Documentation Xytherion

Xytherion est une plateforme de monitoring de serveurs conçue pour ceux qui refusent de confier leurs données d'infrastructure à un tiers. Elle collecte, analyse et visualise l'état de vos machines en temps réel — CPU, mémoire, disque, réseau, processus, ports, connexions — sans jamais sortir de votre réseau local.

Pas de compte à créer, pas d'abonnement, pas de données qui partent vers le cloud. Ce qui se passe sur vos serveurs reste sur vos serveurs.

Ce que Xytherion surveille

• ✓CPU — Charge par cœur, pourcentage global, tendance
• ✓Mémoire — RAM, cache, swap, pourcentage d'utilisation
• ✓Disque — Espace utilisé, vitesse de lecture/écriture, IOPS
• ✓Réseau — Bande passante montante/descendante en Mo/s
• ✓Processus — Top CPU/RAM, anomalies comportementales
• ✓Ports — Tous les ports en écoute, classification risque
• ✓Connexions TCP — Connexions établies en temps réel
• ✓SSH — Historique des dernières connexions entrantes
• ✓Pare-feu — macOS (pf, pare-feu applicatif) · Linux (ufw, firewalld, nftables, iptables)
• ✓HTTP — Latence, statut, expiration SSL des sites surveillés
• ✓Historique — Moyenne par minute conservée 7 jours, même après un redémarrage

La plupart des outils de monitoring modernes fonctionnent selon le même schéma : vos métriques sont envoyées vers des serveurs distants, agrégées dans une base de données centrale, puis renvoyées vers votre navigateur via une API. Vous ne contrôlez pas où vos données vont, ni combien de temps elles sont conservées.

Xytherion prend le chemin inverse. L'agent tourne directement sur la machine à surveiller. Le dashboard s'y connecte en direct. Aucun intermédiaire. C'est le modèle de Zabbix ou Prometheus, mais sans base de données à déployer, sans YAML de 300 lignes, sans conteneurs.

Le système repose sur deux composants distincts qui communiquent directement sur votre réseau local.

L'agent (xytherion)

Un binaire Go compilé statiquement qui tourne sur chaque machine à surveiller. Il collecte les métriques toutes les secondes via gopsutil, les pousse dans un ring buffer en mémoire (3 600 points = 1 heure), évalue les alertes et diffuse tout via Server-Sent Events sur le port 9001.

Le dashboard (intégré à l'agent)

L'interface web est embarquée dans le binaire de l'agent et servie sur http://localhost:9001 — rien d'autre à installer. Elle reçoit les métriques en temps réel via SSE, affiche les 2 dernières minutes en direct, les courbes sur 7 jours, et peut suivre jusqu'à 2 serveurs depuis un seul onglet en plan Free.

Découverte automatique du réseau

Les agents s'annoncent mutuellement par UDP broadcast sur le port 9002. Dès qu'un nouvel agent démarre sur votre réseau local, il apparaît automatiquement dans l'onglet Réseau sans aucune configuration.

Xytherion intègre sept technologies propriétaires qui n'existent dans aucun autre outil de monitoring open source. Elles ont été conçues pour répondre à des problèmes concrets rencontrés lors de la gestion d'infrastructure en production.

L'agent se configure entièrement par flags CLI. Aucun fichier de configuration requis.

Exemples

# Agent standardxytherion # Port personnalisé, collecte toutes les 2 secondesxytherion --port 9002 --interval 2s # Afficher la versionxytherion --version

Variables d'environnement

Accès à distance & jeton

Le dashboard s'ouvre sur http://localhost:9001. Par sécurité, sans jeton, l'agent n'écoute que sur la machine elle-même (127.0.0.1 et ::1) et ne s'annonce pas sur le réseau : personne d'autre ne peut lire vos métriques.

Pour consulter un serveur depuis une autre machine, définissez un jeton. Le script d'installation le fait automatiquement pour un service Linux (il l'affiche une fois et le range dans /etc/xytherion/agent.env). Ouvrez ensuite http://IP-du-serveur:9001 et collez le jeton dans « Jeton d'accès ».

