Documentation
Alternative à Secomea : la télémaintenance industrielle sans boîtier dédié
Secomea a industrialisé un geste que tout constructeur de machines connaît : poser un boîtier sur le réseau machine, le laisser joindre le cloud de l’éditeur, et donner aux techniciens un accès distant propre depuis leur poste. Le modèle fonctionne — mais il repose sur un équipement dédié à acheter, expédier et maintenir sur chaque site, et sur une plateforme tierce au centre de chaque session. Quand le site possède déjà un PC de supervision ou une passerelle, une autre voie existe : un agent logiciel qui fait entrer cette machine dans votre réseau privé chiffré de bout en bout, sans port entrant et sans matériel supplémentaire. Cette page compare honnêtement les deux approches, puis montre la mise en place pas à pas.
Ce que Secomea fait très bien
Le modèle Secomea, décrit à haut niveau, tient en trois pièces : une passerelle installée sur le site (le SiteManager, boîtier matériel qui existe aussi en version logicielle), un service central dans le cloud (le GateManager) qui met les sessions en relation, et un client (le LinkManager) sur le poste du technicien. La passerelle n’attend aucune connexion entrante : elle sort vers la plateforme, et le technicien atteint les équipements déclarés derrière elle. Des licences couvrent la plateforme, les passerelles et les techniciens.
Pensé pour l’usine
Séparation réseau machine / réseau usine, équipements déclarés un à un, accès SAV du constructeur chez un client final : le produit épouse depuis longtemps les réalités de la télémaintenance industrielle.
Rien à demander au pare-feu du client
La passerelle n’a besoin d’aucune ouverture de port entrant : elle établit des connexions sortantes vers la plateforme, ce qui passe la plupart des politiques réseau d’usine sans négociation.
Un équipement autonome
Certains boîtiers embarquent un modem cellulaire : la machine livrée est joignable sans toucher au réseau du client final. Quand cette autonomie matérielle est exigée, le boîtier dédié est un vrai avantage.
Ce que le modèle boîtier + cloud implique
Les qualités de ce modèle découlent d’un choix d’architecture : du matériel dédié sur chaque site, et une plateforme centrale qui met les sessions en relation. Ce choix est cohérent pour un équipement industriel — mais il a des conséquences qu’il faut peser quand le site possède déjà des machines capables de porter un agent.
- Du matériel sur chaque site. Un boîtier par machine ou par site, c’est un équipement à acheter, référencer, expédier, stocker en pièce de rechange et remplacer en panne — multiplié par le parc de machines livrées. Cette logistique n’existe pas avec un agent logiciel.
- La plateforme au centre de chaque session. La mise en relation est opérée par le service central : l’accès à vos machines dépend de la disponibilité et des règles d’un service extérieur, et c’est lui qui porte les comptes et les droits.
- Un accès par services déclarés. On atteint ce que la passerelle redirige — pratique et cadré, mais différent d’un vrai réseau local : les outils constructeur qui cherchent leurs équipements en diffusion demandent, selon la configuration, un traitement particulier.
L’approche VIGIL-MESH : un agent logiciel, un vrai réseau privé
VIGIL-MESH remplace le boîtier par un agent installé sur une machine qui existe déjà : le PC de supervision, l’IPC de la ligne, une passerelle Linux, un NVIDIA Jetson. Enrôlée une fois avec une clé à usage unique, cette machine rejoint votre réseau privé : adresse stable, nom lisible (MagicDNS), joignable par les seuls membres autorisés. Les sessions sont des connexions QUIC/TLS 1.3 chiffrées de bout en bout, avec un échange de clés hybride post-quantique — et aucun port entrant n’est ouvert nulle part : chaque machine ne fait que sortir.
Un vrai LAN, pas une redirection
Multicast, diffusion et découverte automatique fonctionnent nativement : les outils constructeur qui cherchent leurs équipements en broadcast retrouvent leurs habitudes, comme sur le réseau local du site.
Terminal SSH dans le navigateur
L’onglet Administration de la console ouvre un terminal sur une machine du réseau, directement dans la page : l’onglet devient un nœud du mesh, et vos identifiants ne transitent jamais par nos serveurs.
Relais aveugles — et auto-hébergeables
Quand un relais est nécessaire, la vigie fait transiter des paquets chiffrés dont elle ne détient pas les clés. Et si vous voulez aussi posséder ce relais, une vigie privée auto-hébergée dédie le chemin relayé à votre espace de travail.
ACL, journal d’audit, MFA
Refus par défaut et règles par identité — machines, groupes, étiquettes — via les politiques d’accès ; chaque opération sensible exige la MFA et laisse une trace dans le journal d’audit.
- Le nom de la machine, tel qu’il apparaît dans l’inventaire du réseau.
- Son adresse overlay : c’est elle que le terminal joint, jamais une adresse publique.
- « Terminal » ouvre une session SSH sur cette machine, chiffrée de bout en bout depuis l’onglet.
