Le certificat

Vous n’en avez pas besoin pour utiliser le téléphone. Dès l’installation, sans aucune configuration, un joueur peut scanner le QR code dans Paramètres › Appareils liés pour transformer son vrai smartphone en téléphone de son personnage : messages, e-mails, contacts, City ID, garage, propriétés, tableau d’annonces, lieux sauvegardés. Tout fonctionne sur une simple connexion HTTP via le port que votre serveur a déjà d’ouvert.

Ce qu’apporte un certificat, c’est ce qu’un navigateur refuse d’accorder à une page non sécurisée :

	HTTP simple	HTTPS
Messages, e-mails, garage, tout le reste	oui	oui
Notifications avec la page fermée	non	oui
Le microphone, pour enregistrer des notes vocales	non	oui
L’installer comme une app sur Android, avec son icône	non	oui
Mention “Non sécurisé” dans la barre d’adresse	affichée	masquée
Le token de session	circule en clair	chiffré

Cette dernière ligne n’est pas qu’une question d’esthétique. En HTTP classique, une personne connectée au même réseau Wi-Fi que votre joueur peut intercepter sa session et lire son téléphone. Pour une ville de jeu de rôle, cela peut être un compromis acceptable ; encore faut-il que ce soit un choix délibéré et non une surprise.

Dans quelle situation vous trouvez-vous

Vous avez un nom de domaine pointé sur le serveur — laissez le téléphone obtenir son propre certificat

C’est la méthode la plus rapide, et elle ne nécessite aucun logiciel additionnel sur la machine. La ressource effectue la demande de certificat auprès de Let’s Encrypt, valide le challenge d’elle-même, sert le flux TLS et renouvelle le certificat automatiquement tant qu’elle fonctionne.

-- shared/server_config.lua  (server-only: this file is never sent to a client)
ServerConfig.Web = {
    Url = 'https://phone.yourserver.com/',
    Https = {
        Enabled = true,
        Names   = { 'phone.yourserver.com' },
        Contact = '[email protected]',
    },
}

Ensuite, une seule fois :

1. Faites pointer ce nom de domaine vers le serveur. Sur un VPS, c’est un simple enregistrement A. Vous n’avez pas de domaine à vous ? duckdns.org vous en fournit un gratuitement en une minute qui ne changera jamais.
2. Laissez passer les ports 443 et 80 à travers le pare-feu. Le port 80 n’est ouvert que pendant la demande du certificat, puis refermé aussitôt la réponse reçue — le journal de log signale ces deux étapes.

La commande phonehttps affiche l’état actuel du certificat. phonehttps check interroge le serveur de test de Let’s Encrypt pour savoir s’il parvient à communiquer avec votre machine, une démarche idéale à entreprendre si aucun certificat n’arrive : cela permet de distinguer un souci sur votre pare-feu d’un problème sur cette ressource.

Le renouvellement s’opère automatiquement lorsqu’il reste encore un tiers de durée de vie au certificat, avec une vérification toutes les six heures.

Si le serveur est hébergé à domicile, l’adresse IP change

Un fournisseur d’accès résidentiel modifie l’adresse IP quand bon lui semble, et dès que cela arrive, le nom de domaine pointe vers la box d’un inconnu : les smartphones liés ne peuvent plus joindre le serveur et le certificat ne peut plus être renouvelé. Cette ressource le détecte déjà d’elle-même — elle interroge sa propre adresse toutes les demi-heures pour le QR code — et sur un domaine DuckDNS, elle peut également corriger le tir :

-- shared/server_config.lua
DuckDNS = {
    Enabled = true,
    Domains = { 'yourname' },       -- the part in front of .duckdns.org
    Token   = '01d8b39f-...',      -- from your duckdns.org page
},

La ressource est prévenue dès que l’adresse change, ainsi qu’une fois par jour en l’absence de changement — ce battement de cœur sert également à rétablir la situation après une coupure Internet où l’adresse aurait changé sans pouvoir être signalée. Lorsque la mise à jour réussit, le journal le consigne sans déclencher d’alerte ; lorsqu’elle échoue, l’avertissement classique est envoyé, y compris vers le webhook Server.