# Lancer l'agent avec un jeton (générez-en un long et aléatoire)XYTHERION_TOKEN="$(openssl rand -hex 32)" xytherion # Voir le jeton d'un service Linux installé par le scriptsudo cat /etc/xytherion/agent.env

Pour changer le jeton d'un service Linux (par exemple s'il a fuité), remplacez-le dans /etc/xytherion/agent.env puis redémarrez le service :

echo "XYTHERION_TOKEN=$(openssl rand -hex 32)" | sudo tee /etc/xytherion/agent.env >/dev/nullsudo chmod 600 /etc/xytherion/agent.envsudo systemctl restart xytherion

Le plus sûr est de ne pas ouvrir le port 9001 sur Internet : passez par un VPN ou par un tunnel SSH, puis ouvrez http://localhost:9001 sur votre ordinateur.

ssh -L 9001:127.0.0.1:9001 utilisateur@votre-serveur

Mises à jour

L'agent vérifie toutes les 6 heures si une nouvelle version officielle est publiée. Quand c'est le cas, le dashboard affiche un bandeau « Xytherion vX est disponible » avec un bouton Installer la mise à jour : l'agent télécharge la nouvelle version, la vérifie, la remplace et redémarre tout seul — vos données et votre historique sont conservés.

# Ou en ligne de commandexytherion --updatesudo systemctl restart xytherion          # Linux (service)launchctl kickstart -k gui/$(id -u)/com.xytherion.agent   # macOS # Installation via Homebrew : passez par Homebrewbrew upgrade xytherion

Chaque snapshot émis via SSE est un objet JSON avec la structure suivante.

Snapshot complet

{  "agent_id": "mon-serveur-9001",  "hostname": "mon-serveur",  "os": "linux",  "arch": "amd64",  "time": "2026-07-02T20:13:57Z",  "cpu": {    "percent": 17.4,    "per_core": [12.1, 22.3, 14.8, 20.1],    "cores": 4  },  "memory": {    "total": 8589934592,    "used": 7516192768,    "available": 1073741824,    "cached": 2147483648,    "percent": 87.5,    "swap_total": 2147483648,    "swap_used": 536870912  },  "disk": [    { "device": "/dev/sda1", "mountpoint": "/", "total": 107374182400,      "used": 59055800320, "free": 48318382080, "percent": 55.0 }  ],  "disk_io": [    { "name": "sda", "read_mb_s": 0.5, "write_mb_s": 2.1,      "read_iops": 12, "write_iops": 48 }  ],  "net": {    "bytes_sent": 1234567890, "bytes_recv": 9876543210,    "packets_sent": 12345, "packets_recv": 98765  },  "net_io": { "send_mb_s": 0.13, "recv_mb_s": 0.02 },  "load": [1.25, 1.10, 0.95],  "uptime": 86400,  "procs": [    { "pid": 1234, "name": "nginx", "cpu": 0.5, "memory": 0.3 }  ]}

Endpoints REST disponibles

Le moteur d'alertes est intégré à l'agent. Les seuils sont évalués à chaque collecte (toutes les secondes). Une alerte ne se déclenche que si le seuil est dépassé pendant 10 secondes consécutives, ce qui évite les faux positifs liés aux pics momentanés.

Seuils par défaut

Format d'un événement d'alerte (SSE)

{  "id": "cpu",  "metric": "CPU élevé",  "message": "CPU à 87.3% (seuil 85%)",  "value": 87.3,  "threshold": 85,  "severity": "warning",  "active": true,  "fired_at": "2026-07-02T20:15:00Z"}

L'onglet Sécurité regroupe cinq modules indépendants. Le Medikit (scan avancé) est disponible dans le Plan Pro — voir la section dédiée.

Scanner de ports

Scan TCP parallèle sur 30 ports réputés dangereux (SSH, Telnet, RDP, bases de données exposées, services legacy…). Chaque port reçoit un score de risque sur 5 niveaux : critique, élevé, moyen, faible, info. Un score de sécurité global est calculé à partir des ports ouverts.

