tuxgyverandClaude Opus 5
142eff5916
Le module de thème publie deux palettes derrière les mêmes noms : `apply()` rebranche `BG`, `TEXT`, `TAB_CSS` sur celle qui est choisie au lancement, et les cent soixante-dix appels répartis dans l'interface continuent de lire `theme.BG` sans rien savoir du thème actif. Aucun widget n'a eu à changer — c'est ce que permettait le passage systématique par `theme.X` à l'usage. Le choix est lu une seule fois, au démarrage. Les feuilles de style sont posées dans les constructeurs des fenêtres ; les repeindre à chaud supposerait de reconstruire celle qui porte l'état du tunnel, ses fils d'exécution et ses minuteries. Le message de confirmation annonce donc la prise d'effet au prochain lancement plutôt que de laisser croire le contraire. Le thème sombre reste le défaut, et rend exactement les mêmes feuilles de style qu'avant. Un thème clair n'est pas une inversion, et trois familles de valeurs vivaient en dur là où elles étaient jusqu'ici invisibles. Dans la feuille de style commune, les variantes d'état des champs et des boutons étaient des voiles blancs translucides — c'est-à-dire rien du tout sur un fond clair. Le texte posé sur un aplat saturé — bouton plein, onglet actif, bandeau, sélection — portait `TEXT`, qui devient presque noir en thème clair et disparaîtrait sur l'accent : un jeton distinct le dit, blanc dans les deux thèmes. Enfin le graphe de bande passante peignait son fond en dur, soit un panneau sombre au milieu d'une page claire ; ses sept teintes sont devenues des jetons, comme quatre couleurs de survol de la fenêtre principale. Deux endroits figeaient par ailleurs le thème au chargement de leur module et auraient gardé les teintes sombres quel que soit le réglage : la feuille de style de la fenêtre d'historique, bâtie au niveau du module, et la table état → couleur du diagnostic, évaluée comme attribut de classe. La première devient une fonction, la seconde ne retient que la puce et demande la couleur au thème au moment de l'affichage. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
🛡️ WGSecure (WGS)
🚀 v0.12.1 · 🐍 · 🪟🐧 · 🔐 Accès validé par le serveur · 🛡️ WireGuard
WGSecure est une interface graphique multiplateforme (Windows & Linux) pour gérer une connexion WireGuard dont l'accès aux ressources distantes est ouvert par un code à 6 chiffres validé par le serveur.
✨ Fonctionnalités
| # | Fonctionnalité | Détail |
|---|---|---|
| 🖥️ | Interface systray | Icône bouclier dans la barre de notification, connexion en un clic |
| 👤 | Mode User (défaut) | Connexion / déconnexion WireGuard, statut RX/TX en temps réel |
| 📊 | Graphique bande passante | Courbes RX/TX en direct sur les 30 dernières secondes |
| 📋 | Journal d'événements | Horodatage de chaque connexion, déconnexion, erreur |
| 🕘 | Historique des sessions | Durée, données transférées, serveur par session |
| ⚙️ | Mode Admin | Configuration complète, protégé par mot de passe |
| 🔑 | Génération de clés | Paire Curve25519 native (sans dépendance au binaire wg) |
| 👤 | Multi-profils | Sauvegarde / bascule entre profils, import/export .conf |
| 🛡️ | Configuration WireGuard | Serveur, port UDP, DNS, IP client, keepalive |
| 🔐 | Code d'accès serveur | Le tunnel monte en quarantaine ; le serveur ouvre l'accès après validation du code |
| 🔍 | Test DNS leak | Vérifie que le DNS passe bien par le tunnel |
| 🏓 | Ping en temps réel | Badge de latence dans l'interface principale |
| 🔄 | Auto-reconnexion | Surveillance et reconnexion automatique si le tunnel tombe — activée par défaut (15 s) |
| 📡 | Test de connexion | Handshake WireGuard réel, sans monter le tunnel, avec détection du filtrage sur port source |
| 🚀 | Démarrage automatique | Lancement au démarrage du système — activé par défaut |
| 1️⃣ | Instance unique | Un second lancement réveille l'instance déjà active plutôt que d'en ouvrir une seconde |
| 🪟🐧 | Cross-platform | Windows 10+ et Linux (wg-quick) |
📋 Prérequis
🐧 Linux
sudo apt install wireguard-tools # Debian/Ubuntu
sudo dnf install wireguard-tools # Fedora
🪟 Windows
- WireGuard for Windows installé
🐍 Python
Python >= 3.11
📦 Installation
git clone <repo>
cd WGSecure
pip install -r requirements.txt
🚀 Utilisation
Mode User (par défaut)
python main.py
# ou via Makefile :
make run
⚙️ Mode Administrateur (configuration)
python main.py --admin
# ou via Makefile :
make run-admin
Sans systray
python main.py --no-tray
🔧 Makefile
| Commande | Description |
|---|---|
make install |
Installe les dépendances Python |
make linux |
Compile un binaire Linux autonome (PyInstaller) |
make windows |
Compile un binaire Windows via Wine |
make release |
Binaire Linux renommé avec la version |
make install-gnome |
Installe dans le menu GNOME (~/.local/) |
make uninstall-gnome |
Désinstalle du menu GNOME |
make reset-password |
Supprime le mot de passe administrateur |
make run |
Lance l'application |
make run-admin |
Lance en mode administrateur |
make clean |
Supprime les artefacts de build |
🗺️ Workflow recommandé
- 🚀 Lancer
python main.py --admin - 🛡️ Onglet WireGuard : renseigner l'adresse, le port et la clé publique du serveur
- 🔑 Onglet Clés : générer une paire de clés → copier la clé publique sur le serveur
- 🔐 Onglet WireGuard : renseigner l'identifiant VPN connu du serveur (le QR code TOTP est délivré par le serveur, pas par ce client)
- 🔒 Onglet Sécurité : définir un mot de passe pour l'accès admin
- ✅ Enregistrer → quitter → lancer
python main.pyen mode user
🐧 Élévation de privilèges Linux
wg-quick, la lecture de l'état du tunnel (wg show) et le nettoyage réseau
(interface orpheline, DNS) nécessitent les droits root. WGSecure tente dans
l'ordre :
- sudo -n — silencieux, fonctionne si une règle NOPASSWD est en place (voir ci-dessous)
- sudo -A avec programme askpass graphique (
ssh-askpass, etc.) - pkexec (polkit) — dialogue graphique GNOME/KDE ; nécessite un agent d'authentification actif, absent d'un simple terminal (SSH, tmux)
Le sondage périodique de l'état du tunnel (toutes les 3 s) ne tente que l'étape 1 : sans règle NOPASSWD, aucun dialogue n'apparaît, le handshake et les compteurs RX/TX restent simplement vides.
