fren
Connexion

Créer un utilisateur sudo et sécuriser root

3 min de lecture07 novembre 2026

Travailler en root en permanence est pratique jusqu'au jour où une commande mal recopiée supprime le mauvais répertoire. Un compte nominal avec sudo réduit ce risque et garde une trace de qui a fait quoi. Ce guide crée ce compte, vérifie qu'il fonctionne, puis ferme la connexion SSH directe en root sans vous verrouiller dehors.

Créer le compte

Bash
adduser utilisateur

adduser est interactif : il demande un mot de passe, puis crée le répertoire personnel et le groupe du même nom. Sur Debian, il propose aussi de définir les informations GECOS et demande confirmation. Le mot de passe doit être unique et stocké dans un gestionnaire de mots de passe.

Accorder sudo et tester

Bash
usermod -aG sudo utilisateur
id utilisateur

L'option -a est essentielle : sans elle, -G remplace tous les groupes secondaires existants. id utilisateur doit montrer sudo dans la liste.

L'appartenance au groupe ne s'applique qu'aux nouvelles sessions. Ne testez pas avec sudo dans le terminal root actuel : ouvrez une connexion distincte, puis dans une seconde fenêtre :

Bash
ssh utilisateur@VOTRE_IPV6
sudo -l
sudo whoami

sudo whoami doit répondre root. Si vous obtenez utilisateur is not in the sudoers file, le groupe n'a pas été appliqué : reconnectez-vous ou vérifiez id. Si la connexion échoue, ne désactivez surtout pas root : la console reste votre seul recours.

Désactiver la connexion root

Ouvrez /etc/ssh/sshd_config et cherchez la directive PermitRootLogin. Elle est souvent commentée ; ajoutez ou décommentez :

Texte
PermitRootLogin no

Validez puis rechargez :

Bash
sudo sshd -t
sudo systemctl reload ssh

Sur Debian 13, le service s'appelle ssh, pas sshd. sshd -t vérifie la syntaxe sans appliquer la configuration. Un rechargement ne coupe pas les sessions ouvertes : gardez votre session root actuelle active jusqu'au test final.

Vérifier et revenir en arrière

Depuis une nouvelle fenêtre, vérifiez que root est bien refusé :

Bash
ssh root@VOTRE_IPV6

La réponse attendue est Permission denied. Vérifiez ensuite que votre utilisateur peut toujours se connecter et utiliser sudo. Si un problème apparaît, rouvrez la console, remettez PermitRootLogin prohibit-password ou yes temporairement, rechargez, puis corrigez.

Bonnes pratiques

  • Un compte par personne, jamais un compte générique partagé.
  • Ne désactivez pas PasswordAuthentication avant d'avoir testé une clé SSH.
  • Conservez la console ouverte pendant toute modification de sshd_config.
  • Documentez le compte d'administration et son accès de secours.
  • Auditez régulièrement getent group sudo et les fichiers de /etc/sudoers.d/.

Supprimer l'accès root direct ne supprime pas root : le compte reste utilisable depuis la console et par su -. C'est précisément l'objectif : un accès rare, explicite et tracé.

Publicité

Cet article vous a-t-il aidé ?

À lire aussi