Trousseau

Ce que fait chaque champ, interrupteur et paramètre : 53 éléments sur cette page. C’est le texte derrière le ⓘ à côté de chaque libellé dans les applications : sur ordinateur, survolez-le ou cliquez dessus (ou appuyez sur F1 dans le champ) ; sur le téléphone, touchez-le.

La ligne sous chaque nom donne l’identifiant que le code utilise et indique quand une seule des applications a l’élément.

Identité

Où: Trousseau › Identités › Nouvelle identité.

Libellé

identity.label

Le nom de cette identité dans la liste. Une identité est un ensemble d’identifiants (nom d’utilisateur, mot de passe, clé) enregistré une fois et réutilisé par plusieurs hôtes.

• Exemple: deploy@production

Nom d’utilisateur

identity.username

Le nom du compte sur les serveurs qui utilisent cette identité.

• Exemple: deploy

Mot de passe

identity.password

Le mot de passe de ce compte, s’il en utilise un. Laissez vide pour une authentification par clé uniquement. Sur ordinateur, un mot de passe enregistré n’est plus jamais affiché : laissez le champ vide pour le conserver, ou saisissez-en un nouveau pour le remplacer.

• Par défaut: Aucun.
• Attention: Il est stocké dans le coffre et se synchronise avec lui, sauf si Paramètres › Sécurité › « Synchroniser les clés et identités » est désactivé.

Supprimer le mot de passe enregistré

identity.removePassword · Ordinateur uniquement

Supprime le mot de passe enregistré avec cette identité lors de l’enregistrement. Les hôtes qui utilisent l’identité ouvrent alors la session avec sa clé, ou demandent un mot de passe.

• Par défaut: Désactivé.

Clé

identity.key

La clé privée avec laquelle cette identité ouvre une session. Seules les clés du même coffre sont proposées.

• Par défaut: Aucune clé.

Générer une clé

Où: Trousseau › Clés › Générer.

Type

keygen.type

Le type de paire de clés à créer. Ed25519 est courte, rapide et acceptée par tous les serveurs actuels. Ne choisissez ECDSA ou RSA que pour un serveur qui l’exige. Les types « clé de sécurité » conservent la partie privée sur une clé de sécurité matérielle (une clé FIDO2 comme une YubiKey ou une SoloKey : branchée en USB, ou sur un téléphone, également approchée de son dos en NFC), qui doit être présente pour ouvrir une session. Toutes les clés FIDO2 peuvent créer de l’ECDSA ; la plupart des plus récentes aussi de l’Ed25519.

• Par défaut: Ed25519.
• En savoir plus: Lire la suite (en anglais)

Taille

keygen.bits · Ordinateur uniquement

La longueur d’une clé RSA ou ECDSA en bits. Plus longue, elle est plus robuste et plus lente. RSA : 2048, 3072 ou 4096. ECDSA : 256, 384 ou 521.

• Par défaut: RSA 4096, ECDSA 256.

Application

keygen.application

Le nom sous lequel une clé de sécurité range cet identifiant. Il doit commencer par « ssh: ». Ne le modifiez que pour distinguer plusieurs clés SSH sur une même clé de sécurité.

• Par défaut: ssh:
• Exemple: ssh:work

Exiger un contact à chaque ouverture de session

keygen.requireTouch

Vous devez toucher la clé de sécurité à chaque ouverture de session, ce qui prouve qu’une personne est présente. Désactivé, elle signe sans intervention.

• Par défaut: Activé.
• Attention: Désactivé, le serveur doit aussi l’autoriser (l’option no-touch-required sur la ligne de cette clé dans le fichier authorized_keys du serveur), et rien ne prouve qu’une personne était présente.

Exiger le code PIN ou la biométrie de la clé de sécurité

keygen.verifyRequired

Chaque ouverture de session nécessite aussi le code PIN ou l’empreinte de la clé de sécurité, pas seulement un toucher. Utilisez-le pour une clé qui serait dangereuse si elle était volée avec l’appareil.

