11. La protection hors de la maison

Un téléphone ou un ordinateur portable qui quitte la maison quitte Warda. Avec la protection hors de la maison (à partir de Warda 0.8.0), chaque appareil que vous inscrivez reçoit sa propre adresse de DNS chiffré (DNS over HTTPS) auprès du service en ligne de Warda. Où qu'il soit — données mobiles, Wi-Fi d'un ami, hôtel —, ses requêtes reviennent à votre boîtier et reçoivent les réponses qu'il aurait à la maison : ses règles, le profil de sa personne, les horaires Internet et les coupures, les pauses, la quarantaine, les menaces. Dans Rapports → Journal des requêtes, ses requêtes portent le badge dehors, et leur détail indique le Chemin : Hors de la maison, par le service en ligne (ou À la maison, par le service en ligne).

L'activer et inscrire un appareil#

1. Le boîtier a besoin d'un nom du service en ligne de Warda : dans Réseau → Services DNS, étape 1, choisissez le certificat Un nom fourni par Warda (chapitre 9). D'ici là, la page indique En attente : le boîtier n'a pas de nom du service en ligne de Warda, avec Ouvrir les services DNS.
2. Ouvrez Foyer → Hors de la maison et cochez Protéger les appareils inscrits hors de la maison. Connexion au service en ligne indique alors Connecté depuis ….
3. Facultatif : saisissez le Nom du Wi-Fi de la maison. Les profils de l'iPhone, de l'iPad et du Mac interrogent alors directement le boîtier sur ce Wi-Fi, et le service en ligne ailleurs. Laissé vide, ils passent toujours par le service en ligne, ce qui fonctionne aussi à la maison.
4. Sous Appareil à inscrire, choisissez l'appareil (ou cliquez sur Protéger dehors sur sa ligne dans Appareils), puis Donner une adresse.
5. L'adresse s'affiche une seule fois, avec Copier et un QR code : Warda n'en garde qu'une empreinte. Gardez-la pour vous (qui l'a reçoit les réponses de cet appareil) et installez-la tout de suite sur l'appareil (ci-dessous ; la page ouvre les consignes du système qu'elle devine). Perdue : Nouvelle adresse.

Les appareils inscrits sont listés sous Appareils protégés hors de la maison, 256 au plus.

iPhone, iPad et Mac#

1. Juste après avoir donné l'adresse, cliquez sur Télécharger le profil (iPhone, iPad, Mac). Il ne peut être fait qu'à ce moment-là : le boîtier ne garde pas l'adresse.
2. Envoyez le profil à l'appareil (AirDrop, e-mail) et ouvrez-le.
3. iPhone et iPad : Réglages → Général → VPN et gestion de l'appareil → le profil Warda – nom de l'appareil → Installer. L'appareil indique que le profil n'est pas signé : c'est normal.
4. Ensuite, dans Réglages → Général → VPN et gestion de l'appareil → DNS, vérifiez que ce profil est bien celui qui est choisi (si un autre profil DNS est installé, comme celui du chapitre 9, choisissez celui-ci).
5. Mac : ouvrez le profil, puis Réglages Système → Confidentialité et sécurité → Profils, et installez-le.

Un nouveau profil pour le même appareil remplace l'ancien.

Android#

Le réglage DNS privé d'Android accepte un nom de serveur, pas une adresse : il ne peut pas porter celle-ci. Installez une application qui accepte une adresse DNS over HTTPS personnalisée, et collez-y l'adresse :

• RethinkDNS : DNS → Other DNS → DNS over HTTPS → URL personnalisée ;
• Intra : Paramètres → Select DNS-over-HTTPS server → Custom server URL.

Les deux fonctionnent comme un VPN sur le téléphone lui-même : acceptez-le, puis, dans les réglages VPN d'Android, activez VPN permanent pour l'application, pour qu'elle reste active. Remettez le DNS privé sur Automatique. Un téléphone n'a qu'un VPN à la fois : un autre VPN remplacerait celui-ci.

