Manuel RoamSwitch for Linux

Pour l'édition bureau de RoamSwitch (icône de la zone de notification + fenêtre principale), ce guide explique un par un le menu de la zone de notification et tous les onglets de la fenêtre principale, dans l'ordre exact où ils apparaissent. Il suppose un environnement de bureau GTK (GNOME, KDE, XFCE, etc.). Pour un fonctionnement sur serveur headless, consultez le manuel d'exploitation de l'édition serveur.

1. À propos de ce manuel

RoamSwitch for Linux s'exécute sous la forme d'une icône 🛡️ dans la zone de notification de votre bureau. Cliquez sur l'icône pour ouvrir un menu, à partir duquel vous pouvez accéder à la fenêtre principale pour des réglages plus détaillés.

De nombreuses fonctions avancées portent la mention Pro. Cela signifie que cette fonction ne devient disponible qu'après l'achat (ou l'essai) de RoamSwitch Pro. Tous les éléments sans cette mention sont gratuits.

2. Menu de la zone de notification

Voici le menu qui s'ouvre lorsque vous cliquez sur l'icône de la zone de notification. Nous le présentons ici de haut en bas.

Procédure

1. Changer immédiatement le niveau de protection : Cliquez sur l’icône de la zone de notification, puis cliquez sur Lockdown, Balanced ou Open. Dans la liste des durées qui s’affiche ensuite (jusqu’à la prochaine déconnexion / 1 heure / 2 heures / 4 heures / pour aujourd’hui / jusqu’à annulation manuelle), cliquez sur la durée que vous souhaitez conserver pour l’appliquer.
2. Revenir au mode automatique : Cliquez sur l’icône de la zone de notification → « Revenir au mode automatique ».
3. Changer de fournisseur de DNS sécurisé : Cliquez sur l’icône de la zone de notification, passez le curseur sur le sous-menu DNS, puis cliquez sur le fournisseur que vous souhaitez utiliser.
4. En cas de perte de connectivité : Cliquez sur l’icône de la zone de notification → sous-menu Récupération → « Récupération réseau d’urgence ».
5. Changer la langue d’affichage : Cliquez sur l’icône de la zone de notification → sous-menu Langue, puis cliquez sur la langue souhaitée.

Sur les écrans de petite taille ou avec une mise à l'échelle DPI élevée, les trois éléments Lockdown/Balanced/Open peuvent être regroupés dans un seul sous-menu intitulé « Niveau de sécurité » (le contenu reste le même dans les deux cas).

3. Ouvrir la fenêtre principale

La fenêtre principale s'ouvre via « Ouvrir la fenêtre principale » dans le menu de la zone de notification, ou en cliquant sur la ligne de statut. Contrairement à la version macOS, où chaque fonction ouvre sa propre fenêtre distincte, tous les réglages tiennent ici dans une seule grande fenêtre où l'on bascule entre 19 onglets (sections) depuis la barre latérale gauche. Les chapitres qui suivent présentent ces onglets exactement dans l'ordre où ils apparaissent dans la barre latérale.

4. 🌐 Network Management

Le tout premier onglet de la barre latérale. Il gère l'enregistrement du réseau sur lequel vous vous trouvez et la gestion de la liste des réseaux enregistrés.

Procédure

1. Enregistrer le réseau actuel : Cliquez sur « Enregistrer » dans la carte « Réseau actuellement connecté », choisissez un nom et un niveau de sécurité, puis cliquez sur « Enregistrer ».
2. Modifier ou supprimer un réseau enregistré : Dans la « Liste des réseaux enregistrés », sélectionnez la ligne concernée, puis utilisez l’icône crayon pour la modifier ou l’icône corbeille pour la supprimer.
3. Fixer temporairement un niveau : Dans la carte « Basculer manuellement la politique de sécurité », choisissez un niveau et une durée, puis cliquez sur « Appliquer ».

5. 📊 Security Diagnostic Suite

Un onglet de diagnostic complet qui note la configuration de sécurité de votre machine Linux. Un score et un titre s'affichent en haut, suivis en dessous d'une liste de réussite/échec pour chaque point vérifié. C'est l'équivalent, côté Linux, du « Diagnostic de sécurité complet du Mac » de la version Mac. Nous vous recommandons d'ouvrir régulièrement cet onglet pour vérifier qu'il ne reste aucun élément rouge ou jaune.

