Checklist sécurité VPS : 12 étapes pour durcir un nouveau serveur

Une checklist sécurité VPS est la liste des étapes à appliquer sur chaque nouveau serveur avant d'y mettre quoi que ce soit d'important : verrouiller SSH, activer un pare-feu, maintenir le système à jour, limiter ce qui tourne et s'assurer de pouvoir restaurer. Des bots automatisés sondent les nouvelles adresses IP en quelques minutes ; la première heure compte donc plus que tout réglage ultérieur.

Les étapes supposent un VPS Linux comme Ubuntu ou Debian avec accès root. Les commandes sont des exemples ; adaptez-les à votre distribution. Suivez-les dans l'ordre et gardez une seconde session SSH ouverte pendant que vous modifiez la connexion, pour qu'une erreur ne vous enferme pas dehors.

Pourquoi durcir un nouveau VPS

Un serveur privé virtuel vous donne un contrôle total, donc aussi une responsabilité totale. Contrairement à l'hébergement mutualisé, personne ne corrige vos paquets ni ne surveille vos connexions. La plupart des compromissions réelles ne viennent pas d'exploits sophistiqués mais d'erreurs simples : mots de passe SSH faibles, application web obsolète, port de base de données exposé ou service de test oublié.

La première heure : 8 étapes essentielles

1. Tout mettre à jour — lancez apt update && apt upgrade (ou l'équivalent de votre distribution) et redémarrez si le noyau a changé.
2. Créer un utilisateur non root — ajoutez un utilisateur avec sudo et utilisez-le au quotidien plutôt que root.
3. Utiliser des clés SSH — générez une paire de clés sur votre ordinateur et copiez la clé publique sur le serveur avec ssh-copy-id.
4. Désactiver mot de passe et root — dans /etc/ssh/sshd_config, mettez PasswordAuthentication no et PermitRootLogin no, puis redémarrez SSH après avoir testé la connexion par clé dans une autre session.
5. Activer un pare-feu — avec ufw, n'autorisez que le nécessaire, par exemple ufw allow OpenSSH, ufw allow 80,443/tcp, puis ufw enable.
6. Activer les mises à jour de sécurité automatiques — sur Debian/Ubuntu, installez et activez unattended-upgrades.
7. Installer fail2ban — il bannit les IP qui échouent à répétition et ralentit la force brute.
8. Régler fuseau horaire et hostname — des horodatages corrects rendent journaux et certificats fiables.

Durcissement continu : 4 étapes de plus

1. Supprimer l'inutile — désinstallez les paquets superflus et arrêtez les services inutiles. Vérifiez les ports en écoute avec ss -tulpn.
2. Garder les bases de données privées — liez MySQL, PostgreSQL ou Redis à 127.0.0.1 ou à un réseau privé, jamais à Internet.
3. Sauvegarder hors du serveur — copiez les sauvegardes ailleurs et testez une restauration. Un snapshot sur la même machine n'est pas une sauvegarde.
4. Surveiller journaux et ressources — consultez les journaux d'authentification, mettez en place des alertes simples de disponibilité et d'espace disque, et examinez les pics de CPU inattendus.

La checklist en un coup d'œil

Sécuriser la couche web

Si le VPS héberge un site, l'application est souvent le maillon faible. Maintenez CMS, extensions et frameworks à jour, utilisez HTTPS avec un certificat gratuit et faites tourner chaque site sous son propre utilisateur système pour qu'un site compromis ne puisse pas lire les autres. Ajoutez un enregistrement CAA à votre domaine pour que seule l'autorité choisie puisse émettre des certificats, et pointez correctement le domaine grâce à notre guide pour pointer un domaine vers un VPS.

Stockez les secrets comme les clés d'API et mots de passe de base de données dans des fichiers d'environnement aux permissions restreintes, jamais dans un répertoire web public ni dans un dépôt Git.

Accès pour les équipes et plusieurs administrateurs

Un serveur reste rarement mono-utilisateur longtemps. Dès qu'un collègue, un freelance ou un outil de déploiement a besoin d'accès, la manière de distribuer les identifiants fait partie de votre sécurité.

• Une clé par personne — chaque administrateur a son propre compte et sa propre clé SSH. Ne partagez jamais un mot de passe root ou une clé unique dans l'équipe.
• Des clés séparées pour l'automatisation — pipelines CI et tâches de sauvegarde ont leurs propres clés, limitées aux commandes ou répertoires nécessaires.
• Retirer l'accès le jour même — quand quelqu'un quitte un projet, supprimez immédiatement son utilisateur et sa clé. Passez en revue les fichiers authorized_keys chaque trimestre.
• Journaliser les actions privilégiées — sudo enregistre qui a exécuté quoi, ce qui facilite grandement l'analyse des erreurs et incidents.
• Protéger aussi le panneau — votre compte chez l'hébergeur peut réinstaller ou supprimer le serveur ; utilisez un mot de passe fort et unique et la double authentification si disponible.

Que faire en cas de suspicion d'intrusion

• Ne supprimez pas les preuves tout de suite ; faites d'abord un snapshot ou copiez les journaux.
• Changez tous les mots de passe et clés SSH ayant touché le serveur.
• Recherchez utilisateurs, tâches cron, clés SSH et processus inconnus.
• En cas de doute, reconstruisez depuis une image propre et restaurez les données d'une sauvegarde antérieure à l'incident.

Une base sûre avec le VPS mistREG

mistREG propose des VPS KVM en Slovénie (UE) sur NVMe SSD et AMD EPYC. KVM donne à chaque serveur son propre noyau : vous pouvez utiliser le pare-feu, les réglages noyau ou les outils de sécurité de votre choix. Le provisionnement est automatique : environ 60 secondes après le paiement, l'IP et le mot de passe root apparaissent dans votre panneau, prêts pour cette checklist. Plus d'infos dans notre guide VPS offshore.

Créez un compte, rechargez en crypto ou par carte et choisissez un serveur dans la section des offres. Des questions ? Notre équipe est sur Telegram via @mistnetwork.