Le premier jour, prenez une heure pour faire cinq choses : mettre le système à jour, créer votre propre utilisateur, passer à une connexion SSH par clé, activer un pare-feu en autorisant SSH d'abord, et prévoir vos sauvegardes. Ces réglages évitent la grande majorité des mauvaises surprises des mois suivants.
Ce guide concerne un serveur Linux livré nu. Si vous avez commandé une application prête à l'emploi comme Odoo ou Passroyal Panel, une partie du travail est déjà faite, mais les principes restent valables.
Avant de commencer : votre filet de sécurité
Votre serveur PassRoyal est livré prêt à l'emploi, avec vos accès, quelques minutes après le paiement. Avant de toucher à quoi que ce soit, repérez dans votre espace client les actions disponibles :
- ouvrir la console dans votre navigateur ;
- redémarrer, arrêter et démarrer le serveur ;
- changer le mot de passe ;
- supprimer le serveur, à manier avec précaution.
La console est votre filet de sécurité. Elle passe par la machine elle-même et non par le réseau : si un réglage de pare-feu ou de SSH tourne mal pendant les étapes qui suivent, vous pourrez toujours reprendre la main par là.
[CAPTURE : la page d'un serveur dans l'espace client PassRoyal avec les boutons console, redémarrer, arrêter, démarrer et changer le mot de passe]
Étape 1 : se connecter et mettre le système à jour
Connectez-vous en SSH avec les accès reçus, ou par la console. Première chose à faire : installer les dernières mises à jour, qui corrigent notamment des failles de sécurité.
Sur Debian ou Ubuntu, cela donne :
sudo apt update && sudo apt upgradeSur d'autres distributions, la commande change, mais le principe est le même. Si le système vous le demande, redémarrez ensuite le serveur.
Étape 2 : créer votre propre utilisateur
Travailler en permanence avec le compte « root », l'administrateur tout-puissant, c'est comme se promener avec le passe-partout de tout l'immeuble dans la poche : pratique, mais la moindre erreur ouvre toutes les portes.
Créez un utilisateur à votre nom et donnez-lui le droit d'utiliser « sudo », qui permet d'exécuter ponctuellement une commande avec les droits d'administrateur :
sudo adduser karim
sudo usermod -aG sudo karimRemplacez « karim » par le nom de votre choix, et utilisez un mot de passe long et unique.
Étape 3 : passer à la connexion par clé SSH
Une clé SSH est une paire de fichiers : une clé privée, qui reste sur votre ordinateur, et une clé publique, que vous déposez sur le serveur. Elle est bien plus difficile à deviner qu'un mot de passe, et vous évite de le taper à chaque connexion.
- Sur votre ordinateur, créez une paire de clés avec la commande « ssh-keygen », et protégez-la par une phrase de passe.
- Copiez la clé publique sur le serveur avec « ssh-copy-id » suivi de votre utilisateur et de l'adresse du serveur.
- Testez la connexion avec votre nouvel utilisateur, dans une nouvelle fenêtre, sans fermer la première.
Une fois la connexion par clé vérifiée, vous pouvez désactiver la connexion directe de root et la connexion par mot de passe dans le fichier de configuration de SSH. Vérifiez la configuration avec « sudo sshd -t » avant de redémarrer le service, et gardez toujours une session ouverte pendant ce changement.
Étape 4 : activer un pare-feu, dans le bon ordre
Un pare-feu filtre les connexions entrantes et ne laisse passer que ce que vous autorisez. Sur Ubuntu et Debian, UFW rend cela simple. L'ordre est important : autorisez SSH avant d'activer le pare-feu.
sudo ufw allow OpenSSH
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enableLes ports 80 et 443 servent au web (HTTP et HTTPS). Ne les ouvrez que si votre serveur héberge un site ou une application web. Vérifiez ensuite le résultat avec « sudo ufw status ».
Si vous vous êtes enfermé dehors malgré tout, pas de panique : ouvrez la console depuis l'espace client et corrigez la règle.