Procédure Les éléments affichés en rouge ou en jaune disposent d’un bouton de correction à leur droite. Cliquer dessus résout la plupart des problèmes sur-le-champ et met à jour le score automatiquement.

6. 🚪 Ports & DevIsolator

L'onglet le plus riche de tous. Il rassemble tout ce qui touche à la frontière réseau : protection contre l'exposition des ports d'un serveur de développement, détection des anomalies ARP, appairage Sensor et analyse de vulnérabilité.

Procédure

1. Isoler le port d’un serveur de développement : Dans la carte « Ports exposés & isolement des serveurs de développement », sélectionnez le port concerné dans la liste et cliquez sur « Isoler » ou « Bloquer ».
2. Appairer un Sensor : Dans la carte « Appairage manuel avec un code d’appairage », saisissez le code émis par le Sensor, puis cliquez sur « Associer ».

7. 🔌 USB & BadUSB Guard

Procédure

1. Cliquez sur l’interrupteur de la carte « Protection USB / BadUSB » pour l’activer.
2. Dans la liste « Périphériques USB et HID connectés », sélectionnez les appareils que vous continuerez à utiliser, puis cliquez sur « Ajouter à la liste blanche ».

8. 🦠 Malware & Quarantine

Un onglet qui réunit la protection antivirus ClamAV et les défenses avancées propres à Linux au niveau bas : fanotify, analyse d'entropie, règles YARA et application du no-exec.

Procédure

1. Analyser dès maintenant : Dans la carte « Analyse ClamAV à la demande », choisissez un dossier et cliquez sur « Démarrer l’analyse ».
2. Gérer les fichiers en quarantaine : Dans la carte « Coffre de quarantaine », sélectionnez un fichier dans la liste et cliquez sur « Restaurer » ou « Supprimer définitivement ».
3. Ajouter un dossier surveillé : Dans la carte « Dossiers surveillés », cliquez sur « Ajouter un dossier », choisissez un emplacement tel que votre dossier Téléchargements, puis cliquez sur « Enregistrer ».

9. 🛡️ DNS Threat Guard

Une fonction qui bloque au niveau DNS la résolution de noms vers les sites de phishing et les serveurs de commande et contrôle (C2) utilisés par les logiciels malveillants. Choisissez un fournisseur (comme Quad9) dans le menu déroulant, et définissez à quels réseaux il s'applique avec « Portée d'application ». Cette fonction fonctionne de pair avec le sous-menu DNS de la zone de notification (chapitre 2).

Procédure Après avoir activé le bouton, choisissez un fournisseur dans le menu déroulant « Fournisseur de DNS sécurisé », puis définissez la « Portée d’application » pour contrôler à quels réseaux elle s’applique.

10. 🔒 VPN Tunnel Pro

Une fonction VPN qui chiffre les communications sur les réseaux non fiables. La carte de statut indique l'état actuel de la connexion, et la carte de configuration gère vos connexions (par exemple l'importation d'une configuration WireGuard). Comme la section 11.2 du manuel Mac, elle protège contre l'interception et l'altération des communications lorsque vous êtes sur un réseau auquel vous ne faites pas confiance.

Procédure

1. Dans la carte de configuration, sous « Backend », choisissez WireGuard ou Tailscale.
2. Pour WireGuard, sélectionnez un fichier .conf sous « Importer un fichier de configuration ». Pour Tailscale, cliquez sur « Connexion » et authentifiez votre compte dans le navigateur.
3. Une fois la configuration terminée, cliquez sur « Se connecter ». Le VPN est actif dès que la carte de statut affiche « Connecté ».

11. 🔑 Secret & API Key Audit

Un outil d'audit qui analyse votre répertoire personnel et vos fichiers de configuration à la recherche d'informations sensibles — clés API, mots de passe, jetons — laissées par inadvertance en texte clair. Il aide à éviter qu'un développeur ne laisse involontairement des secrets dans un dépôt ou un fichier de configuration.

