SSH : la porte d'entrée à verrouiller
90 % des compromissions de VPS commencent par SSH. Le service est exposé par nature, et les bots de bruteforce le scannent en continu. Voici le durcissement minimal que tout serveur devrait avoir — celui que nos images appliquent par défaut.
Clés, pas mots de passe
ssh-keygen -t ed25519 sur votre poste, clé publique dans authorized_keys, puis dans sshd_config :
PasswordAuthentication no
PermitRootLogin prohibit-password
KbdInteractiveAuthentication noAvec ces trois lignes, le bruteforce devient inutile : il n'y a plus de mot de passe à deviner.
Le port non standard : oui, mais
Changer le port 22 pour 2222 divise par cent le bruit dans les logs. Ce n'est pas de la sécurité — n'importe quel nmap retrouve le port — mais ça économise Fail2ban et garde vos logs lisibles.
Fail2ban et allowlist
Si vos IP sont fixes, une allowlist UFW sur le port SSH est la protection ultime : le service devient invisible au reste du monde. Sinon, Fail2ban avec bantime = 1h et maxretry = 3 neutralise les bots.
Le piège classique
Testez toujours la nouvelle configuration dans une seconde session SSH avant de fermer la première. Un sshd -t valide la syntaxe. Et gardez notre console VNC de secours en tête : même verrouillé dehors, vous revenez toujours par le panel.