--- title: Gérer les tunnels dans la Console url: https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/console description: Créez des tunnels, enregistrez des certificats d'autorité de certification, récupérez le jeton de tunnel et attachez des serveurs MCP tunnelisés à des agents depuis la Claude Console. --- Les « MCP tunnels » (tunnels MCP) sont en « research preview » (aperçu de recherche). [Demandez l'accès](https://claude.com/form/mcp-tunnels) pour les essayer. Cette page couvre la partie Console d'un déploiement de tunnels MCP : la création d'un tunnel, l'enregistrement de votre certificat d'autorité de certification (CA), la récupération du jeton de tunnel et l'attachement des [serveurs MCP en amont](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/concepts#components) à un agent. [Déployer des tunnels MCP avec Helm](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/deploy-helm) et [Déployer des tunnels MCP avec Docker Compose](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/deploy-compose) couvrent l'exécution de la [pile de tunnel](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/concepts#components) (« tunnel stack ») à l'intérieur de votre réseau. ## Prérequis * **Un ou plusieurs serveurs MCP** fonctionnant dans votre réseau privé. Le tunnel achemine le trafic vers eux ; il ne les héberge pas. Consultez [Serveurs MCP distants](https://platform.claude.com/docs/fr/agents-and-tools/remote-mcp-servers) pour des exemples que vous pouvez déployer. * **Un rôle Console disposant de l'autorisation Manage tunnels**, afin de pouvoir créer et archiver des tunnels, effectuer la rotation du jeton et gérer les certificats. Les administrateurs et propriétaires de l'organisation en disposent par défaut ; les rôles personnalisés et les attributions par compte peuvent également l'inclure. Les rôles qui n'en disposent pas ont un accès en lecture seule à la page **MCP tunnels** et aux détails des tunnels. * **Un moyen pour votre pile de s'authentifier auprès de l'API Tunnels.** Choisissez l'une des options suivantes : * **[Accès programmatique](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/concepts#credential-provisioning) (recommandé).** Configurez la [Workload Identity Federation](https://platform.claude.com/docs/fr/manage-claude/workload-identity-federation) (fédération d'identité de charge de travail) lors de la création du tunnel afin que votre pile émette des jetons API de courte durée à partir de votre fournisseur d'identité, récupère le jeton de tunnel, et génère et enregistre automatiquement un certificat CA. Nécessite l'autorisation de gérer les règles de fédération, un émetteur OIDC enregistré et une règle de fédération avec la portée `workspace:manage_tunnels`. * **[Manuel](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/concepts#credential-provisioning).** Ignorez l'accès programmatique. Après avoir créé le tunnel, [obtenez le jeton de tunnel](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/console#get-the-connection-details), générez et [enregistrez un certificat CA](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate) vous-même, puis fournissez le jeton et votre certificat serveur à votre pile de tunnel sous forme de secrets. ## Créer un tunnel Dans la Claude Console, accédez à la page [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). Les tunnels sont rattachés à un espace de travail ; le nouveau tunnel appartient à l'espace de travail actuellement sélectionné dans la Console. Sélectionnez l'espace de travail souhaité dans le sélecteur d'espace de travail de la barre latérale. Cliquez sur **New tunnel** et saisissez un nom dans la boîte de dialogue **Create tunnel**. Le nom est obligatoire et identifie le tunnel dans la liste, sur la page de détails et dans le sélecteur de serveurs MCP de l'agent. Un domaine de la forme `abcd1234.tunnel.anthropic.com` est attribué automatiquement. Si votre rôle peut gérer les règles de fédération, un bouton bascule **Set up programmatic access** apparaît (désactivé par défaut). Sinon, la Console affiche un avis à sa place et votre pile de tunnel utilise le flux manuel à la place. Le reste du flux de création est identique dans les deux cas. L'accès programmatique repose sur la [Workload Identity Federation](https://platform.claude.com/docs/fr/manage-claude/workload-identity-federation) ; lisez d'abord cette page si les émetteurs de fédération, les règles et les comptes de service ne vous sont pas familiers. Pour activer le bouton bascule, vous avez besoin de : 1. **Un émetteur OIDC enregistré** pour le fournisseur d'identité à partir duquel votre pile présente des jetons (comme un cluster Kubernetes, AWS IAM, Google Cloud ou GitHub Actions). Enregistrez-en un dans l'onglet **Issuers** de la page [Workload identity](https://platform.claude.com/settings/workload-identity-federation) (`platform.claude.com/settings/workload-identity-federation`) de la Claude Console si votre organisation n'en possède pas. 2. **Une règle de fédération avec la portée `workspace:manage_tunnels`.