Sur un VPS, l’adresse IP est fixe et rien de tout cela n’est nécessaire. Laissez Enabled = false.

Vous êtes derrière le proxy de connexion Cfx.re

Vous n’avez rien à faire. Si sv_listingHostOverride est configuré, le QR code est automatiquement généré sous la forme https://your.domain/mic_phone/web/, car ce proxy achemine l’intégralité de la racine vers votre serveur. C’est le scénario le plus simple et il est déjà pris en charge nativement.

Vous utilisez déjà un reverse proxy et préférez conserver cette configuration

Une ligne dans shared/config/web.lua :

Url = 'https://phone.yourserver.com/mic_phone/web/',

et un reverse proxy en amont qui gère le TLS et transfère le trafic vers le port de jeu. Avec Caddy, cela se résume à deux lignes dans un Caddyfile :

phone.yourserver.com {
    reverse_proxy 127.0.0.1:30120
}

Avec nginx, redirigez / vers 127.0.0.1:30120 et désactivez la mise en mémoire tampon (proxy_buffering off;), sous peine de bloquer le flux d’événements et de priver le téléphone de toute réception en temps réel.

Une configuration qui ne fonctionne pas : activer le nuage orange de Cloudflare sur un enregistrement DNS pointant directement vers le port 30120. Le proxy Cloudflare n’accepte qu’une liste restreinte de ports d’origine — 80, 8080, 8880, 2052, 2082, 2086, 2095 et 443, 2053, 2083, 2087, 2096, 8443 — et 30120 n’en fait pas partie. Vous devez intercaler votre propre proxy devant, comme expliqué ci-dessus.

Vous louez votre serveur chez un hébergeur FiveM

Vous ne pouvez rien installer sur la machine — mais ce n’est pas nécessaire : la première méthode présentée plus haut n’installe rien d’autre que cette ressource. Ce dont vous avez besoin de la part de votre hébergeur, ce sont deux ports dédiés, le 443 et le 80, ainsi qu’un nom de domaine pointé vers le serveur. De nombreux prestataires vous les accordent, tandis que certains partagent ces ports entre tous les clients de la machine et vous refuseront les deux. Demandez-leur l’accès à ces ports avant toute chose ; si la réponse est négative, faites pointer un domaine vers un tunnel Cloudflare nommé à la place.

Vous ne pouvez ouvrir aucun port — pas de domaine ou blocage par l’opérateur

Dans ce cas, utilisez un tunnel : tools/tunnel.ps1 lance un tunnel rapide Cloudflare (quick tunnel), écrit l’adresse obtenue dans la configuration et vous invite à redémarrer la ressource. Aucun port à ouvrir, aucun certificat à manipuler.

Gardez néanmoins à l’esprit ce que cela implique : un quick tunnel est éphémère par conception. L’adresse est générée aléatoirement et une nouvelle adresse est réattribuée à chaque redémarrage du tunnel — or, un navigateur associant une application installée, son token mémorisé et son abonnement push à l’adresse exacte d’origine, tous ces éléments doivent être reconfigurés à chaque fois. Cette solution est idéale pour tester. Pour tout environnement destiné à durer, faites pointer un nom de domaine vers un tunnel nommé, qui conserve son adresse — cela nécessite un compte Cloudflare avec un domaine rattaché.

Remarque sur le flux d’événements (event stream)

Le téléphone maintient une connexion persistante ouverte pour intercepter les messages dès leur arrivée, et il l’initialise avec une requête POST plutôt que le traditionnel GET de l’API EventSource. Deux raisons motivent ce choix, à retenir si vous placez un reverse proxy en amont :

• Un token présent dans une query string se retrouve consigné dans chaque journal de proxy traversé entre le téléphone et le serveur. Dans le corps d’une requête POST, ce n’est pas le cas.
• Un quick tunnel Cloudflare maintient un flux d’événements GET bloqué tant que le serveur ne clôture pas la connexion, alors qu’il laisse circuler un flux POST (cloudflared#1449). De nombreux proxys mettent également en mémoire tampon les flux GET par défaut.

Le serveur répond également aux requêtes GET sur les mêmes routes, pour les clients ne prenant en charge que l’API EventSource.