Durcissement VPS — la liste de contrôle OPSEC de la première heure.
Huit étapes. À appliquer sur chaque nouveau serveur.

Oui, de loin. Un mot de passe — même aléatoire de 16 caractères — est forçable en force brute dans un modèle de menace réaliste ; une clé SSH ed25519 dispose de 256 bits d'entropie et ne l'est pas. Une clé est également liée à l'appareil sur lequel elle réside, donc un attaquant a besoin à la fois du fichier de clé ET de la phrase secrète qui le déchiffre. Désactivez entièrement PasswordAuthentication dans sshd_config et la surface d'attaque de force brute tombe à zéro.

Cela n'arrête pas un attaquant déterminé — il scannera tous les 65 535 ports. Cela RÉDUIT bien le volume de bruit automatisé des bots qui ne tentent que le port 22, ce qui signifie des journaux plus propres et un fail2ban moins stressé. Choisissez un port aléatoire entre 1024 et 65535, notez-le quelque part où vous ne le perdrez pas, mettez à jour le pare-feu pour l'autoriser. Gain net : environ 90 % moins de bruit dans les journaux.

UFW pour quelqu'un qui apprend ou gère un seul VPS — c'est une enveloppe conviviale, la syntaxe est lisible par l'homme, et elle repose sur iptables ou nftables en dessous. nftables directement si vous souhaitez une composition de règles plus stricte, des ensembles anonymes, ou si vous gérez plus d'une poignée de serveurs et souhaitez la cohérence. Les deux produisent le même résultat au niveau du kernel.

Les correctifs de sécurité, oui — ils corrigent les CVE critiques et l'alternative consiste à les laisser ouverts. Les mises à jour complètes du paquet kernel sont plus risquées car elles nécessitent un redémarrage pour prendre effet ; unattended-upgrades ne redémarrera pas le serveur par défaut. Lisez /etc/apt/apt.conf.d/50unattended-upgrades et décidez : la plupart des clients NordBastion laissent la configuration unattended sur « security-only » et redémarrent manuellement chaque mois pendant une fenêtre calme.

Strictement requis, non — une fois l'authentification par mot de passe désactivée, la force brute sur SSH ne peut pas aboutir. fail2ban reste utile pour d'autres services (mail, pages de connexion d'applications web, tout ce qui dispose d'une couche d'identification). Assurance bon marché : apt install fail2ban, acceptez les paramètres par défaut, avancez. Les 30 secondes nécessaires à l'installation valent bien les journaux plus propres et la protection supplémentaire des services qu'il apporte.

Pas dans la première heure — le chiffrement complet du disque avec une clé détenue par l'utilisateur nécessite soit une installation ISO personnalisée (montage de LUKS au démarrage avec une phrase secrète que quelqu'un doit taper) soit la prochaine option NordBastion LUKS-à-la-provision (feuille de route du panneau). Pour l'instant, traitez le disque comme lisible par NordBastion (dans l'éventualité improbable d'une assignation) et traitez la protection juridictionnelle de NordBastion comme la couche qui le maintient en sécurité. Si votre modèle de menace exige FDE avant le lancement, installez Debian via l'ISO de secours dans un volume racine LUKS et déverrouillez via la console du panneau à chaque démarrage — faisable mais un changement significatif dans la charge opérationnelle.

Trois cadences utiles. (1) Avant chaque changement significatif (mise à jour de paquet, modification de config, mise à niveau de l'OS). (2) Selon un calendrier — une fois par semaine est un défaut raisonnable pour toute charge de travail en production. (3) Avant chaque exercice de vérification de sauvegarde, pour pouvoir prouver que la restauration fonctionne. Les instantanés NordBastion sont hors-hôte et chiffrés ; ils ne consomment pas votre disque VPS et peuvent être restaurés en environ 90 secondes.

Pour la première heure : pas encore — faites le durcissement, lancez la charge de travail, puis ajoutez la surveillance une fois que vous avez quelque chose qui vaut la peine d'être surveillé. Options légères : node_exporter + Prometheus + Grafana sur un second petit VPS, Netdata comme tableau de bord auto-hébergé en binaire unique, ou plus simple encore, un vérificateur de disponibilité externe gratuit (UptimeRobot, BetterStack) pingant les ports publics. Choisissez-en un, configurez-le, et oubliez — la surveillance est la plus utile quand elle reste silencieuse.