** L'activation du bouton bascule révèle un sélecteur **Federation rule**. Choisissez une règle existante disposant de cette portée, ou cliquez sur **Create federation rule** pour en créer une directement. 3. **Le compte de service de la règle ajouté à cet espace de travail.** L'API Tunnels effectue l'autorisation en fonction des appartenances du compte de service aux espaces de travail. Si vous créez le tunnel dans un espace de travail autre que celui par défaut de l'organisation, [ajoutez le compte de service à cet espace de travail](https://platform.claude.com/docs/fr/manage-claude/workspaces#role-inheritance) et transmettez l'ID de l'espace de travail au moment du déploiement (`api.wif.workspaceId` pour Helm, `ANTHROPIC_WORKSPACE_ID` pour Compose). Ignorer cette étape est entièrement pris en charge ; les deux guides de déploiement comportent un onglet **Without programmatic access**. Cliquez sur **Create tunnel**. La Console provisionne le tunnel et ouvre la page de détails. Les deux parcours de déploiement nécessitent : * L'**ID du tunnel** (`tnl_...`), affiché sur la page de détails du tunnel. * Le **domaine du tunnel** (`abcd1234.tunnel.anthropic.com`), affiché sur la page de détails du tunnel. Utilisé comme `tunnel_domain` du proxy et dans le SAN du certificat serveur. Ce dont vous avez besoin d'autre dépend du [mode de provisionnement des identifiants](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/concepts#credential-provisioning) : | Avec accès programmatique | Sans accès programmatique | | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | L'**ID de la règle de fédération** (`fdrl_...`) de la règle que vous avez sélectionnée. La règle est définie au niveau de l'organisation et n'est pas stockée sur le tunnel ; vous la trouverez dans l'onglet **Rules** de la page [Workload identity](https://platform.claude.com/settings/workload-identity-federation?tab=rules) (`platform.claude.com/settings/workload-identity-federation?tab=rules`) de la Claude Console. | Le **jeton de tunnel**, révélé à l'aide de l'icône en forme d'œil à côté de **Token** sur la page de détails. Traitez-le comme un secret. Consultez [Obtenir les détails de connexion](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/console#get-the-connection-details). | | L'**ID de l'organisation** (un UUID), affiché sur la page [Organization](https://platform.claude.com/settings/organization) (`platform.claude.com/settings/organization`) de la Claude Console. | Un **certificat CA** que vous générez et [enregistrez sur le tunnel](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/console#add-a-ca-certificate). | Avec l'accès programmatique, votre pile récupère le jeton de tunnel via l'API Tunnels, génère localement la CA et le certificat serveur (la clé privée ne quitte jamais votre environnement) et n'enregistre auprès d'Anthropic que le certificat public de la CA. Vous restez responsable de la sécurisation des clés privées et du renouvellement du certificat serveur avant son expiration. Votre organisation peut avoir jusqu'à 10 tunnels actifs. La création d'un tunnel n'établit aucune connectivité ; celle-ci s'établit une fois que votre pile se connecte avec le jeton de tunnel et qu'un certificat CA est enregistré. ## Obtenir les détails de connexion Ouvrez le tunnel. La page de détails affiche une section **Connection** avec le domaine et le jeton, ainsi qu'une section **Certificates**. | Champ | Description | | ---------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | **Domain** | Copiez la valeur `abcd1234.tunnel.anthropic.com` attribuée. Les routes de votre proxy sont des sous-domaines de ce domaine. | | **Token** | Cliquez sur l'icône en forme d'œil (**Show token**) pour récupérer le jeton de tunnel, puis utilisez l'icône de copie pour le copier dans le magasin de secrets de votre pile de tunnel. Cliquez sur **Rotate token** pour invalider le jeton actuel et en émettre un nouveau. | Chaque révélation et chaque rotation sont enregistrées dans le journal d'activité de la [Compliance API](https://platform.claude.com/docs/fr/manage-claude/compliance-api) de votre organisation. La rotation ne coupe pas les connexions cloudflared déjà établies, vous pouvez donc effectuer la rotation, redéployer avec la nouvelle valeur et laisser les anciennes connexions se