Les premiers pas sur un nouveau VPS sont les suivants : se connecter, mettre le système à jour, créer un utilisateur sudo avec une clé SSH, définir le nom d'hôte et le fuseau horaire, ajouter du swap sur les petites offres et activer un pare-feu. Cela prend environ 15 minutes et couvre l'essentiel de ce que les attaquants tentent en premier.
Les commandes ci-dessous sont pour Ubuntu 24.04 et Debian 12. Remplacez les valeurs entre chevrons et l'adresse d'exemple 203.0.113.10 par les vôtres.
1. Se connecter pour la première fois
Quand vous créez un serveur, vous choisissez soit une clé SSH, soit un mot de passe root envoyé par e-mail. Avec une clé :
ssh [email protected] # adresse d'exemple
La première connexion vous demande de confirmer l'empreinte de la clé de l'hôte. Tapez yes. Si vous avez utilisé un mot de passe, il vous sera demandé ; changez-le immédiatement avec passwd.
Si vous n'avez pas encore de clé, lisez d'abord comment créer et utiliser des clés SSH. Cela prend deux minutes et en vaut la peine.
2. Tout mettre à jour
Les nouvelles images sont récentes, mais les paquets évoluent vite. Mettez à jour avant d'installer quoi que ce soit :
apt update
apt full-upgrade -y
apt autoremove -y
Si le noyau a été mis à jour, redémarrez :
[ -f /var/run/reboot-required ] && reboot
Attendez une trentaine de secondes et reconnectez-vous.
3. Activer les mises à jour de sécurité automatiques
Ubuntu fournit unattended-upgrades ; sur Debian, vous devrez peut-être l'installer :
apt install -y unattended-upgrades
dpkg-reconfigure -plow unattended-upgrades # répondez "Yes"
Les correctifs de sécurité sont ainsi installés chaque jour. Par défaut, le serveur ne redémarre pas. Pour autoriser les redémarrages à une heure calme, modifiez /etc/apt/apt.conf.d/50unattended-upgrades :
Unattended-Upgrade::Automatic-Reboot "true";
Unattended-Upgrade::Automatic-Reboot-Time "04:00";
4. Créer un utilisateur normal avec sudo
adduser deploy # choisissez le nom que vous voulez
usermod -aG sudo deploy
Copiez les clés autorisées de root vers le nouvel utilisateur pour pouvoir vous connecter avec la même clé :
mkdir -p /home/deploy/.ssh
cp /root/.ssh/authorized_keys /home/deploy/.ssh/
chown -R deploy:deploy /home/deploy/.ssh
chmod 700 /home/deploy/.ssh
chmod 600 /home/deploy/.ssh/authorized_keys
Ouvrez un second terminal et testez avant de continuer :
ssh [email protected]
sudo whoami # doit afficher : root
Gardez la session root ouverte jusqu'à ce que la nouvelle connexion fonctionne.
5. Définir le nom d'hôte et le fuseau horaire
sudo hostnamectl set-hostname web-1
sudo timedatectl set-timezone Europe/Berlin
timedatectl # vérifiez : "System clock synchronized: yes"
Ajoutez le nom d'hôte à /etc/hosts si sudo signale qu'il ne peut pas le résoudre :
127.0.1.1 web-1
Beaucoup d'administrateurs gardent leurs serveurs en UTC pour comparer plus facilement les journaux. Les deux options conviennent ; restez simplement cohérent.
6. Ajouter du swap sur les petits serveurs
Les offres avec 1 ou 2 GB de mémoire profitent d'un fichier swap. Vérifiez d'abord :
swapon --show
free -h
Si rien n'apparaît, créez un fichier de 1 GB ou 2 GB :
sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab
Indiquez au noyau de privilégier la mémoire et de n'utiliser le swap que sous pression :
echo 'vm.swappiness=10' | sudo tee /etc/sysctl.d/99-swap.conf
sudo sysctl --system
7. Activer un pare-feu
Vous disposez de deux niveaux, et vous pouvez utiliser les deux.
Sur le serveur : UFW
sudo apt install -y ufw
sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow OpenSSH
sudo ufw enable
sudo ufw status verbose
N'ouvrez d'autres ports que lorsqu'un service en a besoin, par exemple sudo ufw allow 80,443/tcp pour un serveur web.
