Voir bébé hors de la maison, sans le cloud, avec Tailscale

Pourquoi pas le cloud du fabricant, ou un port ouvert sur la box ?

Il y a trois façons de voir une caméra de la maison depuis un téléphone qui n’y est pas.

• Le cloud du fabricant. Une caméra Tapo, Nest ou Nanit envoie son flux aux serveurs de l’entreprise, et son app va l’y chercher. Cela marche dès que vous vous connectez, et c’est pourquoi beaucoup le choisissent. Le prix : la chambre de bébé transite par des serveurs qui ne sont pas les vôtres, et y est souvent stockée, protégée par un compte dont un mot de passe réutilisé suffit à ouvrir la porte à un inconnu. Le guide sur la sécurité passe en revue les cas documentés.
• La redirection de ports. Vous dites à la box de mettre la caméra sur internet. Le National Cyber Security Centre britannique conseille de désactiver la redirection de ports et l’UPnP, justement parce que des criminels peuvent exploiter ces techniques pour atteindre des appareils de votre réseau comme les caméras connectées. L’aide française de TP-Link pour Tapo dit elle-même que RTSP et ONVIF ne sont pas hautement sécurisés, que leur utilisation prolongée sur une adresse IP publique est déconseillée, et qu’un VPN sécurisé et chiffré est la solution recommandée. Évitez cette voie.
• Un VPN. Votre téléphone rejoint votre réseau domestique par un tunnel chiffré, et la caméra ne sait jamais qu’il n’est pas à la maison. Tailscale fait d’une soirée avec le manuel de la box deux installations d’app et une connexion.

Tailscale est construit sur WireGuard et documente que son architecture chiffre toutes les communications de bout en bout, que les appareils soient connectés directement ou par un relais. Quand vos téléphones ne se joignent pas directement, les relais DERP de Tailscale transmettent les paquets ; comme les clés privées ne quittent jamais l’appareil qui les a créées, un serveur DERP ne peut pas, selon Tailscale, déchiffrer le trafic. D’autres solutions, comme WireGuard configuré sur la box ou ZeroTier, font la même chose avec plus ou autrement de travail ; ce guide s’en tient à Tailscale parce que c’est par là que Mamoon vous guide dans ses réglages.

Variante 1 : la caméra est un ancien téléphone

C’est le cas le plus courant avec Mamoon, où un ancien iPhone ou Android près du lit fait la caméra, et le plus simple, parce qu’un téléphone peut faire tourner Tailscale lui-même. L’installation du téléphone de bébé est dans le guide de l’ancien téléphone ; ici s’ajoute l’accès à distance.

1. Créez un compte Tailscale. Allez sur tailscale.com et connectez-vous avec un compte Apple, Google, Microsoft ou GitHub ; Tailscale n’a pas de mots de passe à lui. Le forfait Personal est gratuit.
2. Installez Tailscale sur le téléphone près du lit. Depuis l’App Store sur iPhone (iOS 15 ou plus) ou depuis Google Play sur Android (Android 8 ou plus). Ouvrez l’app, acceptez l’installation de la configuration VPN quand le téléphone le demande, et connectez-vous avec le même compte.
3. Installez Tailscale sur votre propre téléphone de la même façon, avec le même compte. Les deux téléphones apparaissent maintenant dans l’app Tailscale comme membres d’un réseau privé. Laissez Tailscale activé sur les deux.
4. Connectez-vous une fois à la maison. Avec les deux téléphones sur le Wi-Fi, ouvrez Mamoon sur celui de bébé, choisissez « Près du lit » et connectez-vous depuis votre téléphone comme d’habitude. Mamoon retient l’adresse Tailscale du téléphone de bébé pour plus tard.
5. Quittez la maison. Pour tester, coupez le Wi-Fi de votre téléphone : Mamoon continue d’afficher le lit en données mobiles. Désormais, Mamoon utilise le Wi-Fi à la maison et Tailscale en dehors.

Variante 2 : la caméra passe par Home Assistant ou go2rtc

Si vos caméras passent déjà par go2rtc, que ce soit dans Home Assistant ou dans Frigate, c’est le serveur qui entre dans Tailscale, pas la caméra. Pour Home Assistant, il existe un module complémentaire communautaire Tailscale : installez-le depuis la boutique de modules, démarrez-le, ouvrez l’interface web et connectez-vous avec votre compte Tailscale. Votre téléphone, avec Tailscale comme dans la variante 1, joint alors le flux go2rtc de partout ; dans Mamoon, vous saisissez l’adresse Tailscale du serveur à la place de l’adresse de la maison. Le reste, les noms de flux et le son G.711 nécessaire, est dans le guide Home Assistant.

Si vous joignez déjà votre tableau de bord Home Assistant par Tailscale, Mamoon voyage sur la même liaison.

Variante 3 : une caméra Wi-Fi directement (Tapo et autres)

Une caméra Tapo, Hikvision, Dahua ou Imou que Mamoon lit en RTSP, comme dans le guide de la caméra IP, ne peut pas installer Tailscale. Il faut que quelque chose, à la maison, lui prête sa liaison. Tailscale appelle cela un routeur de sous-réseau : un appareil de votre réseau qui sert de passerelle pour annoncer des routes vers des appareils où l’on n’installe pas Tailscale. Un Raspberry Pi, un NAS, un ordinateur toujours allumé ou le module Home Assistant (option advertise_routes) le peuvent.

En gros : sur cet appareil, vous dites à Tailscale d’annoncer votre réseau domestique, par exemple 192.168.1.0/24 (les trois premiers nombres de l’adresse de votre box), et vous approuvez la route une fois dans la console d’administration de Tailscale. Ensuite, hors de la maison, votre téléphone joint toute adresse de votre réseau domestique, caméra comprise. Mamoon affiche pour cela dans ses réglages une liste de contrôle à cocher pas à pas.

Qu’obtenez-vous hors de la maison ?

Le même babyphone, en données mobiles. Le son et l’image du lit, les états Calme, Bruit et Pleurs, l’alerte de pleurs comme notification normale et l’aperçu du matin. La détection des pleurs continue de tourner sur le téléphone de bébé : aucun son ne va ailleurs que chez vous. Si la connexion coupe, Mamoon passe au gris au bout d’environ 20 secondes et vous dit qu’il ne veille pas pour l’instant ; avec un réseau mobile capricieux, c’est précisément l’alerte dont vous serez content.

La vidéo consomme des données : avec un petit forfait, la vue « Son uniquement » est le choix économe. Et ce qui reste privé à la maison l’est aussi dehors : pas de compte Mamoon, pas de cloud Mamoon, aucun clip stocké nulle part. Le seul compte en jeu est votre identifiant Tailscale ; protégez-le avec une double authentification, comme votre messagerie.

Quand Tailscale n’est pas la réponse

• Vous voulez un accès à distance sans aucune configuration. C’est exactement ce que vend le cloud du fabricant, et pour une caméra que vous regardez surtout du bureau, l’échange est honnête. Activez seulement la double authentification.
• La caméra est éteinte à la prise. Un VPN n’allume pas une caméra en mode confidentialité Tapo ou sur une prise connectée ; une automatisation Home Assistant le peut, et le guide Home Assistant montre comment Mamoon en déclenche une.
• Vous voulez parler à bébé, des berceuses ou des enregistrements. Mamoon n’a rien de tout cela, ni à la maison ni dehors.
• Vous voulez voir deux pièces en même temps. Mamoon affiche une caméra par téléphone parent.

Questions fréquentes