Supprimer la demande de mot de passe (recommandé)
make setup-sudoers
Invite le mot de passe une fois dans le terminal (via sudo, plus fiable que
pkexec hors session graphique), puis installe une règle NOPASSWD limitée à
wg-quick, wg, et au nettoyage d'une interface/DNS orpheline — jamais un
accès root généralisé. Idempotent : une relance ne redemande le mot de passe
que si le contenu a changé. make check-privileges affiche l'état courant.
Pour le faire à la main :
sudo visudo -f /etc/sudoers.d/wgsecure
<utilisateur> ALL=(ALL) NOPASSWD: /usr/bin/wg-quick
<utilisateur> ALL=(ALL) NOPASSWD: /usr/bin/wg
<utilisateur> ALL=(ALL) NOPASSWD: /usr/sbin/ip link delete dev *
<utilisateur> ALL=(ALL) NOPASSWD: /usr/sbin/resolvconf -d *
<utilisateur> ALL=(ALL) NOPASSWD: /usr/bin/resolvectl revert *
<utilisateur> ALL=(ALL) NOPASSWD: /usr/bin/resolvectl dns *
<utilisateur> ALL=(ALL) NOPASSWD: /usr/bin/resolvectl domain *
<utilisateur> ALL=(ALL) NOPASSWD: /usr/bin/install -D -m 600 -o root -g root * /etc/wireguard/*
Réinitialiser le mot de passe admin oublié
make reset-password
🏗️ Architecture
WGSecure/
├── main.py # 🚀 Point d'entrée
├── requirements.txt
├── Makefile
├── app/
│ ├── __init__.py # Version
│ ├── app_info.py # ℹ️ Contenu de la page « À propos »
│ ├── core/
│ │ ├── config.py # 💾 Configuration JSON persistante + bcrypt
│ │ ├── wireguard.py # 🛡️ Clés, tunnel, statut, DNS leak
│ │ ├── wg_handshake.py # 🤝 Sonde de handshake réel, sans monter le tunnel
│ │ ├── single_instance.py # 1️⃣ Garde une seule instance active
│ │ ├── history.py # 🕘 Historique des sessions (sessions.json)
│ │ ├── log.py # 📋 Journal d'événements (events.json)
│ │ └── vpn_session.py # 🔐 Validation du code auprès du serveur
│ ├── ui/
│ │ ├── icons.py # 🎨 Icônes bouclier générées par QPainter
│ │ ├── main_window.py # 👤 Fenêtre principale (mode user)
│ │ ├── admin_window.py # ⚙️ Panneau admin (onglets, thème sombre)
│ │ ├── bw_graph.py # 📊 Widget graphique bande passante
│ │ ├── history_dialog.py # 🕘 Dialogue historique des sessions
│ │ ├── access_code_dialog.py # 🔐 Saisie du code d'accès
│ │ └── systray.py # 🖥️ Icône systray + menu contextuel
│ └── utils/
│ └── platform_utils.py # 🔧 Détection OS, élévation de privilèges
🔒 Sécurité
| Élément | Protection |
|---|---|
| 🔑 Mot de passe admin | bcrypt (rounds=12) + sel intégré — migration transparente depuis SHA-256 |
| 🗝️ Clé privée WireGuard | ~/.wgsecure/config.json (Linux) / %APPDATA%\WGSecure\ (Windows) |
| 🔐 Secret TOTP | Jamais sur le poste client — détenu par le serveur, qui seul valide le code et ouvre l'accès réseau |
📄 Fichier .conf WireGuard |
Permissions 0600 (lecture propriétaire uniquement) |
⚠️ Recommandation : chiffrez votre disque pour protéger le fichier de configuration.
👤 Auteur
Développé par Johnny — JT-Tools
Version : 