Procédure Cliquez sur « Démarrer l’analyse » pour lancer l’audit. Une fois terminé, les éléments détectés (chemin du fichier et type) sont listés.

12. 📜 Security Log Audit

Un onglet pour auditer et parcourir les journaux liés à la sécurité, enregistrés par RoamSwitch et par votre système Linux. Permet de retracer, dans l'ordre chronologique, ce qui a été détecté et comment cela a été traité.

13. 🔔 Notifications

Liste des notifications affichées par RoamSwitch au cours des 7 derniers jours. Pratique pour retrouver une notification de la zone de notification que vous auriez manquée.

14. 🕒 Incident Timeline

Un écran qui permet de revoir ensemble, dans l'ordre chronologique, les événements de sécurité (détection, réponse, résolution) (fonction expérimentale). Pratique lorsque vous voulez saisir la vue d'ensemble de ce qui s'est passé, plutôt que de suivre chaque entrée de journal séparément.

15. 🔎 Security Activity Log

Permet de rechercher et de visualiser, sur un seul écran, tout ce que RoamSwitch a détecté, notifié ou traité jusqu'à présent. Fusionne le contenu du chapitre 14 « Incident Timeline » et du chapitre 13 « Notifications » dans une seule vue, filtrable par période, catégorie, gravité et mot-clé. Cet onglet est distinct du chapitre 12 « Security Log Audit » (qui audite les journaux côté système, comme journald) — il sert plutôt à revoir ce que RoamSwitch a déjà détecté, notifié ou décidé.

Procédure Après avoir filtré à l'aide des listes déroulantes de période, catégorie et gravité et du champ de recherche par mot-clé, cliquez sur une tranche horaire précise dans le graphique à barres en haut de l'écran pour restreindre la liste aux seuls événements de cette tranche. Cliquez sur « Effacer le filtre » pour annuler cette restriction.

16. 🔗 Link Safety Audit

Un onglet qui réunit les réglages de protection des liens et un outil de vérification manuelle permettant de coller une seule URL pour la vérifier sur-le-champ. Correspond aux sections 9.5 et 9.6 du manuel Mac.

Procédure Pour vérifier une URL sur-le-champ, collez-la dans le champ de la carte « Vérification manuelle », puis cliquez sur « Vérifier ». Le verdict de sécurité s’affiche en quelques secondes.

17. 📦 Package CVE Scan

Un onglet de protection contre les vulnérabilités et les attaques de la chaîne d'approvisionnement, couvrant un large spectre : du gestionnaire de paquets du système aux paquets de développement propres à chaque langage.

Sous Ubuntu (20.04, 22.04, 24.04, 26.04), l'analyse CVE des paquets du système utilise les données propres à Ubuntu et compare par nom et version du paquet source. Elle ne vérifie que les CVE graves (CVSS 7,0 ou plus) pour lesquelles Ubuntu a déjà publié un correctif. Les CVE sans correctif publié, non encore évaluées ou qu'Ubuntu a décidé de ne pas corriger n'y figurent pas ; « aucun résultat » ne signifie donc pas qu'il n'y a pas de CVE connue. Le noyau est laissé aux données CVE du noyau existantes et ne fait pas partie de cette vérification. Un correctif disponible seulement via Ubuntu Pro (ESM) est signalé par 🔒 et la mention « Ce correctif n'est disponible que via Ubuntu Pro (ESM) ». Sur les dérivées d'Ubuntu comme Linux Mint et Pop!_OS, et sur les versions non prises en charge, l'analyse indique que cet Ubuntu n'est pas couvert par la vérification CVE. Elle ne bascule pas non plus vers les données Debian, afin d'éviter les faux positifs. Les données Ubuntu sont signées et ne sont distribuées qu'aux machines Ubuntu (environ 4 Mo). Une machine qui ne les a pas encore les récupère lors de la prochaine mise à jour quotidienne, puis cherche une version plus récente environ tous les 30 jours. La vérification pour Debian, Arch, la famille RHEL et SUSE est inchangée.

Procédure

1. Cliquez sur « Démarrer l’analyse » dans la carte « Analyse CVE des paquets du système » ou « Analyse CVE des dépendances de développement ».
2. Une fois terminé, les vulnérabilités correspondantes sont listées, chacune accompagnée d’une solution suggérée (comme une commande de mise à jour).

