Remote accessAccès à distance

Private or public?Privé ou public ?

• Private (the default): only the devices of your home reach Tentacle — your phone, your TV, your computer, on the same Wi-Fi. Nothing comes in from the Internet.Privé (par défaut) : seuls les appareils de la maison joignent Tentacle — votre téléphone, votre TV, votre ordinateur, sur le même Wi-Fi. Rien n’entre depuis Internet.
• Public: your relatives reach it too, from their home or on 4G, through your public IP address (the address of your router on the Internet).Public : vos proches le joignent aussi, de chez eux ou en 4G, par votre adresse IP publique (l’adresse de votre box sur Internet).

The “Access from outside” switch decides. Off, nothing is published: Tentacle and Jellyfin only answer at home. On, the public address is given to your apps — and the router ports must be opened.C’est l’interrupteur « Accès depuis l’extérieur » qui décide. Coupé, rien n’est publié : Tentacle et Jellyfin ne répondent qu’à la maison. Allumé, l’adresse publique est donnée à vos applications — et il faut ouvrir les ports de la box.

http://192.168.1.20:3000/setup

Your public addressVotre adresse publique

Tentacle detects it and shows it, for example 203.0.113.24. It is the address your relatives will use: http://203.0.113.24:3000. If the detection fails, your router shows it in its interface (“WAN IP address” or “public IPv4”).Tentacle la détecte et l’affiche, par exemple 203.0.113.24. C’est l’adresse que vos proches utiliseront : http://203.0.113.24:3000. Si la détection échoue, votre box l’affiche dans son interface (« adresse IP WAN » ou « IPv4 publique »).

A reverse proxy? Only if you already have oneUn mandataire ? Seulement si vous en avez déjà un

A reverse proxy is a small program that receives visits from the Internet and passes them to Tentacle, adding HTTPS — the padlock of the browser. Caddy, Nginx Proxy Manager and Traefik are the usual ones.Un mandataire (reverse proxy) est un petit programme qui reçoit les visites venues d’Internet et les transmet à Tentacle, en ajoutant le HTTPS — le cadenas du navigateur. Caddy, Nginx Proxy Manager et Traefik sont les plus courants.

If you have one, the wizard (and Administration › Remote access) writes the exact block to add, with your domains and this server’s address. For Caddy, it looks like this:Si vous en avez un, l’assistant (et Administration › Accès à distance) écrit le bloc exact à ajouter, avec vos domaines et l’adresse de ce serveur. Pour Caddy, cela ressemble à ceci :

tentacle.example.com {
  reverse_proxy 192.168.1.20:3000
}
jellyfin.example.com {
  reverse_proxy 192.168.1.20:8096 {
    header_down Access-Control-Allow-Origin "https://tentacle.example.com"
    header_down Access-Control-Allow-Credentials "true"
    header_down Access-Control-Allow-Methods "GET, POST, OPTIONS, DELETE, PUT, PATCH"
    header_down Access-Control-Allow-Headers "Authorization, X-Emby-Token, X-Emby-Authorization, X-Requested-With, Content-Type, Range, If-Modified-Since, Cache-Control"
    header_down Access-Control-Expose-Headers "Content-Length, Content-Range, Date, Server"
  }
}

• Each domain needs a DNS A record (and AAAA with IPv6) pointing to your public address.Chaque domaine a besoin d’un enregistrement DNS A (et AAAA avec l’IPv6) vers votre adresse publique.
• Nginx Proxy Manager: one Proxy Host per domain, Websockets Support on, a Let’s Encrypt certificate, Force SSL.Nginx Proxy Manager : un Proxy Host par domaine, Websockets Support activé, un certificat Let’s Encrypt, Force SSL.
• Cloudflare: keep your domains on “DNS only” (grey cloud). Its proxy and its Tunnel are not meant for video under its terms.Cloudflare : laissez vos domaines en « DNS only » (nuage gris). Son proxy et son Tunnel ne sont pas faits pour la vidéo selon ses conditions.

No proxy means no HTTPS: what travels over the Internet is not encrypted. It works, but for later, a reverse proxy — or a private network like Tailscale (see CGNAT below) — is better.Sans mandataire, pas de HTTPS : ce qui passe par Internet n’est pas chiffré. Ça marche, mais pour plus tard, un mandataire — ou un réseau privé comme Tailscale (voir CGNAT plus bas) — est préférable.

The ports to open on your routerLes ports à ouvrir sur la box

Your router receives the visits from the Internet: it must forward them to this server. In its interface, create one rule per line of the table the wizard shows.Votre box reçoit les visites d’Internet : elle doit les rediriger vers ce serveur. Dans son interface, créez une règle par ligne du tableau que montre l’assistant.

