OpenBSD 7.5 et 7.6 préinstallés sur chaque niveau, avec W^X, KARL, pledge/unveil et syspatch activés par défaut. Pas de systemd, pas de télémétrie, pas de patches NordBastion — proche d'un install(8) frais des sources openbsd.org.
OpenBSD 7.5 et 7.6 préinstallés sur chaque niveau — Sentinel à Citadel, sans supplément, sans coût de licence.
W^X, KARL, pledge(2) et unveil(2) activés dès la sortie de l'emballage — primitives de sécurité intégrées dans la base, pas une liste de durcissement à suivre.
Ancré dans l'une des quatre juridictions constitutionnelles nordiques — Suède, Finlande, Norvège ou Islande — payable en Bitcoin ou Monero.
W^X (aucune page n'est à la fois inscriptible et exécutable), KARL (noyau re-randomisé à chaque démarrage), pledge(2) (une liste blanche de syscalls qu'un daemon déclare sur lui-même), unveil(2) (visibilité du système de fichiers réduite aux chemins déclarés) — tout dans le système de base, activé par défaut, sans liste de contrôle requise. Une classe de bugs qui seraient exploitables sur un Linux standard est tout simplement inaccessible.
Deux versions par an, exactement selon le calendrier, avec syspatch(8) pour les errata entre les deux. Pas de « rolling stable », pas de LTS en gestation pendant des années, pas de CVE surprenant de première page nécessitant un patch hors-bande. Le calendrier des versions est l'un des plus prévisibles de l'histoire des systèmes d'exploitation.
Scripts shell rc.d pour la supervision des services, cron(8) pour la planification, doas(1) à la place de sudo, ksh comme /bin/sh — chaque composant est petit, écrit selon un contrat unique bien défini, et vous pouvez lire son code source. Il n'y a pas de PID 1 qui s'est étendu pour absorber DNS, les montages et les timers.
| Image | Identifiant (slug) | Cas d'usage |
|---|---|---|
| OpenBSD 7.6 (-current) | openbsd-7.6 |
Version actuelle — le choix par défaut pour un nouveau serveur OpenBSD en 2026, avec la couverture pledge/unveil la plus récente sur toute la base. |
| OpenBSD 7.5 (-stable) | openbsd-7.5 |
Version précédente, toujours dans -stable avec des correctifs d'errata — pour les runbooks qui n'ont pas encore été re-validés contre la 7.6. |
| OpenBSD 7.6 + httpd | openbsd-7.6-httpd |
Base httpd(8) et acme-client(1) préconfigurés — un site statique ou proxy inverse avec des certificats à renouvellement automatique, sous 60 Mo en mémoire. |
| OpenBSD 7.6 + relayd | openbsd-7.6-relayd |
relayd(8) pré-câblé comme proxy L4/L7 terminant TLS — utile en frontal d'une stack applicative que vous souhaitez isolée de la couche TLS publique. |
Montage ISO personnalisé disponible pour toute autre version OpenBSD ou pour le workflow install76.img sur demande — sans ticket via le panneau.
Primitives de sécurité intégrées dans la base. Ensemble de paquets réduit, cadence délibérée de deux versions par an, pas de systemd, pas de stack de conteneurs. Le bon choix pour un daemon exposé sur Internet à usage unique que vous souhaitez isoler.
Les conteneurs, Kubernetes, les binaires des fournisseurs, la stack d'observabilité moderne — tout cela suppose Linux. Choisissez /debian-vps/ pour la stabilité ou /ubuntu-vps/ pour le plus large écosystème.
L'autre pairing BSD — ZFS première classe, jails, bhyve. Moins obsédé par la sécurité qu'OpenBSD, mais avec un arbre de ports bien plus riche et une licence permissive. Voir /freebsd-vps/.
2 vCPU, 4 Go RAM, 120 Go NVMe. L'empreinte de base d'OpenBSD est si réduite que ce niveau fait tourner confortablement httpd + relayd + unbound, un endpoint WireGuard, ou un relais de messagerie OpenSMTPd avec tous les bacs à sable actifs.
4 vCPU, 8 Go RAM, 240 Go NVMe. Le choix idéal pour un DNS autoritaire hébergé sous OpenBSD (nsd + unbound + dnsmasq), ou une petite capsule Gemini/Gopher, ou une application auditée écrite avec pledge/unveil.
8 vCPU, 16 Go RAM, 480 Go NVMe. Confortable pour un remplacement de routeur de périphérie OpenBSD (pf + relayd + iked + dhcpd) hébergeant une demi-douzaine de démons en bac à sable.