18. 💎 Pro License

Rassemble la liste des fonctions incluses gratuitement, des informations à destination des entreprises pour un fonctionnement sur serveur, VPS, cloud ou bare metal, ainsi que l'accès au panneau Fleet pour gérer plusieurs machines à la fois. L'activation de la licence Pro se fait également ici.

Procédure

1. Collez votre clé de licence dans le champ prévu à cet effet, puis cliquez sur « Activer ».
2. Si vous n’avez pas encore de clé, cliquez sur « Acheter » pour procéder à l’achat. Une fois l’activation réussie, cet onglet et le menu de la zone de notification se mettent à jour en conséquence.

19. 🧰 Recovery & Uninstall

Un onglet qui rassemble la récupération d'urgence (en cas de trafic bloqué par erreur) et la désinstallation — les mêmes fonctions que le sous-menu « Récupération » de la zone de notification, avec des explications plus détaillées.

Procédure

1. Récupération d’urgence en cas de perte de connectivité : Cliquez sur le bouton « Récupération réseau d’urgence », puis choisissez « Récupérer » dans la boîte de dialogue de confirmation.
2. Pour désinstaller : Suivez les indications de cet onglet, ou exécutez dans un terminal la commande correspondant à votre format de paquet (par exemple, sudo apt purge roamswitch). Voir les étapes de désinstallation pour le détail.

20. 📖 Help & Guide

L'écran d'aide intégré à l'application. Il couvre aussi bien l'utilisation de base que des notes complémentaires sur chaque fonction. Utilisez-le en complément de ce manuel en ligne.

21. 🌐 Language

Définit la langue d'affichage de la fenêtre principale. Les langues proposées ici sont les mêmes que pour le réglage de langue propre au menu de la zone de notification (chapitre 2).

Procédure Choisissez une langue dans le menu déroulant : l’affichage de la fenêtre principale change immédiatement.

22. ℹ️ About RoamSwitch

Rassemble les informations de version, les réglages généraux, les informations sur l'éditeur, la licence, la politique de sécurité, la politique de confidentialité, les conditions d'utilisation (CLUF), l'avis de non-responsabilité, ainsi que les mentions de marque et de droits d'auteur — les informations de base et légales de l'application. Si vous contactez le support, vérifiez d'abord votre numéro de version dans cet onglet.

23. 🔄 Upgrade

Un onglet qui permet de vérifier l'état des mises à jour automatiques de l'application elle-même, l'état des mises à jour des paquets, ainsi que l'état de mise à jour des définitions de menaces et de la liste des sites frauduleux. Si vous avez installé via le gestionnaire de paquets de votre distribution, les mises à jour restent normalement à jour automatiquement en même temps que les mises à jour habituelles du système.

24. 🛟 Récupération après ransomware (instantanés et restauration de fichiers)

Dans l'onglet « Récupération après rançongiciel » de la barre latérale, pour votre répertoire personnel, extrayez en toute sécurité seulement les fichiers ou dossiers voulus d'instantanés pris automatiquement avant tout dégât. Vos fichiers actuels ne sont jamais écrasés. (Dans l'édition de bureau standard, à partir de Linux 1.11.21.)

Il existe trois types d’instantanés. Les instantanés « Avant dommage » sont pris automatiquement à intervalle fixe (toutes les 6 heures par défaut), indépendamment de tout dommage. Les instantanés « À la détection » sont toujours pris lorsqu’un comportement de type ransomware est détecté. Les instantanés « Manuel » sont ceux que vous prenez vous-même par commande.

Pour restaurer, choisissez l’instantané « Avant dommage » portant la mention « ★ Recommandé ». À la détection: ⚠ Pris après la détection, il contient donc des fichiers déjà chiffrés. Il ne permet pas de revenir à l'état d'avant le chiffrement (il préserve ce qui était intact et sert de preuve).

Les fichiers extraits n’écrasent jamais vos fichiers actuels. Ils sont placés dans un dossier distinct (par défaut RoamSwitch-Recovered// dans le dossier cible).