With a reverse proxy, it is 443 and 80 instead, to the proxy’s machine.Avec un mandataire, ce sont plutôt 443 et 80, vers la machine du mandataire.

Your router’s guideLe guide de votre box

The wizard links to the official guides of Swisscom, Sunrise, Salt, Free, Orange and Bouygues Telecom. For another router, search its help for “port forwarding”. SFR: search “redirection de ports” in its help pages.L’assistant renvoie aux guides officiels de Swisscom, Sunrise, Salt, Free, Orange et Bouygues Telecom. Pour une autre box, cherchez « redirection de ports » dans son aide. SFR : cherchez « redirection de ports » dans son assistance.

IPv6: nothing to forward (every device has its own address), but the router’s firewall often blocks incoming traffic — allow the port for this server.IPv6 : rien à rediriger (chaque appareil a sa propre adresse), mais le pare-feu de la box bloque souvent l’entrant — autorisez le port pour ce serveur.

Direct play away from home (optional)La lecture directe hors de la maison (facultatif)

At home, your apps already read videos directly from Jellyfin. Away from home, you choose:À la maison, vos applications lisent déjà les vidéos directement chez Jellyfin. Hors de la maison, vous choisissez :

Jellyfin’s public address is optional: leave it empty and keep direct play off — everything still works away from home.L’adresse publique de Jellyfin est facultative : laissez-la vide et gardez la lecture directe coupée — tout marche quand même hors de la maison.

Check from the InternetVérifier depuis Internet

Once the ports are open, Run the test asks an external service to reach your server the way a phone on 4G would. It only tests the address the request comes from, and says, for each service: reachable over HTTPS, exposed over HTTP, or unreachable — with the likely cause in plain words.Une fois les ports ouverts, Lancer le test demande à un service externe de joindre votre serveur comme le ferait un téléphone en 4G. Il ne teste que l’adresse d’où vient la demande, et dit, pour chaque service : joignable en HTTPS, exposé en HTTP, ou injoignable — avec la cause probable en mots simples.

Test by hand at any time: on a phone, turn Wi-Fi off (4G or 5G), and open your public address.Testez à la main quand vous voulez : sur un téléphone, coupez le Wi-Fi (4G ou 5G), et ouvrez votre adresse publique.

CGNAT: when nothing opensCGNAT : quand rien ne s’ouvre

Some providers share one public IPv4 address between several customers (CGNAT). Then no forwarding can work: the connection stops at the provider.Certains opérateurs partagent une même adresse IPv4 publique entre plusieurs abonnés (CGNAT). Alors aucune redirection ne peut marcher : la connexion s’arrête chez l’opérateur.

How to tell: compare the WAN address shown by your router with the public address Tentacle detects. Different — or between 100.64.x.x and 100.127.x.x — means shared. The remote access page compares them for you.Comment le savoir : comparez l’adresse WAN affichée par la box à l’adresse publique que détecte Tentacle. Différentes — ou entre 100.64.x.x et 100.127.x.x — c’est un partage. La page d’accès à distance les compare pour vous.

• Ask your provider for a public IPv4 (often free or a cheap option: Free calls it “IPv4 fixe full-stack”, Sunrise switches on request, Salt sells it as an option).Demandez une IPv4 publique à l’opérateur (souvent gratuite ou en option bon marché : Free l’appelle « IPv4 fixe full-stack », Sunrise la passe sur demande, Salt la vend en option).
• Or plan B: Tailscale, a private encrypted network between your devices, through any router. Each device needs Tailscale and your account; Tentacle does not integrate it.Ou le plan B : Tailscale, un réseau privé chiffré entre vos appareils, à travers n’importe quelle box. Chaque appareil doit avoir Tailscale et votre compte ; Tentacle ne l’intègre pas.

Security, in shortLa sécurité, en bref

• Nothing is exposed by default: as long as “Access from outside” is off, nothing is published.Rien n’est exposé par défaut : tant que « Accès depuis l’extérieur » est coupé, rien n’est publié.
• Long, unique passwords for every account — the administrator first.Des mots de passe longs et uniques pour chaque compte — l’administrateur d’abord.
• Keep Tentacle and Jellyfin up to date.Gardez Tentacle et Jellyfin à jour.
• HTTPS recommended as soon as people connect from outside.HTTPS conseillé dès que des gens se connectent de l’extérieur.
• Docker Desktop (Mac, Windows) and colima hide visitors’ real addresses: for access from the Internet, prefer a Linux machine or a NAS.Docker Desktop (Mac, Windows) et colima cachent la vraie adresse des visiteurs : pour un accès depuis Internet, préférez une machine Linux ou un NAS.

Questions you might haveLes questions qu’on se pose