met en place keepalived (le programme qui déplace l'adresse) tout seul. Avec Docker, lancez keepalived dans son propre conteneur : l'exemple est dans packaging/docker-compose.yml. La page montre quel boîtier tient l'adresse, la dernière synchronisation et l'autre boîtier ; Rendre ce boîtier primaire inverse les rôles (le serveur DHCP de Warda, s'il tourne, passe sur le nouveau primaire), Mettre fin à la paire les sépare. Faites vos changements sur le primaire : ceux faits sur le secondaire sont remplacés. À savoir avant de consulter le secondaire : à chaque changement de la configuration du primaire, le secondaire l'applique en redémarrant, et son propre journal et ses statistiques gardent leurs 48 dernières heures, pour les appareils que le primaire connaît ; ce qui est plus ancien est supprimé.

Protection hors de la maison dans une paire (à partir de Warda 0.8.2, les deux boîtiers en 0.8.2). Le secondaire reçoit du primaire les appareils protégés et attend (sa page Hors de la maison indique « En attente : … »). Quand le primaire est hors service, le secondaire prend le relais sous le nom du primaire, en une minute environ (quelques minutes sans keepalived) : les appareils restent filtrés ; quand le primaire revient, il reprend le relais. Donnez et retirez les adresses sur le primaire. Mettez fin à la paire sur les deux boîtiers : un boîtier qui se croit encore dans une paire continue de prendre le relais toutes les 10 minutes. Après la fin de la paire, seul le boîtier dont les adresses portent le nom les sert : sur l'autre, donnez de nouvelles adresses aux appareils.

Warda Business : sites#

Une entreprise à plusieurs sites voit tous ses boîtiers Warda depuis l'un d'eux, par le service en ligne de Warda : aucun port à ouvrir.

1. Sur le boîtier du siège : Entreprise → Sites → Créer une organisation, avec le Nom de ce site. Il en devient le gestionnaire et reçoit un code WS-…, valable 24 heures pour un boîtier (Créer un nouveau code pour le suivant).
2. Sur le boîtier de chaque autre site : Rejoindre une organisation, avec le Code et le nom de son site.

Toutes les 15 minutes, chaque boîtier envoie son état : santé, version, requêtes et blocages des dernières 24 heures, alertes ouvertes, appareils, protection, mises à jour. Seulement des nombres : jamais un site visité, un appareil ou une personne. Le gestionnaire voit chaque site dans un tableau et peut en Retirer un ; un site peut Quitter l'organisation. Si un boîtier ne peut pas rejoindre parce que le service en ligne le compte encore dans une organisation (une sauvegarde antérieure restaurée), La quitter, puis rejoindre règle cela. 50 sites au plus par organisation jusqu'à l'ouverture des abonnements. À venir : les règles et politiques de l'entreprise données à chaque site, tous les sites mis à jour d'un coup, et les rapports de tous les sites réunis.