• Par défaut: Désactivé.

Code PIN de la clé de sécurité

keygen.pin

Le code PIN de la clé de sécurité, nécessaire pour créer l’identifiant si la clé en a un. Il est utilisé une fois et n’est pas enregistré.

• Par défaut: Vide.

Stocker la clé sur la clé de sécurité

keygen.resident

Conserve la clé sur la clé de sécurité elle-même (clé « résidente » ou « découvrable »), pour pouvoir la charger dans Sternway sur un autre ordinateur ou téléphone avec Importer depuis une clé de sécurité, ou avec ssh-keygen -K. Nécessite une clé de sécurité avec un code PIN.

• Par défaut: Désactivé : le fichier de clé reste dans ce trousseau et ne fonctionne qu’avec la même clé de sécurité.
• Attention: Quiconque possède la clé de sécurité et connaît son code PIN peut charger la clé.
• En savoir plus: Lire la suite (en anglais)

Nom d’utilisateur sur la clé de sécurité

keygen.user

Un nom sous lequel la clé de sécurité range une clé stockée, pour qu’elle puisse contenir plusieurs clés SSH pour la même application. Une clé stockée avec la même application et le même nom d’utilisateur remplace la précédente. 32 octets maximum.

• Par défaut: Vide.
• Exemple: ada

Libellé

keygen.label

Le nom de cette clé dans la liste. Obligatoire, 256 caractères maximum.

• Exemple: Portable 2026

Commentaire

keygen.comment

Une note stockée dans la clé publique. Elle apparaît dans le fichier authorized_keys d’un serveur, pour qu’un administrateur sache à qui appartient la clé.

• Par défaut: Vide sur ordinateur ; « sternway-mobile » sur mobile.
• Exemple: ada@laptop

Phrase secrète

keygen.passphrase

Un mot de passe qui chiffre la clé privée elle-même. Il vous est demandé à chaque utilisation de la clé ; il n’est pas enregistré. Laissez vide pour une clé qui fonctionne sans demande.

• Par défaut: Aucune.
• Attention: Il n’y a pas de second champ de confirmation ni de moyen de la récupérer : une phrase secrète mal saisie ou oubliée rend la clé inutilisable.

Importer une clé

Où: Trousseau › Clés › Importer.

Clé privée

keyImport.privateKey

Une clé privée existante, choisie comme fichier ou collée en entier, lignes BEGIN et END comprises. Les fichiers OpenSSH, PEM (PKCS#1, PKCS#8, SEC1) et PuTTY .ppk sont acceptés ; un .ppk est converti au format OpenSSH. Un fichier .pub choisi avec elle doit être la partie publique correspondante.

• Attention: Une clé privée permet à quiconque la détient d’ouvrir une session en votre nom. N’importez que les vôtres, et supprimez ensuite les copies qui traînent.

Phrase secrète

keyImport.passphrase

La phrase secrète de la clé importée, nécessaire uniquement si la clé est chiffrée. Elle sert à lire la clé.

• Attention: L’application de bureau ne la conserve pas et la redemande à l’utilisation de la clé. L’application mobile l’enregistre avec la clé sur l’appareil, et la clé fonctionne ensuite sans demande.

Libellé

keyImport.label

Le nom de cette clé dans la liste. Si vide, il reprend le commentaire de la clé, puis le nom du fichier.

Importer depuis une clé de sécurité

Où: Trousseau › Clés › Importer depuis une clé de sécurité.

Code PIN de la clé de sécurité

keyLoad.pin

Le code PIN de la clé de sécurité. Il est toujours nécessaire pour lire les clés qui y sont stockées. Il est utilisé une fois et n’est pas enregistré.