Étape 5 : bloquer les robots trop insistants
Dès qu'un serveur est joignable sur Internet, des robots tentent de deviner des mots de passe. Un outil comme Fail2ban surveille les tentatives ratées et bannit temporairement les adresses trop insistantes.
sudo apt install fail2banSa configuration par défaut protège déjà SSH sur la plupart des distributions. Pensez simplement à ne pas vous faire bannir vous-même en enchaînant les fautes de frappe.
Étape 6 : régler l'heure et les mises à jour de sécurité
Deux petits réglages qui rendent service :
- le fuseau horaire, pour que les journaux et les tâches planifiées affichent l'heure de votre bureau. Par exemple : « sudo timedatectl set-timezone Africa/Casablanca » ;
- les mises à jour de sécurité automatiques, avec le paquet « unattended-upgrades » sur Debian et Ubuntu, pour que les correctifs les plus urgents s'installent sans attendre votre passage.
Étape 7 : prévoir les sauvegardes dès maintenant
PassRoyal exploite la machine et le réseau ; ce que vous installez et vos données restent sous votre responsabilité. Les sauvegardes sont donc à mettre en place par vos soins, et le premier jour est le meilleur moment pour le faire, avant que le serveur ne contienne quoi que ce soit d'important.
Si vous utilisez Passroyal Panel, il sait planifier des sauvegardes : il suffit de les configurer. Sinon, une tâche planifiée et un script de sauvegarde font l'affaire. Dans tous les cas, envoyez une copie hors du serveur.
Les erreurs les plus fréquentes du premier jour
Ces réglages sont simples, mais quelques faux pas reviennent souvent. Les voici, pour que vous puissiez les éviter.
- Activer le pare-feu avant d'autoriser SSH. La connexion se coupe aussitôt. Ce n'est pas grave grâce à la console, mais autant l'éviter.
- Désactiver le mot de passe avant d'avoir testé la clé. Testez toujours la connexion par clé dans une nouvelle fenêtre avant de couper l'ancienne méthode.
- Garder la clé privée à un seul endroit. Si votre ordinateur tombe en panne, vous perdez l'accès. Gardez une copie protégée en lieu sûr.
- Noter les mots de passe dans un email. Utilisez un gestionnaire de mots de passe.
- Repousser les sauvegardes à « plus tard ». Plus tard, le serveur contient déjà des données importantes, et c'est souvent ce jour-là que le problème arrive.
Récapitulatif de la première heure
| Étape | Pourquoi | Temps indicatif |
|---|---|---|
| Repérer la console dans l'espace client | Avoir un filet de sécurité | Quelques minutes |
| Mettre le système à jour | Corriger les failles connues | Quelques minutes |
| Créer votre utilisateur | Ne plus travailler en root | Quelques minutes |
| Connexion par clé SSH | Rendre l'accès bien plus sûr | Un quart d'heure |
| Pare-feu | N'ouvrir que le nécessaire | Quelques minutes |
| Fail2ban | Freiner les robots | Quelques minutes |
| Heure et mises à jour automatiques | Confort et sécurité | Quelques minutes |
| Sauvegardes | Pouvoir revenir en arrière | Un quart d'heure ou plus |
Questions fréquentes
Ces réglages sont-ils nécessaires sur un serveur Windows 10 ?
Les principes sont les mêmes : mises à jour, mot de passe solide, pare-feu, sauvegardes. Les outils, en revanche, sont différents de ceux décrits ici pour Linux.
Que faire si je me bloque l'accès pendant les réglages ?
Ouvrez la console depuis votre espace client. Elle passe par la machine elle-même, pas par le réseau, et vous permet de corriger la configuration.
Faut-il refaire ces réglages après un redémarrage ?
Non. Une fois enregistrés, ils restent en place. Pensez seulement à faire régulièrement les mises à jour et à vérifier vos sauvegardes.
Et ensuite ?
Votre serveur est prêt à accueillir vos projets. Pour comprendre tout ce que vous pouvez en faire, découvrez notre offre de cloud computing.