Windows 11#

1. Trouvez une adresse IPv4 du service en ligne : dans un terminal, tapez nslookup suivi du nom du service, la partie de l'adresse entre https:// et /dns/.
2. Paramètres → Réseau et Internet → Wi-Fi (ou Ethernet) → Propriétés du matériel → Attribution du serveur DNS → Modifier → Manuel.
3. Activez IPv4 ; DNS préféré : cette adresse IPv4 ; DNS over HTTPS : Activé (modèle manuel) ; modèle : l'adresse de l'appareil ; repli sur le texte en clair : désactivé. Enregistrez.

Faites-le pour chaque connexion qu'utilise l'ordinateur (Wi-Fi, Ethernet). L'adresse du service peut changer : si l'ordinateur n'obtient plus aucun nom dehors, cherchez-la de nouveau et mettez la nouvelle.

Firefox, Chrome et Edge#

• Firefox : Paramètres → Vie privée et sécurité → DNS via HTTPS → Protection maximale → Personnalisé : collez l'adresse.
• Chrome : Paramètres → Confidentialité et sécurité → Sécurité → Utiliser un DNS sécurisé → Personnalisé : collez l'adresse.
• Edge : Paramètres → Confidentialité, recherche et services → Utiliser un DNS sécurisé → Choisir un fournisseur de services : collez l'adresse.

Seul ce que demande le navigateur est filtré : les autres applications de l'ordinateur ne le sont pas.

Quand le boîtier est injoignable#

Quand le boîtier est éteint, qu'Internet est coupé à la maison ou que Warda redémarre, le service en ligne répond lui-même aux appareils par Quad9, qui bloque les logiciels malveillants connus, pour qu'ils gardent Internet. Ces réponses ne suivent pas vos règles. La page les compte sous Répondues sans filtre (« 12 requêtes répondues sans filtre pendant que le boîtier était injoignable (depuis le …) ») ; Remettre le compteur à zéro le remet à zéro. Sous Répondues par le boîtier, les requêtes auxquelles votre boîtier a répondu lui-même.

Les inscriptions ne sont pas dans les sauvegardes : après une restauration, donnez de nouvelles adresses aux appareils. Passer le certificat des Services DNS à un autre type libère le nom du boîtier : les adresses cessent alors de fonctionner.

Avec deux boîtiers en paire (Warda Business, à partir de Warda 0.8.2), le secondaire répond à la place du primaire tant que celui-ci est hors service, avec vos règles (voir « Warda Business : haute disponibilité », chapitre 5).

Confidentialité et limites#

Les requêtes d'un appareil dehors voyagent chiffrées (HTTPS) de l'appareil jusqu'à Cloudflare, qui porte le service en ligne de Warda et les voit au passage, puis jusqu'au service en ligne et à votre boîtier, et retour. Le service en ligne n'en garde aucune : ni nom, ni réponse, ni adresse ; seulement une empreinte de l'adresse de chaque appareil, la dernière connexion de votre boîtier et des comptes par jour. Votre boîtier les inscrit dans son journal et ses statistiques, comme toute autre requête de l'appareil.

Ce qu'elle ne fait pas :

• une application qui a son propre DNS, un VPN ou le Relais privé iCloud passe à côté ; un navigateur réglé seul ne filtre que lui-même ;
• sur Android, elle dépend d'une application qu'on peut arrêter, et sur un iPhone le profil peut être supprimé dans les Réglages (sauf appareil supervisé) : Warda ne s'en aperçoit pas, il ne reçoit simplement plus de requêtes ;
• hors de la maison, les noms de votre réseau (warda, les appareils, les enregistrements locaux) ne sont pas répondus : ils ne fonctionnent qu'à la maison (à partir de Warda 0.8.2).

Retirer un appareil#

Sous Appareils protégés hors de la maison, Retirer arrête l'adresse aussitôt : hors de la maison, l'appareil n'obtient alors plus aucune réponse tant que son réglage n'est pas enlevé. Enlevez-le : le profil (Réglages → Général → VPN et gestion de l'appareil → le profil → Supprimer le profil), l'adresse dans l'application, ou le DNS over HTTPS de Windows ou du navigateur. Nouvelle adresse remplace une adresse perdue ou confiée à tort : l'ancienne cesse aussitôt ; mettez la nouvelle sur l'appareil.

Désactiver la protection ne coupe pas les appareils inscrits : le service en ligne leur répond alors sans filtre, comme quand le boîtier est injoignable. Pour arrêter un appareil pour de bon, Retirez-le.