Ports en écoute

Liste complète de tous les ports en état LISTEN, lus directement depuis les tables de sockets du noyau via gopsutil. Plus rapide et plus précis qu'un scan TCP — chaque port est accompagné de : protocole, adresse de bind, processus associé, PID et classification de risque.

L'état Ouvert indique que le port écoute sur 0.0.0.0 (accessible depuis le réseau). L'état Local indique un port lié à 127.0.0.1 (accessible uniquement en local).

Audit SSH

Lecture des 20 dernières connexions SSH via la commande last. Affiche les connexions réussies : utilisateur, IP source, terminal et date.

État du pare-feu

Détection automatique de l'outil actif. Sur macOS : pf (si l'agent tourne en root), sinon le pare-feu applicatif de macOS (Réglages Système → Réseau → Pare-feu). Sur Linux, dans cet ordre : ufw, firewalld (Fedora, RHEL, Rocky…), nftables (Debian 11+, Ubuntu récents) puis iptables. Affiche l'état (actif/inactif), le moteur détecté et le nombre de règles. Certains moteurs exigent les droits root : en service systemd, l'agent les possède.

Le Medikit est le module de sécurité proactive de Xytherion Pro. Il analyse l'intégrité de la machine elle-même : rootkits, malwares, fichiers système altérés, tâches cron suspectes, et durcissement de configuration — avec un score global sur 100 et des actions correctives intégrées (quarantaine, liste blanche).

Il orchestre les outils de sécurité existants (rkhunter, chkrootkit, ClamAV, Lynis), normalise leurs résultats, et vous permet de corriger ou d'ignorer chaque finding directement depuis le dashboard.

Xytherion envoie une notification (requête POST JSON) à chaque déclenchement ou résolution d'alerte. Jusqu'à 50 webhooks par agent.

Types supportés

Ajouter un webhook via l'API

# Si l'agent a un jeton, ajoutez : -H "Authorization: Bearer VOTRE_JETON"curl -X POST http://localhost:9001/api/webhooks \  -H "Content-Type: application/json" \  -d '{    "name": "Alertes Discord",    "url": "https://discord.com/api/webhooks/...",    "type": "discord",    "enabled": true  }'

Chaque technologie a été choisie pour une raison précise, pas par habitude.

Comprendre ces mécanismes vous permettra de mieux interpréter ce que vous voyez dans le dashboard.

Ring buffer

L'historique des métriques est stocké dans un anneau de taille fixe (3 600 entrées). Quand l'anneau est plein, le point le plus ancien est écrasé par le plus récent. Cela garantit une empreinte mémoire constante quelle que soit la durée de fonctionnement de l'agent. En parallèle, l'agent calcule une moyenne par minute (CPU, RAM, disque, charge, réseau) qu'il conserve 7 jours et enregistre sur disque toutes les 5 minutes : c'est l'historique long, qui survit aux redémarrages.

Calcul des deltas (I/O réseau et disque)

Les compteurs système (octets envoyés, octets lus) sont monotoniquement croissants depuis le démarrage. Pour obtenir un débit en Mo/s, l'agent soustrait la valeur précédente de la valeur actuelle et divise par l'intervalle. Une structure protégée par mutex conserve l'état précédent entre deux collectes.

Z-score (Fingerprint)

Le z-score mesure combien d'écarts-types une valeur s'éloigne de la moyenne. Un z-score de 2 signifie que la valeur actuelle est 2 fois l'écart-type au-dessus de la normale. Le seuil de 2.0 est un équilibre entre sensibilité (détecter les vraies anomalies) et précision (éviter les faux positifs).

z = |valeur_actuelle - moyenne| / écart_type z < 2.0  → comportement normalz ≥ 2.0  → anomalie signalée  ⚡z ≥ 3.0  → anomalie significative

UDP broadcast (Topology)

Un paquet envoyé à 255.255.255.255:9002 est automatiquement livré à tous les hôtes du sous-réseau local. Chaque agent qui reçoit un broadcast d'un autre agent l'enregistre comme peer. Les peers non-vus depuis 30 secondes sont automatiquement purgés.