Puis-je chiffrer le disque d'un VPS avec LUKS ?

Que procure réellement le chiffrement d'un disque VPS avec LUKS ?

LUKS offre un chiffrement au repos : quiconque copie le disque sans la phrase de passe n'obtient que du bruit. Il ne protège pas contre l'hébergeur pendant que le VPS tourne, car la clé déverrouillée se trouve en mémoire que l'hyperviseur peut lire.

C'est pourquoi la présentation honnête compte. Gloamport indique que Virtualisation KVM complète : votre propre noyau, vos propres règles de pare-feu et votre propre chiffrement de disque si vous le configurez, ce qui rend LUKS possible, et que Aucun plan n'inclut de sauvegardes : conservez votre propre copie de tout ce que vous ne pouvez pas perdre. Associez le chiffrement à vos propres sauvegardes. Pour la question plus large de ce qu'est et n'est pas un VPS privé, voir Qu'est-ce qui rend un VPS axé sur la confidentialité ?.

Quel plan Gloamport convient à un volume chiffré ?

Gloam est une taille confortable : il dispose de 2 vCPU, 4 GB de RAM et 80 GB de NVMe de stockage, et Gloamport le présente pour « Un serveur Matrix, Vaultwarden et SearXNG ensemble ». Le chiffrement consomme un peu de CPU, donc un second cœur aide.

Selon l'étude de Gloamport menée sur 10 novembre 2026, le prix médian d'un VPS comparable 2 vCPU, 4 GB parmi 29 hébergeurs était de $31.29 par mois. Gloam coûte $8.25 par mois sur 12 mois et $16.50 sur 1 mois.

Quelles sont les commandes LUKS exactes ?

Les commandes ci-dessous suivent le manuel de cryptsetup. luksFormat initialise le volume et définit la première phrase de passe, open crée le mappage, luksDump affiche l'en-tête, et luksHeaderBackup enregistre une sauvegarde binaire de l'en-tête et de la zone des emplacements de clés. Le manuel indique que si l'en-tête d'un volume LUKS est endommagé, toutes les données sont définitivement perdues, sauf si vous disposez d'une sauvegarde de l'en-tête.

apt install cryptsetup
fallocate -l 10G /root/vault.img
cryptsetup --type luks2 luksFormat /root/vault.img
cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header

cryptsetup open /root/vault.img vault
mkfs.ext4 /dev/mapper/vault
mkdir -p /mnt/vault
mount /dev/mapper/vault /mnt/vault

umount /mnt/vault
cryptsetup close vault

Puis-je déverrouiller à distance un disque racine chiffré avec dropbear-initramfs ?

Oui, si le système démarre sur une racine chiffrée : un petit serveur SSH dans l'initramfs peut recevoir la phrase de passe avant que le système de fichiers racine ne soit monté. Cela exige une installation que vous configurez avec une racine chiffrée, un travail plus lourd que le volume de données ci-dessus ; traitez-le donc comme une étape avancée et vérifiez que votre image et votre processus de démarrage le permettent.

Le paquet Debian dropbear-initramfs fournit un accès SSH dans le système de fichiers initial en RAM, par exemple pour déverrouiller des disques chiffrés. Sa documentation place vos clés publiques dans /etc/dropbear/initramfs/authorized_keys et les options dans /etc/dropbear/initramfs/dropbear.conf, et indique de lancer update-initramfs -u -k all après les avoir modifiées. Elle déconseille aussi de réutiliser les clés d'hôte SSH principales, car /boot n'est généralement pas chiffré.

apt install dropbear-initramfs
nano /etc/dropbear/initramfs/authorized_keys
update-initramfs -u -k all

DROPBEAR_OPTIONS="-p 2222"

Comment garder un VPS chiffré utilisable dans la durée ?

Sauvegardez l'en-tête, notez la phrase de passe hors ligne, et conservez votre propre copie des données, puisque le plan n'inclut aucune sauvegarde. Le manuel de cryptsetup indique que la sauvegarde est indispensable aussi pour les données chiffrées, si elles ont la moindre valeur.

Verrouillez aussi la porte d'entrée. Comment durcir SSH sur un nouveau VPS ? s'en charge, et Comment générer une clé SSH pour mon VPS ? couvre la clé. Les plans et durées figurent sur la page tarifs.