ÉCRIT ET ÉPROUVÉ — EN SERVICE POUR OHMNIA
À plusieurs, sans cloud.
Nexika est le serveur multi-postes de ResonLab. Un seul fichier à copier sur un PC ou un NAS, et vos postes travaillent sur les mêmes données — qui ne sortent jamais de vos murs.
Le lien, pas le métier
Le nom dit ce qu'il fait : le nexus. Il ne détient aucun métier — il relie des postes à une seule vérité. Chaque application lui passe son registre d'opérations, sa table de droits et de quoi ouvrir sa base ; lui apporte tout le reste.
Ohmnia et Scenika
Un seul serveur pour les deux. Une entreprise qui facture et qui loue du matériel n'installe pas deux serveurs de comptes — deux serveurs de comptes qui divergent valent moins que pas de serveur du tout.
Acustika en est exclue, volontairement. Elle travaille sur des fichiers de projet, pas sur des données d'entreprise partagées. Deux personnes ne modifient pas une simulation en même temps.
Sur une machine à vous
Un PC de bureau, un NAS, une machine de réserve. Un seul fichier à copier, lancé par une commande : pas d'installation, pas de npm install, aucune dépendance native.
Pas de cloud, pas d'abonnement, aucune donnée chez un tiers.
Trois rôles, pas trente
Lecture pour consulter, écriture pour le travail courant, administration pour ce qui engage l'entreprise.
Chaque opération a son droit, écrit à la main. Jamais déduit du nom du canal : une règle « lister = lecture » se tromperait en silence sur conditions:accepter.
Le mode local ne bouge pas
Sans démarche explicite de votre part, les applications fonctionnent hors ligne exactement comme avant. Le multi-postes se choisit ; il n'arrive jamais tout seul.
C'est un réglage, pas une version différente. Et changer d'avis n'efface jamais les données locales.
Ce qu'il refuse de faire
Ces refus ne sont pas des réglages : on ne peut pas les désactiver. Chacun a une vérification automatique, et chacun a été éprouvé en le cassant volontairement.
Écouter sans administrateur
Tant qu'aucun compte administrateur n'existe, le serveur n'accepte que 127.0.0.1. Sinon le premier venu créerait le sien et prendrait la comptabilité.
Écouter sans chiffrement
Mots de passe et jetons circuleraient en clair. Sur 127.0.0.1, HTTP reste accepté : le trafic ne quitte pas la machine.
Une opération sans droit déclaré
Une opération dont le droit n'a pas été écrit est refusée à l'exécution, et la vérification la signale. Un oubli ne devient pas une porte ouverte.
Perdre le dernier administrateur
Il ne peut être ni rétrogradé ni désactivé. Un serveur sans administrateur ne se reprend plus en main.
Un détail qui compte : le message d'échec de connexion est le même que le compte existe ou non. Sinon la page de connexion deviendrait un moyen de savoir qui travaille ici.
Mise en service
Les deux premiers refus imposent un ordre : le serveur ne doit jamais être joignable sans être déjà protégé. Une procédure en cinq étapes se rate — et quand on la rate, la tentation n'est pas de la reprendre, c'est de chercher à contourner le refus qui bloque. L'assistant les satisfait dans le bon ordre, en une commande.
Une commande
L'assistant fait tout ce qu'une machine peut faire seule : le dossier, le certificat, le premier administrateur, et le fichier qui fera repartir le serveur après un redémarrage.
Puis il affiche la commande à lancer et l'adresse à renseigner sur les postes.
Rien n'est écrasé : un certificat déjà accepté, un compte déjà créé, il les constate et passe. On peut le relancer sans réfléchir.
Il ne remplace aucun refus — il les satisfait dans le bon ordre, ce qui est différent.
Le certificat est fabriqué par le serveur lui-même, sans OpenSSL. Exiger d'aller chercher un outil externe et d'y recopier une ligne ésotérique, c'est pousser à laisser le serveur en clair — soit faire échouer la mesure de sécurité par sa mise en œuvre. Il couvre localhost, 127.0.0.1 et les adresses IPv4 de la machine : sans elles, un poste qui vise son IP ne pourrait rien vérifier.
Chaque poste devra l'accepter une première fois : c'est normal pour un certificat auto-signé. Il chiffre parfaitement la liaison ; ce qu'il ne fait pas, c'est prouver à un inconnu qu'il parle au bon serveur. Un certificat existant n'est jamais écrasé — les postes qui l'ont accepté redemanderaient tous confirmation.
Ce qu'il ne fait pas encore
Autant le dire ici plutôt que de le laisser découvrir en production.
Le démarrage automatique tient en une ligne
L'assistant écrit le fichier qu'il faut — tâche planifiée sous Windows, unité systemd sous Linux — et affiche la commande à lancer. Il ne l'installe pas à votre place : un programme installé en silence est un programme que personne ne sait arrêter six mois plus tard.
Pensé pour vos murs
Dès que le serveur devient joignable au-delà du réseau local, il faut le mettre derrière un reverse-proxy HTTPS en règle.
C'est votre machine
Les données vivent chez vous : leur sauvegarde aussi. C'est la contrepartie de l'absence de cloud, et elle doit être dite.