Activation

L'interrupteur principal, le port sur lequel l'endpoint écoute, et les quatre mesures qui le gardent local.

Une installation neuve n'annonce rien aux agents. L'accès agent tient à un seul interrupteur, et cet interrupteur est la première des trois barrières qui tiennent ici lieu d'authentification : l'interrupteur principal, les interrupteurs par domaine et le journal.

L'interrupteur et le port

L'interrupteur principal est désactivé à la sortie d'usine. Activez-le sur la page Accès agent (ouvrir la page demande la permission de gestion de l'agent de votre rôle local) ; l'endpoint écoute ensuite sur http://127.0.0.1:<port>/mcp en Streamable HTTP. Les agents peuvent aussi se connecter pendant que l'application fonctionne masquée dans la zone de notification.

Réglage	Ce qu'il fait	Valeurs	Par défaut
Activer l'accès agent (MCP)	Démarre ou arrête l'endpoint. Désactivé signifie : aucun endpoint, rien d'annoncé.	activé / désactivé	désactivé
Port	Port local sur lequel l'endpoint écoute. Le changer redémarre l'accès agent, et chaque extrait de connexion de la page se met à jour.	1024–65535. Un port vers lequel l'accès agent ne peut pas se déplacer est refusé avant que rien soit enregistré : le motif est dit sous le champ, le champ revient au port en vigueur, et rien ne redémarre. Six entrées sont refusées : une valeur hors plage (« Saisissez un nombre compris entre 1024 et 65535. ») ; le port du serveur web, réglé sur Accès à distance (« Le port N est déjà celui du serveur web. Choisissez un autre port, ou déplacez d'abord le serveur web. ») ; le port du serveur OPC UA sur Paramétrage, en marche ou arrêté (« Le port N est déjà celui du serveur OPC UA. Choisissez un autre port, ou déplacez d'abord le serveur. ») ; le port du serveur Modbus sur la page Connector, en marche ou arrêté (« Le port N est déjà celui du serveur Modbus. Choisissez un autre port, ou déplacez d'abord le serveur Modbus. ») ; le port du broker MQTT sur la page Connector, en marche ou arrêté (« Le port N est déjà celui du broker MQTT. Choisissez un autre port, ou déplacez d'abord le broker MQTT. ») ; et un port qu'autre chose sur cette machine retient déjà (« Le port N est occupé sur cette machine. Fermez ce qui le retient, ou choisissez un autre port. »).	18181

À côté de l'interrupteur, une pastille d'état affiche Scellé tant que l'interrupteur est désactivé et Ouvert tant qu'il est activé : l'état de l'endpoint se lit ainsi d'un coup d'œil sur la pastille.

Sous l'endpoint, un décompte sans titre propre résume les interrupteurs de Domaines autorisés, plus bas sur la page. Sa première ligne donne à chacun des quatre niveaux le nombre de ses domaines activés, derrière un point allumé dans la couleur du niveau tant qu'au moins l'un d'eux est activé, et gris tant qu'aucun ne l'est : quand tous les domaines sont activés, elle affiche 5 Lecture, 6 Configuration, 4 Pilotage et 1 Restauration. La ligne suivante en fait la somme, « 16 groupes de capacités ouverts sur 16 », et, tant qu'un domaine de niveau Pilotage ou Restauration est activé, elle ajoute combien des groupes ouverts peuvent écrire sur l'équipement réel : « 5 en écriture directe ». Elle compte les interrupteurs des domaines et rien d'autre : l'ouverture de la station se lit ainsi d'un coup d'œil. Tant que l'interrupteur principal est désactivé, le décompte est grisé avec l'endpoint et le port, mais il continue de lire les interrupteurs, qui gardent ce qui a été enregistré : il montre ce que l'accès agent ouvre dès que l'interrupteur est réactivé.

Tant que l'interrupteur est désactivé, Copier l'URL et Port local restent grisés sous l'endpoint, et le pointeur posé sur l'un ou l'autre en donne la raison : « L'accès agent est désactivé. Activez-le d'abord sous Accès. » La carte Domaines autorisés dit la même phrase au-dessus de ses interrupteurs grisés.

Tout s'enregistre automatiquement sur la page ; il n'y a pas de bouton d'enregistrement.

Comment l'endpoint est protégé

Boucle locale uniquement. Le socket se lie à 127.0.0.1, jamais à une interface réseau. Le réseau de l'installation ne l'atteint pas.
Les requêtes venues d'un navigateur sont refusées. La liaison seule n'empêcherait pas une page web malveillante de faire pointer son propre domaine sur 127.0.0.1 ; l'endpoint vérifie donc aussi les deux en-têtes qu'un navigateur ne peut pas falsifier : une requête dont l'en-tête Host n'est pas local, ou qui porte un Origin étranger, est refusée par un 403 avant même de pouvoir ouvrir une session. Chaque refus est journalisé dans le domaine Agent de la page Événements : une station sondée depuis un onglet de navigateur laisse donc une trace.
Aucune authentification sur l'endpoint, et c'est délibéré. Les barrières sont l'interrupteur principal, les interrupteurs par domaine et le journal. Si vous publiez un jour l'endpoint à travers un tunnel, l'authentification doit vivre sur le tunnel (voir ChatGPT et les autres clients passant par le cloud).
La liste des outils est celle des domaines ouverts. Les outils d'un domaine désactivé ne sont pas annoncés du tout : ils sont absents, ils ne répondent pas « non ». Toute modification d'un interrupteur redémarre l'endpoint, pour que ce qu'un agent voit corresponde toujours à ce que vous avez autorisé. Les deux outils d'aide sont la seule exception : ils lisent la documentation de l'application et rien de la station, donc ils viennent avec l'endpoint quoi que disent les interrupteurs (Aide).