Sig-Net : le DMX signé, expliqué aux équipes lumière

À quoi sert Sig-Net

Depuis plus de vingt-cinq ans, le DMX quitte le câble XLR pour le réseau : Art-Net, puis sACN, transportent des centaines d’univers sur Ethernet et en Wi-Fi. Ces deux protocoles ont un point commun : ils ne vérifient pas qui parle. N’importe quel appareil branché sur le réseau peut envoyer un univers, et les projecteurs obéissent. Sur un plateau isolé, ce n’est pas un problème. Sur un réseau partagé, ça l’est.

Sig-Net® répond à cette question. C’est un protocole de contrôle d’éclairage sur IP conçu par Singularity (UK) Ltd, la société de Wayne Howell, l’auteur d’Art-Net. Il a été présenté à la PlugFest européenne de la PLASA, à Lille, en avril 2026, et a reçu un PLASA Award for Innovation la même année. Il transporte le DMX, mais aussi le RDM, le timecode, les mises à jour de firmware et la configuration des nodes. Sa promesse tient en une phrase : un projecteur n’obéit qu’à une console qui connaît la clé du réseau.

Sur un tournage, cela veut dire :

une app ouverte par erreur sur le mauvais Wi-Fi ne prend pas la main sur la lumière d’un autre plateau ;
un appareil inconnu ne peut pas injecter de trames, ni rejouer des trames enregistrées ;
l’équipe sait quelles consoles pilotent quels univers, et le réseau le voit aussi.

Sig-Net est gratuit, sans redevance, et sa licence est irrévocable. Il reste un protocole propriétaire : un fabricant qui l’intègre doit reproduire la mention d’attribution et identifier ses produits avec un identifiant fabricant ESTA.

Comment il fonctionne

Un transport de l’IoT

Sig-Net ne réinvente pas le réseau. Le DMX voyage en CoAP (un protocole léger, standard de l’Internet des objets, RFC 7252) sur UDP, port 5683. Chaque univers est envoyé à une adresse de groupe multicast, comme en sACN : seuls les appareils qui s’y abonnent le reçoivent. Les 63 999 univers possibles sont « repliés » sur 109 groupes multicast, pour ne pas saturer les commutateurs.

Chaque paquet de niveaux contient la priorité de l’univers (de 0 à 200) puis ses 512 valeurs. La fusion entre plusieurs consoles se fait donc par priorité, comme en sACN.

Une clé partagée, plusieurs clés dérivées

Tout part d’une passphrase du réseau, choisie par le responsable du réseau. Elle est transformée en clé racine par une fonction lente (PBKDF2, 100 000 itérations), puis déclinée en clés de rôle : une pour les émetteurs de lumière, une pour les nodes, une pour les outils d’administration. On peut ainsi donner à une console invitée de quoi émettre, sans lui donner de quoi reconfigurer les nodes.

Les clés peuvent aussi circuler sous forme de fichier, ce qui évite de dicter la passphrase à voix haute sur un plateau.

Chaque trame est signée

Chaque paquet porte une signature HMAC-SHA256, calculée avec la clé de son rôle. Avant d’utiliser une trame, le récepteur vérifie, dans l’ordre :

que la trame vient du bon réseau (la « portée ») ;
qu’elle n’essaie pas de rétrograder la sécurité ;
qu’elle est fraîche : chaque émetteur a un numéro de session et un compteur, et une trame déjà vue est refusée ;
que la signature est juste.

Les trames ne sont pas chiffrées, et c’est un choix : chiffrer chaque univers ajouterait de la latence pour protéger des données qui n’ont rien de secret. Sig-Net garantit qui parle et que rien n’a été modifié, pas que personne n’écoute.

Des identités et une découverte intégrée

Chaque appareil a une identité unique, qui commence par l’identifiant ESTA de son fabricant. Les nodes répondent aux sondages et annoncent leur nom, leur modèle et leurs rôles ; les émetteurs annoncent les univers qu’ils envoient. Ces échanges sont signés eux aussi. Il n’y a pas de serveur central : plusieurs consoles et plusieurs outils cohabitent sur un même réseau.

Pour les réseaux qui ne peuvent pas encore gérer de clés, un Open Mode sans signature existe. Il doit être choisi explicitement.

