Client NexoPOS pour Windows

NexoPOS Client est une application de bureau légère qui offre un accès sécurisé à une installation NexoPOS exécutée sur un autre ordinateur du même réseau local.

L’ordinateur hébergeant NexoPOS exécute NexoPOS pour Windows en mode Réseau. Les autres ordinateurs utilisent NexoPOS Client pour détecter ce serveur, demander une approbation et ouvrir NexoPOS sans avoir à saisir manuellement une adresse IP ni à installer un certificat.

Le client NexoPOS n’inclut pas PHP, Nginx, MariaDB ni l’application NexoPOS elle-même. Ces services restent sur l’ordinateur serveur. Le client constitue une fenêtre sécurisée donnant accès à cette installation existante.

Le client peut également fonctionner sur le même ordinateur que NexoPOS pour Windows, bien que son objectif principal soit de connecter d’autres ordinateurs sur le réseau local.

Exigences

• NexoPOS pour Windows doit être exécuté en mode Réseau.
• L’accès réseau doit être activé sur le serveur.
• Le serveur doit disposer d’une licence Premium active pour approuver de nouveaux appareils.
• Les deux ordinateurs doivent être connectés au même réseau local IPv4 détectable.
• Le pare-feu Windows et le profil réseau doivent autoriser la découverte locale et le trafic de passerelle.
• Le Wi‑Fi invité, l’isolement des clients, le routage via VPN ou les politiques de réseau gérées peuvent empêcher la détection.

La première version de NexoPOS Client prend en charge Windows. Les autres plateformes nécessitent des versions dédiées ainsi qu’un stockage sécurisé des identifiants et une prise en charge du réseau propres à chaque plateforme.

Sécurité de la connexion

Tout le trafic client passe par la passerelle LAN HTTPS dédiée fournie par NexoPOS pour Windows.

Le client NexoPOS utilise plusieurs protections :

• Épinglage de certificat : le client n’accepte le certificat du serveur que lorsque sa clé publique correspond à l’empreinte (pin) reçue lors de la découverte et de l’appairage.
• Identifiants par appareil : chaque client approuvé reçoit des identifiants aléatoires différents.
• Stockage sécurisé : les identifiants sont chiffrés via Electron safeStorage, adossé à Windows DPAPI.
• Autorisation du processus principal : Les identifiants sont joints aux requêtes par le processus principal d’Electron et ne sont pas exposés à la page web NexoPOS.
• Session de navigateur isolée : chaque serveur associé reçoit une session Chromium persistante pour ses cookies et son état de navigateur.
• Le contenu isolé charge NexoPOS avec l’intégration Node.js désactivée, l’isolation du contexte activée et la mise en bac à sable du rendu activée.
• Navigation restreinte : les liens externes sans rapport s’ouvrent dans le navigateur système.

Le serveur stocke uniquement un hachage salé de chaque identifiant, ainsi que des métadonnées de périphérique de base. Il ne peut pas récupérer l’identifiant d’origine à partir de ce hachage.

Si le certificat du serveur change, mais conserve la même clé publique, les clients continuent de lui faire confiance. Réinitialiser la clé du serveur LAN modifie l’empreinte de clé publique, révoque les appariements existants et oblige les appareils à s’apparier à nouveau.

Domaines virtuels et sessions NexoPOS

NexoPOS s’appuie généralement sur un domaine virtuel configuré pour les cookies, Laravel Sanctum, les sessions et la protection CSRF. Charger l’application directement via une adresse IP de serveur peut rompre ces attentes.

Le client NexoPOS conserve les noms de domaine configurés de NexoPOS et du serveur d’impression. Un proxy local, géré par l’application, achemine ces domaines vers l’adresse du serveur détecté, de sorte que l’application distante continue de voir le nom d’hôte attendu. Les utilisateurs n’ont pas besoin de modifier manuellement le fichier hosts de Windows.