Sécuriser votre serveur Linux : les bases essentielles

Pourquoi c’est indispensable

Dès qu’un serveur est en ligne, des robots tentent de s’y connecter automatiquement, 24h/24, en essayant des milliers de mots de passe. Ce n’est pas une menace théorique : c’est le quotidien de tout serveur exposé. La bonne nouvelle : quelques mesures simples suffisent à bloquer l’immense majorité de ces attaques.

1. Mettez le système à jour

Les mises à jour corrigent des failles connues. Faites-le dès la mise en service, puis régulièrement :

apt update && apt upgrade -y   # Debian / Ubuntu

2. N’utilisez pas root au quotidien

Créez un utilisateur dédié avec les droits d’administration, et travaillez avec lui :

adduser monutilisateur
usermod -aG sudo monutilisateur

3. Passez à l’authentification par clé SSH

Une clé SSH est quasi impossible à deviner, contrairement à un mot de passe. Depuis votre machine :

ssh-keygen -t ed25519
ssh-copy-id monutilisateur@VOTRE_IP

Une fois la clé en place et testée, désactivez la connexion par mot de passe dans /etc/ssh/sshd_config :

PasswordAuthentication no
PermitRootLogin prohibit-password

Puis rechargez SSH :

systemctl reload ssh

Ne fermez pas votre session actuelle avant d’avoir vérifié, dans une nouvelle fenêtre, que la connexion par clé fonctionne. Sinon vous risquez de vous verrouiller dehors.

4. Activez un pare-feu

Avec UFW (simple et efficace), n’ouvrez que ce qui est nécessaire :

apt install ufw -y
ufw allow 22/tcp      # SSH (adaptez si port personnalisé)
ufw allow 80/tcp      # HTTP (si vous hébergez un site)
ufw allow 443/tcp     # HTTPS
ufw enable

5. Installez fail2ban

fail2ban bannit automatiquement les adresses IP qui multiplient les échecs de connexion :

apt install fail2ban -y
systemctl enable --now fail2ban

Par défaut, il surveille déjà SSH. En quelques heures, vous verrez qu’il bloque déjà des dizaines de tentatives.

6. Anti-DDoS : c’est inclus chez TalCloud

Une attaque DDoS ne se bloque pas au niveau du serveur : elle se filtre en amont, sur le réseau. Toutes les offres TalCloud incluent une protection Anti-DDoS L3/L4/L7 sans surcoût — vous n’avez rien à configurer de ce côté.

Checklist finale

• Système à jour
• Utilisateur dédié (pas de root au quotidien)
• Connexion SSH par clé, mot de passe désactivé
• Pare-feu UFW actif, ports minimaux
• fail2ban installé
• Anti-DDoS (inclus)

Avec ces six mesures, votre serveur résiste déjà à la grande majorité des attaques automatisées. Pour aller plus loin, pensez aux sauvegardes régulières et à la surveillance des logs.