Le tunnel cloudflared est sortant uniquement : aucun port à ouvrir sur la Livebox ni sur la Cloud Gateway Ultra, donc pas de surface d'attaque supplémentaire côté NAT. L'authentification SSO (Google, GitHub, ou OTP par email) se fait avant même d'atteindre nginx — si les identifiants ne correspondent pas à la policy définie, la requête n'arrive jamais au dashboard.

Alternative plus simple si tu préfères rester dans un réseau privé plutôt qu'un proxy public : Tailscale, à poser sur le NAS et sur tes appareils — pas de SSO natif mais accès quasi immédiat et chiffré de bout en bout.