Les instantanés d'avant les dégâts sont pris automatiquement toutes les 6 heures par défaut (4 générations conservées sur btrfs, 2 sur LVM). Vous pouvez changer l'intervalle avec la commande sudo roamswitch-ransomware-rollback config set --periodic-interval-secs <N> (0 le désactive ; sinon 300 secondes ou plus). Après un instantané au moment de la détection, les instantanés d'avant les dégâts sont suspendus 7 jours pour que des données déjà chiffrées ne chassent pas la dernière génération saine. Les instantanés au moment de la détection sont toujours pris, quel que soit ce réglage.

Les cibles prises en charge sont btrfs et LVM. Sans l’une d’elles, le message suivant s’affiche. Impossible d'obtenir la liste des instantanés (la restauration après ransomware n'est pas installée, ou il n'y a aucune cible btrfs/LVM).

Tout annuler (avancé, par commande seulement) : sudo roamswitch-ransomware-rollback restore <ID>. Attention : l'état actuel est écrasé par le contenu de l'instantané choisi. Essayez d'abord « Extraire les fichiers » et « Extraire un dossier ». Un instantané au moment de la détection est refusé sans --accept-tampered.

Également utilisable en ligne de commande (roamswitch-ransomware-rollback). Voir la page CLI / exploitation sans interface pour les détails.

25. 🕸️ Détection des web shells et du code injecté (Web Rules)

Des règles dédiées détectent les web shells PHP, JavaScript, JSP et ASP, le code obfusqué injecté, le PHP caché dans des images et les abus de .htaccess. Sur une machine où vous développez des applications web, vos dossiers de projet sont aussi couverts. Aucune configuration n'est nécessaire : les fichiers sont vérifiés automatiquement à l'écriture ou à l'ouverture. Les règles sont fournies avec le produit et mises à jour par la mise à jour quotidienne en réception seule. (À partir de Linux 1.11.23.)

En cas de détection, une boîte de dialogue de confirmation (« Fichier dangereux détecté ») s'affiche. Elle indique le nom et l'emplacement du fichier, avec trois boutons : « Plus tard », « Autoriser (ne plus analyser) » et « Mettre en quarantaine ». Tant que vous n'avez pas choisi, rien n'est fait au fichier. « Mettre en quarantaine » le déplace dans le coffre (vous pourrez le restaurer plus tard dans l'onglet Malware et quarantaine). Si du code que vous développez est signalé, examinez son contenu avant de choisir. « Autoriser » retire ce fichier des analyses futures.

Pour analyser des dossiers entiers, utilisez roamswitch web-scan <dossier>. Par défaut, c'est en lecture seule : rien n'est déplacé. Le résultat indique la gravité (CRITICAL / HIGH / MEDIUM), le nom de la règle et une description. Le code de sortie est 0 sans résultat et 2 si un résultat critical ou high est trouvé (pratique en CI). --json produit du JSON et --no-default-excludes inclut aussi ce qui se trouve sous tests/, fixtures/ et .git/, ignorés par défaut car le code de test cite les mêmes constructions. roamswitch web-rules affiche la version et l'état des règles.

Ce sont des réglages avancés. Placez vos propres règles dans /etc/roamswitch/rules.d/*.json (seuls sont lus les fichiers appartenant à root et non modifiables par d'autres ; un modèle s'obtient avec roamswitch web-rules example rules et roamswitch web-rules validate <fichier> en vérifie un). Pour appeler votre propre script à chaque détection, placez un exécutable dans /etc/roamswitch/hooks/post-detection (le résultat est transmis en JSON sur l'entrée standard ; modèle : roamswitch web-rules example hook). Le niveau de quarantaine et les autres options se règlent dans /etc/roamswitch/web_rules.conf (roamswitch web-rules example conf).

Limites : seuls les 256 premiers Ko d'un fichier (à l'écriture/exécution) ou 4 Mo (analyse) sont lus, les noms fragmentés comme 'ev'.'al' ne sont pas suivis, et aucune signature de malware connu n'est fournie faute d'échantillons réels. En cas de faux positif présumé, choisissez « Autoriser » ou excluez le fichier avec une règle personnalisée.