• Attention: Quelques codes PIN erronés d’affilée verrouillent la clé de sécurité ; un PIN verrouillé ne peut qu’être réinitialisé, ce qui efface les clés qui y sont stockées.
• En savoir plus: Lire la suite (en anglais)

Phrase secrète des fichiers de clé

keyLoad.passphrase

Facultatif. Chiffre les fichiers de clé que Sternway enregistre pour les clés chargées ; elle vous est alors demandée à chaque ouverture de session, en plus du toucher.

• Par défaut: Aucune.

Clés : exporter, renommer, installer, matériel

Où: Trousseau › une clé.

Phrase secrète du fichier (facultative)

keyExport.passphrase

Chiffre la copie exportée avec cette phrase secrète ; la clé conservée dans l’application n’est pas modifiée. Proposé uniquement pour une clé sans phrase secrète propre.

• Par défaut: Aucune : le fichier exporté n’est pas chiffré.
• Attention: Sans phrase secrète, quiconque obtient le fichier peut ouvrir une session en votre nom.

Confirmer la phrase secrète

keyExport.passphraseConfirm

Saisissez à nouveau la même phrase secrète, pour détecter une faute de frappe avant l’écriture du fichier.

Nom

key.rename

Le nom de cette clé dans la liste. La renommer ne change rien sur les serveurs.

Libellé

hwKey.label · Ordinateur uniquement

Le nom de cette clé matérielle dans la liste. Sa partie privée est créée dans le matériel sécurisé de cet ordinateur et ne peut jamais en être copiée, synchronisée ni exportée.

Demander une confirmation à chaque utilisation

hwKey.requirePresence · Ordinateur uniquement

L’ordinateur demande votre empreinte, votre visage ou votre code PIN à chaque ouverture de session avec la clé.

• Par défaut: Activé.

Clé

keyInstall.key

La clé dont la partie publique est ajoutée à la liste des clés acceptées du serveur (le fichier authorized_keys du compte avec lequel vous ouvrez la session), pour que ce compte accepte désormais cette clé. La partie privée ne quitte jamais cet appareil. Une clé déjà présente dans la liste n’est pas ajoutée deux fois.

Hôtes

keyInstall.hosts

Les serveurs auxquels ajouter la clé. L’application ouvre une session sur chacun de la manière habituelle, crée ~/.ssh et authorized_keys s’ils n’existent pas, et ajoute une ligne. Rien de ce que contient déjà le fichier n’est modifié, et une clé déjà présente est laissée telle quelle.

Certificat

Où: Trousseau › Certificats › Joindre un certificat.

Certificat

cert.certificate

Un certificat SSH est une clé publique signée par l’autorité de certification de votre organisation ; les serveurs qui font confiance à l’autorité l’acceptent sans que la clé soit installée sur chacun. Collez le contenu du fichier …-cert.pub et ses détails sont lus pour vous.

• Exemple: ssh-ed25519-cert-v01@openssh.com AAAA…

Clé

cert.key

La clé privée pour laquelle ce certificat a été émis. La clé correspondant au certificat est choisie pour vous si elle se trouve dans le trousseau.

Type

cert.type · Ordinateur uniquement

Un certificat utilisateur vous authentifie auprès des serveurs ; un certificat d’hôte identifie un serveur. Lu depuis le certificat ; ne le modifiez que si le certificat n’a pas pu être lu.

• Par défaut: Utilisateur.

Principaux

cert.principals · Ordinateur uniquement

Les noms de compte pour lesquels le certificat est valide (OpenSSH les appelle principals), séparés par des virgules. Un serveur n’accepte le certificat que pour un compte nommé ici. Lu depuis le certificat.

• Exemple: deploy, ubuntu

Valide après

cert.validAfter · Ordinateur uniquement

Le moment où le certificat commence à être valide, dans votre heure locale. Vide signifie qu’il n’a pas de début. Un certificat n’est proposé à la connexion que pendant sa validité.

Valide avant

cert.validBefore · Ordinateur uniquement

Le moment où le certificat expire, dans votre heure locale. Vide signifie qu’il n’expire jamais. Ensuite, les serveurs le refusent et il vous en faut un nouveau.