Les enjeux

La loi européenne : le Cyber Resilience Act

Le règlement européen sur la cyberrésilience (CRA, règlement UE 2024/2847) s’applique à tous les produits comportant des éléments numériques vendus dans l’Union, ce qui inclut projecteurs, nodes et consoles en réseau. Depuis septembre 2026, les fabricants doivent signaler les vulnérabilités activement exploitées. À partir de décembre 2027, un produit qui ne respecte pas ses exigences de cybersécurité ne peut plus porter le marquage CE ni être vendu dans l’UE. Art-Net et sACN n’ont pas été conçus pour ça. Sig-Net est l’une des réponses de l’industrie, et c’est la raison pour laquelle autant de fabricants l’ont rejoint en quelques mois.

Le terrain : des réseaux partagés

Un plateau de cinéma partage souvent son réseau : vidéo, DIT, régie, invités, parfois le réseau du lieu. Les consoles se multiplient, sur iPad, sur ordinateur, chez plusieurs prestataires. L’authentification réduit les accidents (la mauvaise console sur le mauvais univers) autant que la malveillance.

Ce que Sig-Net change pour l’équipe

Une clé à gérer. Quelqu’un doit choisir la passphrase, la transmettre aux bonnes personnes et la changer entre deux productions.
Un parc à faire évoluer. Les nodes et les projecteurs doivent recevoir un firmware compatible. En attendant, le parc existant reste utilisable (voir plus bas).
Une cohabitation. Un appareil peut parler Sig-Net, Art-Net et sACN à la fois : la transition peut se faire univers par univers.

Les limites

Sig-Net ne chiffre pas : il ne cache pas ce qui passe sur le réseau.
L’Open Mode, s’il est utilisé, ne protège rien.
La sécurité vaut ce que vaut la gestion de la passphrase.
Le protocole est jeune : les spécifications évoluent encore (version 1.11 en septembre 2026), et le matériel compatible commence seulement à apparaître.

Projecteurs ciné : anciens et futurs

Bonne nouvelle : un projecteur n’a pas besoin de connaître Sig-Net pour être piloté en Sig-Net. Tout dépend de l’endroit où le réseau s’arrête.

Les projecteurs DMX, filaires ou sans fil

Le cas le plus courant sur un plateau : le projecteur reçoit du DMX512 sur XLR, ou par un récepteur sans fil (CRMX, W-DMX). Dans ce cas, c’est le node qui parle Sig-Net : il vérifie les signatures côté réseau, puis sort du DMX classique vers les projecteurs ou vers l’émetteur sans fil. Tous les projecteurs DMX, même anciens, restent donc compatibles dès que le node l’est. C’est exactement le montage de l’essai de ChamSys au festival WOMAD, en août 2026 : une console MagicQ, un node GeNetix GN8 en Sig-Net, 100 projecteurs sur 6 univers.

Les projecteurs en réseau

Les sources récentes reçoivent souvent Art-Net ou sACN directement sur leur port Ethernet. Pour qu’elles reçoivent du Sig-Net, il faut une mise à jour du firmware par le fabricant. Tant qu’elle n’existe pas, deux solutions : continuer en Art-Net ou sACN, ou passer par leur entrée DMX derrière un node Sig-Net.

Les projecteurs de demain

Avec l’échéance du CRA, les nouveaux produits vendus en Europe devront sécuriser leurs interfaces réseau. Plusieurs fabricants présents sur les plateaux soutiennent déjà Sig-Net publiquement (Astera, ETC, Elation, Chauvet Professional, Chroma-Q, Prolights, Robe…). Il est raisonnable d’attendre des firmwares compatibles dans les nodes, les consoles puis les projecteurs en réseau, sans que personne ne l’ait encore annoncé pour un modèle ciné précis.

Où en est la compatibilité ?

Sig-Net est encore trop récent pour dresser une liste de compatibilité. Le protocole a été publié en avril 2026, et sa spécification évolue encore (version 1.11 en septembre 2026). Au 31 octobre 2026, aucun projecteur de cinéma n’annonce de prise en charge native, et le premier usage en conditions réelles rendu public date d’août 2026 : une console ChamSys et un node GeNetix GN8, au festival WOMAD, avec 100 projecteurs sur 6 univers.

