Sécuriser l'accès SSH de votre serveur : les bonnes pratiques

Si vous regardez les logs d'un serveur exposé sur Internet, vous verrez des centaines de tentatives de connexion SSH par jour, venues du monde entier. Ce ne sont pas des humains, mais des robots qui testent des mots de passe en boucle. Voici comment leur fermer la porte.

L'authentification par clé, non négociable

Le mot de passe, même complexe, reste vulnérable au bruteforce et aux fuites. Une clé SSH, elle, est quasiment impossible à deviner.

ssh-keygen -t ed25519 -C "mon-poste"
ssh-copy-id user@mon-serveur

Désactiver la connexion root directe

Le compte root est la cible numéro un, car son nom est connu de tous. En interdisant la connexion directe en root, vous obligez un attaquant à deviner à la fois un nom d'utilisateur et une clé.

PermitRootLogin no

Couper l'authentification par mot de passe

Une fois vos clés en place :

PasswordAuthentication no

L'effet est immédiat : les milliers de tentatives de bruteforce quotidiennes tombent toutes dans le vide, sans aucune chance d'aboutir.

Changer le port (un petit plus)

Déplacer SSH du port 22 vers un autre port ne rend pas votre serveur invulnérable, mais réduit énormément le bruit des scans automatiques. De la sécurité par discrétion : utile en complément, jamais en remplacement.

Surveiller et bannir

Ajoutez fail2ban pour bannir les IP trop insistantes, et gardez un œil sur vos journaux de connexion.

Sur l'ensemble de notre infrastructure, ces principes de durcissement sont appliqués par défaut : on prend la sécurité au sérieux, pour vous comme pour nous.