Sécurisation d’un VPS : la procédure, commande par commande

Un VPS neuf est accessible depuis Internet dès sa mise en service, parfois avant même l’installation de votre application. Une configuration ordonnée réduit les erreurs courantes, notamment le verrouillage de l’accès SSH ou l’exposition involontaire d’un service.

Procédez depuis une session ouverte et gardez l’accès console de votre hébergeur disponible. Les commandes ci-dessous visent un serveur Ubuntu ou Debian ; adaptez-les si votre distribution ou votre port SSH diffère.

À retenir :

• Mises à jour système avant toute installation applicative
• Comptes utilisateurs nominatifs avec privilèges sudo limités
• Clés SSH testées avant la désactivation des mots de passe
• Pare-feu vérifié avant son activation à distance
• Sauvegardes et accès console prêts en cas d’incident

Sécurisation initiale du VPS : mises à jour et comptes

Une fois l’accès initial établi, commencez par réduire les risques liés aux logiciels obsolètes et au compte administrateur partagé. Cette première étape prépare un environnement propre avant le réglage de SSH.

Mettre à jour Ubuntu ou Debian

Selon la documentation d’OVHcloud, les mesures de sécurité doivent être adaptées à l’usage du serveur. Sur une installation Debian ou Ubuntu utilisant APT, actualisez l’index puis installez les mises à jour disponibles.

Exécutez sudo apt update, puis sudo apt full-upgrade. Vérifiez les changements proposés avant confirmation, et redémarrez si une mise à jour du noyau ou des services l’exige.

Créer un compte utilisateur avec sudo

Un compte nominatif limite l’usage quotidien de root et facilite l’attribution des actions. Créez-le avec sudo adduser samir, puis accordez les privilèges administratifs avec sudo usermod -aG sudo samir.

Remplacez « samir » par votre propre nom de compte, puis ouvrez une seconde session pour vérifier l’accès. Selon le guide de sécurisation publié par OVHcloud, les consignes générales demandent aussi une adaptation aux besoins particuliers du serveur.

Commandes de préparation du serveur :

• Actualiser l’index APT avant toute installation
• Installer les mises à jour après examen des changements
• Créer un compte nominatif pour l’administration courante
• Conserver une session initiale jusqu’au test du nouveau compte

Action	Commande	Vérification
Actualiser les paquets	sudo apt update	Fin sans erreur de dépôt
Mettre à niveau	sudo apt full-upgrade	Examiner les changements proposés
Créer un compte	sudo adduser samir	Connexion avec ce compte
Autoriser sudo	sudo usermod -aG sudo samir	Tester sudo dans une nouvelle session

SSH sécurisé : clés, authentification et pare-feu

Après la création du compte, protégez le point d’entrée distant avant de fermer la session existante. Une modification prématurée de SSH peut vous couper l’accès, même si le reste du serveur fonctionne.

Installer et tester les clés SSH

Sur votre ordinateur, générez une paire avec ssh-keygen -t ed25519, puis copiez la clé publique grâce à ssh-copy-id samir@ADRESSE_IP. Ouvrez une nouvelle connexion et confirmez que la clé fonctionne avant de toucher à l’authentification par mot de passe.

Selon la documentation d’OVHcloud, les réglages doivent correspondre au contexte d’utilisation ; cette prudence est particulièrement utile pour un serveur distant. Après sauvegarde de la configuration SSH, vérifiez sa syntaxe avec sudo sshd -t, puis rechargez le service seulement si le contrôle réussit.

Configurer UFW sans bloquer SSH

Autorisez d’abord le port réellement utilisé par SSH, souvent 22, avant d’activer UFW. Pour le port standard, appliquez sudo ufw allow OpenSSH, puis sudo ufw enable et contrôlez le résultat avec sudo ufw status verbose.

Réglages à contrôler avant l’activation :

• Port SSH autorisé selon la configuration effective
• Clé publique installée pour le compte d’administration
• Connexion par clé testée dans une nouvelle session
• Console du fournisseur accessible en secours

Composant	Réglage prudent	Contrôle utile
Accès SSH	Clé publique pour le compte nominatif	Nouvelle connexion distante réussie
Compte root	Connexion directe désactivée après vérification	Connexion du compte sudo testée
UFW	Autoriser SSH avant activation	sudo ufw status verbose
Configuration SSH	Tester avant rechargement	sudo sshd -t

Fail2ban, sauvegardes et vérifications du VPS

Une fois les accès restreints, complétez la défense contre les tentatives répétées et préparez la restauration. Ces protections ne remplacent ni les mises à jour ni la surveillance régulière des journaux.

Installer fail2ban et contrôler son service

Installez le paquet avec sudo apt install fail2ban, puis vérifiez le service grâce à sudo systemctl status fail2ban. Avant d’ajouter des règles personnalisées, vérifiez la configuration existante et les journaux associés à SSH.

Selon la documentation d’OVHcloud, une procédure générale ne couvre pas tous les usages possibles d’un serveur. Gardez les règles proportionnées : une politique trop stricte peut bloquer un utilisateur légitime après plusieurs erreurs de connexion.

Prévoir des sauvegardes et auditer les réglages

Une sauvegarde doit pouvoir être restaurée, pas seulement exister dans un dossier. Copiez notamment les configurations nécessaires hors du VPS, protégez leur accès et vérifiez périodiquement que vos fichiers essentiels peuvent être récupérés.

Pour un contrôle rapide, confrontez les services exposés aux besoins réels de votre application. Si un port n’a pas de fonction identifiée, examinez le service correspondant avant de le laisser accessible depuis Internet.

Contrôles récurrents du serveur :

• État des mises à jour et paquets en attente
• Règles UFW et ports réellement nécessaires
• Journaux SSH et état du service fail2ban
• Présence et restauration testée des sauvegardes

Source : « Sécuriser un VPS », OVHcloud Documentation.