Devant le serveur : pare-feu cloud
Un pare-feu Wolkra filtre le trafic avant qu'il n'atteigne le serveur et peut s'appliquer à de nombreux serveurs à la fois via un label. Il est gratuit. Une configuration courante n'autorise SSH que depuis l'adresse de votre bureau ou de votre domicile, et HTTP/HTTPS depuis partout. Voir la documentation des pare-feu.
8. Renforcer SSH
Une fois que la connexion par clé fonctionne pour votre utilisateur sudo, désactivez les mots de passe et la connexion root. Créez un fichier de configuration complémentaire :
sudo tee /etc/ssh/sshd_config.d/10-hardening.conf >/dev/null <<'EOF'
PermitRootLogin no
PasswordAuthentication no
KbdInteractiveAuthentication no
EOF
sudo sshd -t && sudo systemctl reload ssh
sshd -t vérifie d'abord la syntaxe, pour qu'une faute de frappe ne vous bloque pas dehors. L'ensemble des mesures de renforcement se trouve dans comment sécuriser un serveur Ubuntu.
9. Installer quelques outils utiles
sudo apt install -y curl wget git htop ncdu unzip ca-certificates
htopaffiche les processus et la mémoire en temps réel.ncdu /trouve ce qui remplit le disque.journalctl -p warning -baffiche les avertissements depuis le dernier démarrage.
10. Définir le reverse DNS si vous envoyez des e-mails ou avez besoin d'un nom propre
Si le serveur envoie des e-mails ou doit se résoudre vers un nom d'hôte, définissez l'enregistrement PTR de son IP dans la console. Assurez-vous que l'enregistrement DNS direct (A ou AAAA) pointe vers la même adresse. Voir adresses IP.
11. Prévoir les sauvegardes dès maintenant
Un serveur tout neuf est le meilleur moment pour décider de vos sauvegardes. Sur Wolkra, vous pouvez activer des sauvegardes quotidiennes automatiques (20 % du prix du serveur, 7 points de restauration) et prendre des instantanés avant les changements risqués. Pour les données importantes, ajoutez aussi une copie en dehors du serveur. Le guide de stratégie de sauvegarde explique la règle 3-2-1 en pratique.
12. Savoir comment reprendre la main
Il arrive que les choses tournent mal : une règle de pare-feu trop stricte, une faute de frappe dans la configuration SSH. Avant que cela n'arrive, repérez où se trouvent les outils de secours :
- la console dans le navigateur (VNC) dans la vue du serveur, qui fonctionne sans accès réseau ;
- le mode rescue, qui démarre un petit système pour que vous puissiez monter le disque et corriger des fichiers ;
- la reconstruction (rebuild), qui réinstalle l'image si le serveur est irrécupérable.
Check-list
- Connecté avec une clé SSH
- Mis à jour et redémarré
- Mises à jour de sécurité automatiques activées
- Utilisateur sudo créé et testé
- Nom d'hôte et fuseau horaire définis
- Swap sur les petites offres
- UFW et/ou pare-feu cloud activé
- Connexion root et mots de passe désactivés
- Reverse DNS défini si nécessaire
- Sauvegardes activées
Ensuite, déployez quelque chose : essayez Docker Compose, WordPress ou un reverse proxy Caddy.
Questions fréquentes
Que dois-je faire en premier sur un nouveau VPS ?
Connectez-vous, installez toutes les mises à jour, créez un utilisateur normal avec des droits sudo et une clé SSH, puis activez un pare-feu. Le reste peut suivre.
Dois-je utiliser le compte root ?
N'utilisez root que pour la première connexion. Au quotidien, il est plus sûr de travailler avec un utilisateur normal doté de sudo : les erreurs nécessitent un sudo explicite et les journaux indiquent qui a fait quoi.
Un VPS a-t-il besoin de swap ?
Les petits serveurs avec 1 ou 2 GB de mémoire profitent d'un fichier swap modeste, qui empêche le noyau de tuer des processus lors de brefs pics de mémoire.
Comment trouver l'adresse IP de mon serveur ?
Elle est affichée dans la vue d'ensemble du serveur dans la console. Sur le serveur lui-même, exécutez ip -brief address.
Et si je me retrouve bloqué dehors ?
Utilisez la console dans le navigateur de la console Wolkra, ou démarrez le serveur en mode rescue pour corriger les réglages SSH ou du pare-feu.