Bonito PDF · Bonito Scan
Serveur relais : informations pour les administrateurs réseau
Bonito PDF (version 2.1 et suivantes, pour Mac et Windows) reçoit des PDF numérisés depuis Bonito Scan (version 2.0 et suivantes, pour iPhone et iPad). Les deux apps essaient d’abord une connexion directe par le réseau local. Lorsque ce n’est pas possible (par exemple sur un PC Windows géré, ou lorsque le téléphone est sur un autre réseau), les deux apps envoient de simples requêtes HTTPS au serveur relais de Seared Bonito, relay.prod.searedbonito.com, qui transmet les données chiffrées de bout en bout d’une app à l’autre. Aucun WebSocket n’est utilisé. Cette page s’adresse aux administrateurs réseau et sécurité qui doivent l’autoriser.
Ce qu’il faut autoriser
| Hôte | relay.prod.searedbonito.com Servi par Cloudflare. Ses adresses IP sont celles de Cloudflare et peuvent changer : autorisez le nom d’hôte plutôt que des adresses. |
|---|---|
| Port et sens | TCP 443, en sortie uniquement, depuis l’ordinateur et depuis l’iPhone ou l’iPad. Rien en entrée. |
| Protocole | Simples requêtes et réponses HTTPS (TLS 1.2 ou ultérieur), rien d’autre : requêtes HTTP/1.1 POST sur les chemins /r1/h/open, /r1/h/x, /r1/g/open et /r1/g/x, et GET /r1/health, avec Content-Type application/octet-stream, un User-Agent qui nomme l’app et des en-têtes dont le nom commence par « Bonito-Relay ». Aucune autorisation WebSocket n’est nécessaire : les apps n’utilisent ni WebSocket ni mise à niveau HTTP. Toute chaîne de requête qu’un proxy ajoute à une requête est ignorée. Les apps envoient une requête toutes les 25 secondes environ tant que rien n’est transféré ; le relais répond à chaque requête en 55 secondes environ au plus et une requête transporte au plus 1 Mio environ. Un proxy qui retient ou ferme les requêtes plus tôt, ou qui place en bac à sable les corps binaires inconnus, peut ralentir un transfert ; autoriser l’hôte l’évite. |
| Proxy | Les apps utilisent les réglages de proxy du système d’exploitation, y compris les fichiers PAC et WPAD et, sous Windows, les réglages appliqués par stratégie de groupe. Un proxy qui demande une authentification Negotiate ou NTLM reçoit celle du compte Windows connecté et, sur Mac, les identifiants du trousseau. Les apps ne demandent jamais de mot de passe. |
| Inspection TLS | Les apps n’épinglent pas de certificat. Elles font confiance au magasin de certificats du système, y compris aux certificats racine d’entreprise déployés par MDM ou stratégie de groupe : un proxy d’inspection dont l’appareil approuve le certificat racine fonctionne donc. L’inspection TLS ne pose pas de problème et l’hôte n’a pas besoin d’y échapper : le contenu est chiffré de bout en bout, de sorte qu’un proxy d’inspection voit les en-têtes de requête et des corps chiffrés, jamais la clé, le code, les noms de fichiers ni les PDF. Si l’appareil n’approuve pas le certificat racine du proxy, la requête échoue et l’app indique que le logiciel de sécurité du réseau intercepte la connexion. |
| Filtrage d’URL | Si votre filtre bloque les hôtes nouveaux ou non classés, ajoutez relay.prod.searedbonito.com à sa liste d’autorisation. |
Ce qui transite par le relais
- Le transfert est chiffré de bout en bout entre les deux appareils (accord de clés P-256, AES-256 et HMAC-SHA256), avec une clé à usage unique qui se trouve dans le code QR affiché par Bonito PDF et n’est jamais envoyée au relais. Le relais, Cloudflare et un proxy d’inspection ne voient que des données chiffrées.
- Outre les données chiffrées, le relais voit des identifiants de connexion dérivés du code QR qui ne révèlent pas la clé, les adresses IP des appareils, l’heure, la durée, le volume de données et le nombre de requêtes de chaque connexion, ainsi que le nom et la version de l’app.
- Rien n’est conservé. Les apps se transmettent les données par des requêtes HTTPS répétées ; les données en attente de récupération ne sont conservées que dans la mémoire du relais, pendant 60 secondes au plus, et ne sont jamais enregistrées. Le relais ne garde ni fichiers, ni noms, ni journaux ; il ne garde que des compteurs d’utilisation quotidiens, supprimés dans les 24 heures. Le détail figure dans les politiques de confidentialité de Bonito PDF (article 9, paragraphe 8) et de Bonito Scan (article 9, paragraphe 6).
Ne pas utiliser le relais
- Dans Bonito PDF, choisissez Direct uniquement comme mode de connexion de la réception depuis Bonito Scan ; le code QR ne contient alors rien pour le relais. Dans Bonito Scan, désactivez Réglages › Utiliser la connexion Internet.
- Pour tenir tout un réseau à l’écart du relais, bloquez relay.prod.searedbonito.com. Les apps ne se connectent alors que par le réseau local.
Connexions directes sur le réseau local
- Tant que le panneau de réception depuis Bonito Scan est ouvert et que le mode de connexion est Automatique ou Direct uniquement, Bonito PDF accepte les connexions TCP du téléphone sur les adresses privées du réseau local de l’ordinateur, sur un port choisi par le système d’exploitation. Ces connexions ne quittent jamais le réseau local.
- Sous Windows, la version Microsoft Store de Bonito PDF déclare une règle de pare-feu à cet effet (TCP entrant, profils Domaine et Privé). Lorsque Windows n’a aucune règle autorisant Bonito PDF et que l’utilisateur n’est pas administrateur, l’app n’écoute pas du tout : aucune invite du pare-feu n’apparaît et aucune règle de blocage n’est créée ; elle utilise alors le relais. Pour autoriser les transferts directs sur des PC gérés, autorisez le TCP entrant pour l’application Bonito PDF sur les profils Domaine et Privé.
- Sur Mac ainsi que sur iPhone et iPad, le système demande une fois à l’utilisateur d’autoriser l’app à utiliser le réseau local.
Contact
Questions des administrateurs réseau : support@searedbonito.com