Numéro de série

cert.serial · Ordinateur uniquement

Le numéro que l’autorité de certification a attribué à ce certificat, lu depuis le certificat lui-même. C’est ce dont l’administrateur de l’autorité a besoin pour trouver ou révoquer ce certificat : indiquez-le si vous posez une question à son sujet.

ID de clé

cert.keyIdField · Ordinateur uniquement

Le nom que l’autorité de certification a inscrit dans le certificat, et que les serveurs consignent dans leurs journaux. Lu depuis le certificat.

Empreinte de l’autorité de certification (SHA256)

cert.caFingerprint · Ordinateur uniquement

L’empreinte de l’autorité qui a signé le certificat, pour vérifier que c’est bien celle attendue. Lu depuis le certificat.

Autorité de certification

Où: Trousseau › une clé › Autorité de certification.

Certificat le plus long (heures)

ca.maxValidity · Ordinateur uniquement

Fait de cette clé une autorité de certification (CA) qui signe des certificats SSH pour d’autres clés, ici sur cet appareil : sa clé privée reste chiffrée dans votre coffre et n’est jamais envoyée à un serveur. C’est la durée maximale d’un certificat qu’elle signe ; chaque certificat peut être plus court.

• Par défaut: 168 heures (7 jours) ; au plus 8784 (366 jours).
• Attention: Quiconque peut utiliser cette clé peut laisser n’importe qui se connecter là où l’autorité est approuvée : gardez-la dans un coffre que seules les bonnes personnes peuvent ouvrir. Dans un coffre partagé, chaque membre qui peut le modifier peut signer avec. Une clé avec laquelle des hôtes se connectent ne peut pas être une autorité, et une clé d’autorité n’est jamais mise dans un agent transféré.

Clé à certifier

caSign.subject · Ordinateur uniquement

La clé pour laquelle le certificat est fait. Le certificat est enregistré avec cette clé, et une connexion avec la clé le présente dès lors.

Certificat pour

caSign.type · Ordinateur uniquement

Un certificat utilisateur connecte une personne aux serveurs qui font confiance à cette CA (TrustedUserCAKeys). Un certificat d’hôte indique aux clients qu’un serveur est bien celui qu’il prétend être (@cert-authority dans known_hosts).

• Par défaut: Utilisateur.

Principals

caSign.principals · Ordinateur uniquement

Pour un certificat utilisateur, les comptes sous lesquels il peut se connecter ; pour un certificat d’hôte, les noms du serveur. Séparez-les par des virgules ou des espaces.

• Exemple: deploy, ubuntu
• Attention: Au moins un. Un principal n’a ni espaces, ni virgules, ni caractères de contrôle, ni contrôles de sens d’écriture.

Valide pendant (heures)

caSign.validity · Ordinateur uniquement

Combien de temps le certificat fonctionne, à partir d’une minute avant sa signature (pour un serveur dont l’horloge retarde un peu). Un certificat court n’a pas besoin d’être révoqué : il expire tout simplement.

• Par défaut: 8 heures ; au plus le certificat le plus long de la CA.

ID de clé

caSign.keyId · Ordinateur uniquement

Un nom écrit dans le certificat, que les serveurs notent dans leurs journaux quand il est utilisé.

• Par défaut: Le nom de la clé pour laquelle il est fait.
• Attention: Pas de caractères de contrôle ni de contrôles de sens d’écriture : ils changeraient la lecture des journaux des serveurs.

Commande imposée

caSign.forceCommand · Ordinateur uniquement

Si elle est renseignée, une connexion avec ce certificat n’exécute que cette commande, quoi qu’on demande (force-command d’OpenSSH). Pour un certificat utilisateur uniquement.

