2026 · Matrice Halo d’entrée SSH globale
CA ed25519 courte, chaîne JumpHost, audit et validation p95 (JP · KR · HK · SG · US Ouest)

Nous prolongeons la série entrée globale Halo côté plan de contrôle : SVCB, ECH et TLS p95, MSS et BBR pour SSH, Happy Eyeballs et artefacts, matrice GeoDNS. Côté bastion, voir OpenClaw, JumpHost et proxy et passerelle loopback SSH. Pages publiques : aide, tarifs, accueil.

1) Des clés hôtes statiques mélangées à des certificats CA courts créent des collisions de confiance et des alertes bruyantes. 2) Une chaîne ProxyJump trop profonde ajoute des allers-retours transocéaniques qui gonflent le p95 indépendamment de la qualité du Mac cible. 3) L’absence de corrélation entre journaux sshd et identité Principal rend l’audit de session illisible pour les équipes conformité.

step-ca et smallstep matérialisent la matrice : OIDC, jetons courts, ACL d’émission, révocation rapide. Même sans leur offre payante, alignez Validity, Principal et ForceCommand sur le même tableau que le p95 pour éviter les fausses alertes « réseau ».

Chaîne JumpHost, latence et cadrage d’audit

Deux sauts ProxyJump maximum par défaut, bastion par juridiction, horloges synchrones, identifiant de session corrélé au Principal CA. Mesurez depuis Tokyo, Séoul, Hong Kong, Singapour et San Jose avec le même client et le même profil de certificat pour isoler la topologie.

OpenClaw multirégion : loopback, LocalForward et santé fusionnée

Sur chaque Mac vpshalo, la passerelle loopback expose doctor ou status en local. LocalForward dans ssh_config évite la supervision publique. Le worker OpenClaw fusionne les lectures en vue lecture seule inter-PoP, réduit les doubles auth vers les sondes et lisse la charge CA lors des rotations.

# Exemple minimal : bastion + forwards locaux (adapter hôtes et ports)
Host edge-jp
  HostName bastion.jp.example
  User automation
  CertificateFile ~/.ssh/id_automation-cert.pub

Host mac-loop-jp
  HostName 127.0.0.1
  ProxyJump edge-jp
  LocalForward 18081 127.0.0.1:18081
  ExitOnForwardFailure yes

Checklist p95 de poignée SSH par région

Les budgets ci-dessous supposent certificats déjà en cache côté client et une chaîne JumpHost conforme ; ajustez si vous forcez une revalidation CA à chaque connexion.

Six étapes pour industrialiser la matrice

• 1 — Publier une CA ssh-ed25519 dédiée et isoler les matériaux hors bastion.
• 2 — Régler Validity, revues Principal et politique ForceCommand dans le même dépôt que les playbooks ProxyJump.
• 3 — Déployer les passerelles OpenClaw loopback sur chaque PoP Mac et valider les LocalForward depuis les cinq métropoles témoin.
• 4 — Fusionner les sondes doctor en vue lecture seule avec corrélation d’horodatage et identifiant de série de certificat.
• 5 — Instrumenter les histogrammes p95 par région et bloquer toute promotion si deux métropoles dépassent le budget pendant trois fenêtres.
• 6 — Exercer un retour arrière CA documenté : révocation de série, purge des caches bastion, reprise des sessions sans perte de preuve d’audit.

Informations reportables : durée médiane de Validity effective observée sur les postes, ratio de sessions avec ForceCommand actif, et écart entre médiane globale et p95 régional lors des changements OpenClaw.

Arbitrages express

Q : Faut-il mélanger step-ca et une PKI interne historique ? R : Non tant que les clients ne distinguent pas clairement les ancrages ; migrez par profil d’émission et gardez deux autorités seulement le temps du transitoire instrumenté.

Q : Que faire si LocalForward casse pendant une coupure résolveur ? R : Retomber sur une sonde SSH directe bastion depuis la même métropole, journaliser l’écart, puis réactiver la fusion lorsque le tunnel redevient stable deux cycles consécutifs.

Pour passer en production sur Mac mini M4 loué, enchaînez console, achat et documentation SSH ; la page tarifs résume les forfaits lorsque la matrice est validée.