Le détail du modèle — une seule couche de chiffrement, relais structurellement aveugles, révocation immédiate — est décrit dans le modèle de sécurité ; le panorama du cas d’usage, dans Télémaintenance industrielle.
Comparatif qualitatif
Ce tableau compare des architectures, pas des fiches techniques : chaque ligne décrit une différence de modèle, à haut niveau.
| Critère | Secomea | VIGIL-MESH |
|---|---|---|
| Matériel requis | Passerelle dédiée sur chaque site, plus le client du technicien | Aucun matériel dédié : un agent sur un PC ou une passerelle déjà présents |
| Modèle réseau | La passerelle joint la plateforme de l’éditeur ; le technicien s’y connecte et atteint les équipements déclarés | Réseau privé chiffré entre machines : chemin direct pair-à-pair quand c’est possible, relais aveugle sinon |
| Multicast et découverte | Redirections de services point à point ; la découverte en diffusion demande un traitement particulier | Vrai LAN : multicast, diffusion et découverte automatique natifs, noms MagicDNS |
| Port série | Présent sur certains boîtiers, selon modèle | Virtual-IO (port série virtuel) — en bêta |
| Temps réel UDP et vidéo | Sessions de maintenance via la plateforme | Flux UDP de bout en bout ; sur le chemin direct, aucune terminaison intermédiaire |
| Terminal SSH navigateur | Accès distant via le client ou l’accès mobile de la plateforme | Oui : l’onglet devient un nœud du mesh, la session est chiffrée de bout en bout dans la page |
| Modèle de confiance du cloud | La plateforme centrale met les sessions en relation et porte les comptes et les droits | Contrôleur pour l’identité et la policy ; relais structurellement aveugles, sans les clés des sessions |
| Auto-hébergement du relais | Selon l’offre de l’éditeur | Vigie privée auto-hébergeable, dédiée à votre espace de travail |
Du boîtier à l’agent : l’accès SAV à une machine livrée
Vous êtes constructeur ou intégrateur. Une machine part chez un client final, et le contrat prévoit la télémaintenance. Avec un boîtier, chaque livraison embarque son lot de contraintes :
- Un équipement à acheter, provisionner, câbler et documenter — puis à garder en stock de rechange pendant toute la vie de la machine.
- Un dossier réseau à faire valider par l’IT du client final, même si tout sort en connexion sortante.
- Des licences plateforme, passerelles et techniciens à suivre au fil des embauches et des départs.
- Et à chaque intervention, une plateforme tierce au centre de la session — un point dont certains clients finaux demandent désormais la maîtrise.
- 1Installer l’agent sur la machine de supervisionLe PC ou l’IPC qui pilote déjà la ligne (Windows ou Linux) reçoit le client VIGIL-MESH — aucun matériel à ajouter, aucune modification du réseau du client.
- 2Enrôler avec une clé à usage uniqueL’assistant « Ajouter une machine » remet une clé qui expire d’elle-même ; la machine génère son identité localement et n’ouvre aucun port entrant.
- 3Écrire les ACL au moindre privilègeRefus par défaut : le groupe SAV n’atteint que les machines de ses clients, port par port. Les règles parlent d’identités, jamais d’adresses — voir les politiques d’accès.
- 4Intervenir depuis le poste ou le navigateurClient VIGIL-MESH sur le poste du technicien, ou terminal SSH depuis la console : l’onglet devient un nœud du mesh, sans rien installer.
- 5Tracer, puis révoquer sans délaiChaque opération sensible exige la MFA et laisse une trace dans le journal d’audit ; un technicien qui quitte l’équipe est révoqué immédiatement, machine par machine.
- Choisissez la plateforme de la machine à raccorder — le client proposé et la commande s’adaptent.
- La clé est à usage unique et expire d’elle-même : elle n’autorise qu’un seul rattachement.
- La commande à exécuter sur la machine de supervision, clé comprise — prête à copier.
Quel modèle pour quel site ?
| Situation | Meilleur choix | Pourquoi |
|---|---|---|
| Réseau machine sans aucun PC, interdiction d’en poser un | Boîtier | L’agent a besoin d’un OS ; l’équipement dédié est fait pour ce cas |
| Modem cellulaire intégré exigé dans le même équipement | Boîtier | L’autonomie matérielle évite un équipement de plus |
| Politique du client final : équipement dédié imposé | Boîtier | La politique du site prime sur l’architecture |
| Un PC de supervision ou une passerelle existe déjà | Agent VIGIL-MESH | Zéro matériel, zéro port entrant, chiffrement de bout en bout |
| Outils constructeur à découverte broadcast/multicast | Agent VIGIL-MESH | Le vrai LAN transporte la découverte nativement |
| Exigence : personne ne doit pouvoir lire les sessions | Agent VIGIL-MESH | E2E + relais aveugles, vigie privée auto-hébergeable |
Les deux modèles cohabitent d’ailleurs très bien dans un même parc : le boîtier pour les sites verrouillés qui l’exigent, l’agent partout où une machine peut le porter — avec les mêmes techniciens des deux côtés.