• Par défaut: Aucune : toute commande.
• Exemple: /usr/local/bin/backup –run

Autorisé depuis

caSign.sourceAddress · Ordinateur uniquement

Si renseigné, le certificat ne fonctionne que depuis ces adresses IP ou plages CIDR, séparées par des virgules (source-address d’OpenSSH). Pour un certificat utilisateur uniquement.

• Par défaut: Vide : depuis n’importe où.
• Exemple: 10.0.0.0/8,192.168.1.7
• Attention: Une plage s’écrit avec son adresse réseau et son masque (10.0.0.0/8, pas 10.0.0.1/8) : les serveurs refusent une plage avec des bits au-delà du masque.

Autorise

caSign.extensions · Ordinateur uniquement

Ce qu’une session avec ce certificat peut faire : un terminal (pty), le transfert de ports, le transfert de l’agent, le transfert X11 et le ~/.ssh/rc de l’utilisateur. Décochez ce que le certificat ne doit pas autoriser. Pour un certificat utilisateur uniquement.

• Par défaut: Les cinq, comme les donne ssh-keygen.

Phrase secrète de la clé de la CA

caSign.passphrase · Ordinateur uniquement

Cette clé de CA est chiffrée et sa phrase secrète n’est pas enregistrée : saisissez-la pour signer. Elle ne sert qu’à ce certificat et n’est pas conservée.

Hôtes dont elle se porte garante

caTrust.hostPattern · Ordinateur uniquement

Les noms d’hôte dont les certificats d’hôte de cette CA sont approuvés, comme dans known_hosts : jokers et listes séparées par des virgules. Un hôte qui présente un certificat signé par cette CA pour son nom est alors reconnu sans question.

• Exemple: *.example.com
• Attention: N’approuvez une autorité que pour les noms dont elle doit répondre : elle peut alors parler pour chaque hôte couvert par le motif. Dans un coffre partagé, * seul est refusé.

Step CA

Où: Trousseau › une clé › Step CA.

Adresse de la CA

stepCa.url · Ordinateur uniquement

L’adresse de votre serveur step-ca, d’où cette clé obtient des certificats SSH de courte durée. Seul https est utilisé (http en clair uniquement vers cet ordinateur). Chaque réponse de la CA est lue jusqu’à 1 Mio.

• Exemple: https://ca.example.com
• Attention: Sur une clé d’un coffre que d’autres peuvent modifier, ces réglages décident où va votre connexion : l’app demande avant que cet appareil ne les utilise pour la première fois, et après chaque modification.

Empreinte de la racine

stepCa.rootFingerprint · Ordinateur uniquement

L’empreinte SHA-256 du certificat racine de la CA, telle que l’affiche step certificate fingerprint root_ca.crt. L’app ne fait confiance qu’à cette racine pour la CA : un serveur avec une autre racine est refusé avant tout envoi.

• Attention: Obtenez-la de l’administrateur de votre CA par un canal de confiance, pas de la CA elle-même.

Provisioner

stepCa.provisioner · Ordinateur uniquement

Comment la CA vérifie que c’est vous : un provisioner JWK demande son mot de passe ; un provisioner OIDC ouvre votre fournisseur d’identité dans le navigateur. Chargez la liste depuis la CA, puis choisissez.

Principals

stepCa.principals · Ordinateur uniquement

Les comptes à demander à la CA, séparés par des virgules ou des espaces. La CA décide lesquels elle accorde.

• Exemple: deploy

Mot de passe du provisioner

stepCa.password · Ordinateur uniquement

Le mot de passe du provisioner JWK. Il ouvre, ici sur cet appareil, la clé du provisioner que la CA fournit chiffrée, pour signer la demande ; il ne sert qu’à ce certificat et n’est jamais enregistré ni envoyé.

• Attention: Quiconque a ce mot de passe peut demander à l’autorité un certificat pour n’importe quel principal que le provisioner permet, pour n’importe quelle clé : sur une clé d’équipe, ne le partagez qu’avec ceux qui en ont le droit.