Gamme complète — Sentinel · Garrison · Ravelin · Bulwark · Citadel — sur /vps/.
Pour un daemon exposé sur internet — un proxy inverse, un DNS faisant autorité, un relais mail, un petit site statique derrière acme-client — OpenBSD sur NordBastion vous offre W^X, KARL, pledge et unveil sans liste de durcissement. L'association avec un hébergeur nordique sans KYC est cohérente : deux organisations qui ont pris des engagements écrits en matière de sécurité et de logiciel libre plutôt que de simples arguments marketing.
Choisissez une distribution Linux (voir /debian-vps/, /ubuntu-vps/, /arch-linux-vps/) quand vous avez réellement besoin de l'écosystème de conteneurs. Choisissez OpenBSD quand vous avez réellement besoin que le système de base soit la frontière de confiance.
Les questions que les opérateurs posent réellement avant de déployer un BSD orienté sécurité chez un hébergeur axé sur la confidentialité.
OpenBSD 7.6 comme version actuelle (-current rebasé sur le dernier snapshot au moment de la construction de l'image), et 7.5 comme version précédente recevant encore des correctifs errata via syspatch. Les versions plus anciennes ne sont pas dans le panneau — la position officielle d'OpenBSD est que vous devez exécuter une version supportée — mais le montage d'ISO personnalisé est disponible pour quiconque exécute délibérément la 7.4 ou une version antérieure pour une raison connue.
Parce qu'OpenBSD fait des choix par défaut différents. Le système de base exécute les binaires sous W^X, le noyau est re-randomisé au démarrage (KARL), les appels système dans les démons audités sont restreints par pledge(2) et l'accès au système de fichiers par unveil(2), et le résultat est qu'une classe de bugs qui seraient exploitables sur un système Linux standard n'est tout simplement pas accessible. Rien de tout cela ne nécessite que vous vous souveniez de l'activer.
Non — noyau OpenBSD GENERIC.MP standard. Nous n'appliquons pas de patches au noyau, nous ne supprimons pas de drivers, nous ne précompilons pas de noyau personnalisé pour les chemins virtio. KARL réorganise de toute façon l'ordre de liaison du noyau à chaque démarrage, de sorte que même le binaire sur le disque est intentionnellement différent de celui de l'opérateur suivant.
Oui. /etc/installurl sur l'image par défaut pointe vers cdn.openbsd.org, qui résout vers un miroir nordique (généralement ftp.eu.openbsd.org ou l'un des miroirs des universités suédoises) depuis l'un des quatre bastions. pkg_add et l'arbre des ports fonctionnent sans configuration supplémentaire ; le pare-feu autorise le trafic des miroirs OpenBSD en clair et sous forme d'onion Tor.
Oui, et c'est le chemin de mise à jour canonique sur les images OpenBSD NordBastion. syspatch applique les errata signés pour la version en cours sans build source complet. L'image active les entrées cron(8) quotidiennes standard ; vous pouvez opter pour syspatch automatique en éditant /etc/daily.local. Nous n'appliquons pas syspatch automatiquement — c'est votre décision.
Non — OpenBSD n'a pas de runtime de conteneurs natif dans ce style, et le projet a délibérément renoncé à suivre l'écosystème de conteneurs Linux. Si votre charge de travail est fondamentalement une pile de conteneurs OCI, faites-la tourner sur Debian (voir /debian-vps/) ou Ubuntu (voir /ubuntu-vps/). OpenBSD est le bon choix pour les daemons qui vivent directement sur l'hôte — relayd, httpd, OpenSMTPd, unbound — et bénéficient du sandboxing pledge/unveil.
Une installation de base avec OpenSSH, doas, vi, sysmerge, syspatch, les tables cron standard et acme-client. Aucun paquet tiers par défaut ; vous choisissez les vôtres avec pkg_add. L'image est intentionnellement proche d'une installation(8) fraîche de la version officielle.
OpenBSD dispose d'un support solide de virtio-net, virtio-blk et virtio-rng sur KVM, et NordBastion utilise le type de machine recommandé par l'amont (q35, virtio-scsi pour le stockage). Une chose à savoir : OpenBSD préfère MBR ou GPT avec la disposition d'installation par défaut, et l'allocation automatique de disque de l'installateur fonctionne bien sur les périphériques virtio — il n'y a pas de rituel de partitionnement particulier à retenir.
Hébergement privé, conçu dans le Nord.