26. 🤖 Audit de la configuration des agents IA

Cet écran vérifie les fichiers d'instructions et les skills donnés aux agents IA (Claude Code, Codex, Cursor, Gemini, OpenClaw et autres), ainsi que le fichier de réglages d'OpenClaw, à la recherche de contenu risqué. Ouvrez « 🤖 Audit de la configuration des agents IA » dans le menu de gauche et cliquez sur « Lancer l'audit » ; la vérification est en lecture seule. Elle porte sur ~/.claude (CLAUDE.md, commands, agents, skills), ~/.codex, ~/.cursor/rules, ~/.gemini, ~/.agents et ~/.openclaw dans votre dossier personnel, ainsi que CLAUDE.md, AGENTS.md, .cursorrules et équivalents dans les dossiers de projet enregistrés dans « Analyse CVE des paquets ». Aucune connexion réseau n'est faite, et ni le contenu des fichiers ni les valeurs de clés ou de jetons n'apparaissent à l'écran ou dans le résultat.

Elle recherche des instructions cachées dans des caractères Unicode invisibles, des phrases comme « ignore les instructions précédentes » ou « ne le dis pas à l'utilisateur », du code qui télécharge un script et l'exécute tel quel (curl … | sh), du code qui décode une chaîne et l'exécute, des références à des fichiers secrets (clés SSH, identifiants cloud, etc.) à côté de ce qui envoie des données vers l'extérieur, du code compilé dans un skill, des fichiers que d'autres utilisateurs peuvent modifier et, pour OpenClaw, l'authentification désactivée, un jeton de moins de 24 caractères, un réglage qui autorise tous les sites et les interrupteurs dont le nom commence par dangerously. Ce qui se trouve dans un commentaire HTML, qui disparaît quand le Markdown est affiché, est évalué plus haut.

Le résultat est réparti en « Gravité : élevée » et « moyenne », chacune avec le fichier, le numéro de ligne et la raison. Une correspondance signifie « une personne devrait lire cette ligne », pas « malveillant » ; un document qui explique des attaques ou une phrase d'exemple dans un avertissement peut correspondre. Les fichiers illisibles sont listés à part, et l'écran ne dit jamais « aucun constat » pour eux. En ligne de commande : roamswitch audit-agent-setup [DOSSIER…] [--json]. Un assistant IA obtient le même résultat avec l'outil MCP audit_agent_setup.

27. 🔐 Blocage de la force brute SSH et chemin d'intrusion dans les notifications (sans écran)

Uniquement tant que SSH (sshd) tourne sur cette machine, il surveille les échecs de connexion SSH et bloque les nouvelles connexions d'une source qui échoue à répétition en peu de temps. Il coupe aussi les connexions SSH que cette source avait déjà ouvertes, mais jamais une session authentifiée ni une source de votre liste d'exemptions. Sur une machine où sshd ne tourne pas, il ne lit rien et ne change rien. Il n'y a pas d'écran de réglages : les 10 clés ssh_guard_* de ~/.config/roamswitch/config.json le modifient (voir le tableau des réglages dans CLI / exploitation sans écran). Les notifications sont des notifications de bureau et sont conservées dans l'historique.

Les sources actuellement bloquées se listent avec sudo roamswitch bans et se débloquent avec sudo roamswitch unban <IP> (--all les lève toutes). Aux niveaux de protection par défaut du client, le trafic entrant est fermé, de sorte que les connexions peuvent ne pas atteindre SSH du tout ; le blocage a alors moins à faire. Lorsque fail2ban ou CrowdSec protège déjà sshd, RoamSwitch lui laisse le blocage et se contente de détecter et de notifier.

Une notification d'altération d'un fichier critique (FIM) indique désormais le processus à l'origine de la modification et la connexion SSH à laquelle il appartient (source, heure, méthode d'authentification). La notification d'un accès à un fichier d'identifiants ne l'indique que si le processus appartient à une connexion SSH. Lorsque cela n'a pas pu être vérifié, la notification dit « Le chemin de connexion n'a pas pu être déterminé » et ne dit jamais que ce n'était pas une connexion. Pour le désactiver, écrivez "fim_intrusion_context_enabled": false dans config.json.