Le socle · les agents de terrain
Un seul fichier.
Aucun port ouvert.
Le miniMiniHub est l’agent le plus léger de la plateforme. Un binaire Go statique, sans Docker, sans machine virtuelle Java, sans base de données à installer. Il se pose en une ligne, appelle lui-même son parent, et refuse tout ce qu’on ne lui a pas permis.
À quoi il sert
Le minihub fait tourner des applications ; il lui faut Docker, une base et quelques gigaoctets. Beaucoup de besoins sont plus petits : une adresse de sortie différente pour collecter le web, l’envoi direct d’un courrier, un agent IA planifié sur une machine fermée, l’accès à un service local d’un NAS. Pour ceux-là, il y a le miniMiniHub.
C’est un binaire Go statique d’environ 13 Mo, qui occupe une douzaine de mégaoctets de mémoire en fonctionnement. Il se pose sur de petites machines virtuelles, des machines physiques ou des NAS, et se rattache à un minihub parent. Né comme simple porte de sortie Internet, il est devenu un véritable agent d’exécution à distance.
Comment il marche
On le pose en une ligne
Une commande d’installation avec un jeton à usage unique, dont le Hub ne garde que l’empreinte. Le Hub peut aussi le déployer lui-même, ou fournir un paquet à poser soi-même.
Il appelle son parent
Uniquement des connexions sortantes, en gRPC avec authentification mutuelle par certificats. Aucun port entrant. Le parent peut écouter sur le port 443, pour les sites qui ne laissent sortir que celui-là.
Il bat le cœur
À la cadence que lui fixe son parent. Chaque battement dit qu’il est vivant et ce qu’il sait faire.
Il exécute ce qu’on lui permet
Un fichier de permissions décide de tout. Sans lui, il bat le cœur mais n’exécute rien. Une action inconnue demande une approbation humaine ; sans réponse, c’est non.
Il rend compte
Résultats des tâches, statut des courriers, journal des connexions : tout remonte au Hub.
Il se répare seul
Après un changement de configuration, si le premier battement n’est pas acquitté en deux minutes, il reprend l’ancienne configuration — sans qu’on ait à se connecter.
Ce qu’il rend
Une sortie Internet
Un proxy de sortie : le Hub choisit l’antenne selon sa géolocalisation, son opérateur et sa charge, et bascule vite si l’une tombe. Le chiffrement TLS du site visité reste de bout en bout : ni le Hub ni l’antenne ne voient le contenu.
Un relais vers un service local
En rôle relais, il ne sert que des services locaux déclarés — jamais une sortie Internet — et refuse toute autre cible.
L’envoi direct du courrier
Remise directe au serveur du destinataire, chiffrement opportuniste, adresses de retour traçables, et un statut pour chaque message : envoyé, différé ou en échec.
Des tâches planifiées
Une file durable et un cron local qui empêche deux exécutions simultanées, quatre exécuteurs — dont un agent IA — et un rapport remonté au Hub.
Des outils sur la machine
Lire, chercher, écrire, exécuter, récupérer une page : des verbes encadrés par les permissions, appelables à distance.
Un pont vers MCP
Il rassemble les outils des serveurs MCP qu’il peut joindre et les publie au Hub.
Chaque sortie passe par un registre des connexions, gardé un an : quand, vers où, quel volume, et à la demande de quel Hub. Le Hub sait en tirer un extrait horodaté.
Trois façons de le poser
Sur une machine virtuelle ou un serveur
La forme d’origine : le binaire, un service système, un stockage local chiffré. L’agent refuse de démarrer s’il n’a pas le secret de chiffrement de ce stockage.
Dans un cluster Kubernetes
Une image de 53 Mo, sans droits d’administrateur, réglée par variables d’environnement. Le but : rendre appelables les serveurs MCP internes d’un cluster, sans ouvrir le cluster.
Sur un NAS Synology
Il sert un service local du NAS à une application du Hub, en rôle relais, sans ouvrir de port sur la box. Sur DSM 6, il s’installe en une ligne par le planificateur de tâches, avec une boucle qui le relance ; sur DSM 7, c’est un paquet avec un assistant à deux champs, une clé générée sur le NAS et un agent qui tourne sans droits d’administrateur.
Un cas concret : les vidéos d’un NAS, sans copie ni port ouvert
Un NAS de bureau garde des milliers de vidéos. Le but : les regarder depuis une télévision, par un serveur multimédia Jellyfin hébergé sur la plateforme.
La télévision appelle le Hub
L’application Jellyfin du boîtier ouvre une connexion HTTPS vers le proxy du Hub, avec un certificat émis par le Hub.
Jellyfin lit un montage
Les vidéos lui apparaissent comme un dossier en lecture seule, monté avec un cache disque.
Le montage passe par un relais
Le relais TCP du Hub emprunte le tunnel du minihub jusqu’au miniMiniHub posé sur le NAS.
Le NAS sert en local
L’agent atteint le service de fichiers du NAS, qui n’écoute que sur la machine elle-même.
Aucune copie, aucun port ouvert sur la box, aucun mot de passe publié : les secrets sont dans le coffre du Hub, et seule existe la connexion sortante du NAS. Mesuré le 2 novembre 2026 : premier octet en un quart de seconde, saut au milieu d’un film en une demi-seconde, de quoi lire trois ou quatre films en haute définition en même temps.
- ~13 Mo
Le binaire, sans dépendance - ~12 Mo
La mémoire en fonctionnement - 2 min
Pour revenir seul à la configuration précédente - 1 an
De registre des connexions sortantes
Ce qu’il apporte
Partout, sans rien installer autour
Un fichier, un service. Pas de Docker, pas de Java, pas de base à administrer.
Fermé par défaut
Sans permission, il ne fait rien ; une action inconnue attend un humain ; un relais refuse toute cible non déclarée.
Réparable sans SSH
Il revient seul à sa configuration précédente, et son gardien le met à jour par vagues.
Deux applications de la flotte font passer leurs appels sortants par ces antennes, grâce au pack egress : KEW et RssArchiver.
Quelle différence avec le minihub ?
Le minihub fait tourner des applications complètes, avec Docker et une base. Le miniMiniHub rend des services ciblés en un seul binaire, et se rattache à un minihub parent.
Peut-on le poser derrière un pare-feu strict ?
Oui : il n’ouvre que des connexions sortantes, et son parent peut l’écouter sur le port 443.
Comment est-il mis à jour ?
Par le gardien de la machine, sur manifeste signé, en commençant par une machine témoin.
Les autres agents de terrain
Le minihub est son parent ; le gardien le tient à jour.