vider. ## Ajouter un certificat CA Anthropic vérifie le [TLS interne](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/concepts#components) (« inner TLS ») vers votre [proxy](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/concepts#components) par rapport aux certificats CA que vous enregistrez sur le tunnel. Un tunnel sans certificat actif ne peut pas accepter de connexions et n'apparaît pas dans le sélecteur de serveurs MCP de l'agent tant qu'aucun certificat n'est enregistré. Sur la page de détails du tunnel, faites défiler jusqu'à la section **Certificates** et cliquez sur **Add certificate**. Cliquez sur **Choose file** pour sélectionner un fichier `.pem`, `.crt` ou `.cer`, faites glisser le fichier sur la zone de texte, ou collez directement le bloc PEM. La fenêtre modale rejette tout élément de clé privée ainsi que tout contenu qui n'est pas un bloc `-----BEGIN CERTIFICATE-----`. Le fichier doit avoir une taille de 8 ko ou moins. Cliquez sur **Add certificate**. L'empreinte et la date d'expiration apparaissent dans la liste des certificats, et le compteur d'emplacements dans l'en-tête de la section s'incrémente. Un tunnel contient jusqu'à deux certificats actifs afin que vous puissiez effectuer une rotation sans interruption de service : enregistrez le nouveau certificat à côté de l'ancien, redéployez votre proxy avec la nouvelle paire de clés, confirmez que le trafic circule, puis cliquez sur **Revoke** sur la ligne de l'ancien certificat. Les certificats révoqués restent visibles dans la liste avec un badge **Revoked**. ## Déployer la pile de tunnel Le tunnel existe dans la Console, mais aucun trafic ne circule tant que la pile de tunnel n'est pas en cours d'exécution à l'intérieur de votre réseau et connectée avec le jeton de tunnel. Suivez l'un des guides de déploiement : Exécutez la pile de tunnel sur un hôte unique. Flux avec accès programmatique et flux manuel. Exécutez la pile de tunnel sur un cluster Kubernetes. Flux avec accès programmatique et flux manuel. ## Utiliser le tunnel dans un agent Une fois que votre pile est en cours d'exécution et qu'un ou plusieurs serveurs MCP sont configurés, attachez un serveur MCP en amont à une session Managed Agent. Pour appeler les mêmes serveurs depuis l'API Messages à la place, consultez [Utiliser les serveurs MCP tunnelisés](https://platform.claude.com/docs/fr/agents-and-tools/mcp-tunnels/overview#use-the-tunneled-mcp-servers). Le sélecteur n'affiche que les tunnels disposant d'au moins un certificat actif. Un tunnel qui affiche encore **Needs certificate** dans la liste **MCP tunnels** n'apparaît pas dans la liste déroulante ; enregistrez d'abord un certificat CA. Le sélecteur est également rattaché à un espace de travail : il répertorie les tunnels du même espace de travail que la session, et non ceux des autres espaces de travail. Dans la Claude Console, accédez à la page [Sessions](https://platform.claude.com/sessions) (`platform.claude.com/sessions`) et cliquez sur **Create session**. Dans le sélecteur d'agent, choisissez **Create new agent** afin de pouvoir modifier directement la liste des serveurs MCP. Cliquez sur **+ MCP Server** et ouvrez la liste déroulante. Les tunnels créés dans l'espace de travail actuel apparaissent en haut de la liste, au-dessus du catalogue public de connecteurs. Sélectionnez le tunnel qui se trouve devant le serveur que vous souhaitez atteindre. La carte affiche deux champs facultatifs : **Subdomain** (préfixé au domaine du tunnel) et **Path** (ajouté après celui-ci). Remplissez l'un ou les deux, selon la façon dont les routes de votre proxy sont configurées. La ligne **Resolves to** affiche l'URL complète du serveur MCP auquel l'agent se connecte. Le tunnel transporte le trafic ; il ne s'authentifie pas auprès du serveur MCP en amont. Configurez l'authentification OAuth ou par jeton porteur (bearer) sur le serveur MCP de la même manière que pour tout autre serveur MCP. ## Archiver un tunnel L'archivage empêche immédiatement le tunnel d'accepter des connexions et est définitif. Dans la Claude Console, accédez à la page [MCP tunnels](https://platform.claude.com/settings/workspaces/default/mcp-tunnels) (`platform.claude.com/settings/workspaces/default/mcp-tunnels`). Dans le sélecteur d'espace de travail de la barre latérale, sélectionnez l'espace de travail qui contient le tunnel. Ouvrez le menu de la ligne du tunnel et choisissez **Archive**. Les tunnels archivés restent visibles lorsque vous filtrez la liste par **Archived** ou **All**. ## Étapes suivantes Installez sur un cluster Kubernetes à l'aide du chart Helm d'Anthropic. Conseils de durcissement, rotation des identifiants et réponse aux violations.