Hodor : le reverse proxy ultra-simple pour protéger vos apps internes

On connaît tous le scénario. Vous venez de créer un outil interne, un dashboard de monitoring ou un environnement de staging, et vous voulez y ajouter une protection basique. Au lieu de passer par une vraie solution d’authentification, vous vous retrouvez vite coincé avec des bases de données utilisateurs, du hachage de mots de passe et des sessions à gérer. Tout ça pour un simple « personne extérieure ne doit pas voir ».

Hodor propose une approche radicalement plus légère : un reverse proxy qui protège votre application avec un seul mot de passe partagé.

Quand la simplicité devient une force

Le principe est minimaliste : une seule clé d’accès commune pour toute l’application. Pas d’utilisateurs à créer, pas de base de données, pas de OAuth. Un seul binaire, un mot de passe et une page de connexion. C’est tout.

Cette solution ne convient évidemment pas à une application publique. En revanche, pour un outil interne, un environnement de pré-production ou un projet d’équipe, elle évite le surdimensionnement classique des frameworks d’authentification.

Ce que Hodor ne contient pas

Sa force vient de ce qu’il élimine :

• Pas de table utilisateur ni de schéma à maintenir
• Pas d’intégration OAuth ni de gestion de tokens
• Pas de système de sessions complexe : juste un cookie d’authentification
• Un seul exécutable qui gère tout

Vous déployez Hodor en frontal de votre application, vous définissez le mot de passe et c’est terminé.

Les cas d’usage où Hodor brille

• Tableaux de bord internes et outils de monitoring
• Environnements de staging à protéger rapidement
• Démonstrations ou prototypes à montrer sans infrastructure d’authentification
• Petites équipes qui partagent déjà un mot de passe commun
• Services auto-hébergés où l’on veut ajouter une couche de protection sans complexité

Les limites à connaître

Avant d’adopter Hodor partout, il faut accepter ses compromis :

• Pas de traçabilité individuelle : tout le monde apparaît sous la même identité
• Pas de permissions granulaires : c’est tout ou rien
• Rotation du mot de passe collective : quand une personne quitte l’équipe, tout le monde doit changer le mot de passe
• Risque de diffusion du mot de passe via Slack ou par e-mail

Ces points ne posent problème que dans des contextes où l’on a réellement besoin d’un contrôle fin. Dans une petite équipe de confiance, le modèle reste parfaitement acceptable.

Fonctionnement concret

Hodor s’interpose entre les visiteurs et votre application :

1. Il intercepte la requête
2. Vérifie si un cookie d’authentification valide existe
3. Sinon, il affiche la page de connexion
4. Après validation du mot de passe, il pose le cookie
5. Les requêtes suivantes sont transmises directement à l’application

Rien de plus. Pas de stockage de sessions, pas de logique d’expiration compliquée.

Réflexion sur la sécurité

Un mot de passe unique inquiète souvent les équipes sécurité. Pourtant, le contexte change tout :

• Si vous n’aviez aucune protection, Hodor représente déjà une nette amélioration
• Si le mot de passe circulait déjà via Slack, Hodor formalise cette pratique
• Si vous avez besoin de logs et de permissions par utilisateur, tournez-vous vers une solution complète

Hodor protège contre l’accès occasionnel et les scans automatisés, pas contre des attaques ciblées. C’est la différence entre une porte fermée et une équipe de sécurité.

Déploiement

En tant que reverse proxy, Hodor s’intègre facilement :

• Déploiement sur votre réseau interne ou votre infrastructure privée
• Association obligatoire avec HTTPS pour chiffrer le mot de passe
• Compatible Docker, Kubernetes ou VM
• Possibilité de protéger plusieurs applications derrière la même instance

Chez NameOcean, on apprécie les outils qui font une chose bien. Hodor ne prétend pas remplacer une plateforme d’identité. Il remplit simplement et efficacement un besoin précis.

Philosophie

Hodor incarne une idée simple : adapter la solution à la taille réelle du problème. Toutes les applications n’ont pas besoin d’une authentification d’entreprise. Parfois, un outil léger qui résout 80 % des cas suffit largement.

Si vous cherchez à protéger rapidement un dashboard Grafana, un service interne ou un petit projet, Hodor mérite d’être testé. Il rappelle que la simplicité peut être une qualité, pas une limite.

Pour commencer

Le projet est disponible sur GitHub. La documentation est claire et le déploiement ne prend que quelques minutes. Si vous hésitiez à sécuriser vos outils internes à cause de la complexité, Hodor vous enlève cette excuse.