Sécurité
Protégez vos serveurs avec les bonnes pratiques

1. Authentification SSH par clé

L'utilisation de clés SSH est bien plus sécurisée que les mots de passe, car elle est moins susceptible d'être compromise par des attaques par force brute.

• Générez une paire de clés SSH (publique/privée) sur votre machine locale.
• Copiez la clé publique sur votre VPS dans le fichier ~/.ssh/authorized_keys de l'utilisateur concerné.
• Désactivez l'authentification par mot de passe pour SSH dans le fichier /etc/ssh/sshd_config (définissez PasswordAuthentication no).
• Redémarrez le service SSH (sudo systemctl restart sshd).

# Générer une paire de clés SSH sur votre machine locale
ssh-keygen -t rsa -b 4096

# Copier la clé publique sur votre VPS
ssh-copy-id utilisateur@votre_vps_ip

2. Configurer un pare-feu (UFW recommandé)

UFW (Uncomplicated Firewall) est un outil simple à utiliser pour gérer les règles de votre pare-feu sur les systèmes basés sur Debian/Ubuntu.

• Installez UFW : sudo apt update && sudo apt install ufw
• Autorisez les connexions SSH : sudo ufw allow ssh (ou le port SSH si différent du 22)
• Autorisez les ports nécessaires à vos applications (ex: HTTP/HTTPS) : sudo ufw allow http, sudo ufw allow https
• Activez UFW : sudo ufw enable

sudo apt update
sudo apt install ufw
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https
sudo ufw enable

3. Mises à jour du système

Exécutez régulièrement ces commandes pour maintenir votre système à jour et appliquer les correctifs de sécurité :

sudo apt update
sudo apt upgrade -y
sudo apt dist-upgrade -y
sudo apt autoremove -y

4. Installation de Fail2Ban

Fail2Ban protège votre serveur contre les attaques par force brute en bloquant temporairement les adresses IP suspectes.

• Installez Fail2Ban : sudo apt install fail2ban
• Créez un fichier de configuration local : sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local
• Éditez jail.local pour activer les prisons souhaitées (par exemple, [sshd] enabled = true).
• Redémarrez le service Fail2Ban : sudo systemctl restart fail2ban