Le mouvement est pourtant lancé. Plus de trente fabricants et éditeurs soutiennent déjà publiquement le protocole sur sig-net.net, parmi lesquels Astera, ETC, Elation, Chauvet Professional, Chroma-Q, Prolights, Robe, Claypaky, GLP ou Ayrton. Des PlugFests sont consacrées à son intégration. Surtout, le Cyber Resilience Act oblige tous les fabricants qui vendent en Europe à sécuriser leurs produits en réseau d’ici décembre 2027. On peut donc s’attendre à ce que toutes les marques suivent, d’abord dans les nodes et les consoles, puis dans les projecteurs en réseau.

En attendant, rien ne bloque : tout projecteur DMX, filaire ou sans fil, se pilote en Sig-Net derrière un node compatible, et les projecteurs en réseau restent pilotables en Art-Net ou en sACN depuis Lumographe. Nous mettrons cet article à jour à mesure que les fabricants publieront leurs firmwares. Vous avez déjà un appareil qui parle Sig-Net ? Écrivez-nous à support@lumographe.com.

Sig-Net dans Lumographe

Ce qui est pris en charge

Sortie au même rang qu’Art-Net et sACN : chaque univers part en multicast, signé, avec sa priorité (100 par défaut, de 0 à 200), de l’univers 1 à 63 999, à 44 trames par seconde au plus. Lumographe annonce les univers qu’il émet et les libère proprement quand la sortie est coupée.
Clé du réseau : passphrase ou fichier de clés (.equalkeys, .guestkeys), gardée dans le trousseau d’iOS pour cet appareil seulement, sans synchronisation iCloud ni export. Rien ne part sans clé. L’Open Mode s’active explicitement et reste signalé en orange.
Découverte : la liste des appareils Sig-Net du réseau, nodes, consoles et appareils sans clé, avec une alerte en cas d’usurpation possible.
Entrée DMX : recevoir du Sig-Net d’une autre console, chaque trame vérifiée avant d’entrer dans la fusion.

Lumographe utilise l’identifiant fabricant ESTA de NOLO (0x04BE). Les vecteurs de test officiels de la spécification sont vérifiés à l’octet près, et le trafic réel de l’app a été contrôlé par un récepteur indépendant et par le dissecteur Wireshark officiel.

L’activer

Ouvrez Connexions et choisissez Sig-Net comme méthode de sortie. La carte Réglages Sig-Net apparaît.
Touchez Rejoindre le réseau et tapez la passphrase du réseau, ou choisissez Fichier de clés.
Vérifiez la portée (le nom du réseau Sig-Net) et, si besoin, la priorité.
Armez la sortie comme d’habitude. Les informations de liaison indiquent « Sig-Net multicast » et les univers émis.
Pour recevoir : dans Connexions, carte Entrée DMX, ouvrez Routes & options…, allumez Sig-Net et choisissez les univers à recevoir.

Ce qui n’est pas encore pris en charge

la configuration des nodes à distance (patch d’univers, nom, adresse IP, redémarrage) ;
le RDM, le timecode, l’aperçu et l’OSC transportés par Sig-Net ;
l’embarquement sécurisé des appareils (SNOW) ;
la synchronisation des univers (la question est ouverte avec l’auteur du protocole) ;
l’IPv6 : Lumographe émet en IPv4.

Art-Net, sACN ou Sig-Net ?

	Art-Net	sACN	Sig-Net
Trames authentifiées	Non	Non	Oui (clé du réseau)
Envoi	Diffusion, unicast	Multicast, unicast	Multicast
Priorité par univers	Non	Oui	Oui
Découverte des appareils	Oui	Univers seulement	Oui, signée
Matériel compatible	Très répandu	Très répandu	Débute
Dans Lumographe	Sortie, entrée	Sortie, entrée	Sortie, entrée, découverte

En pratique : restez sur le protocole que vos nodes parlent. Si votre matériel accepte Sig-Net et que le réseau est partagé, c’est le plus sûr des trois.

Sources

sig-net.net : site officiel, spécification, partenaires.
LSi Online, 9 avril 2026 : lancement de Sig-Net.
PLASA : lancement à la PlugFest et calendrier du CRA.
ChamSys, août 2026 : essai en conditions réelles au WOMAD.
Règlement (UE) 2024/2847 : Cyber Resilience Act.

Sig-Net® Designed by and Copyright Singularity (UK) Ltd. Sig-Net est une marque de Singularity (UK) Ltd. Art-Net™ Designed by and Copyright Artistic Licence Holdings Ltd. Les autres marques citées appartiennent à leurs propriétaires.