# Puis-je chiffrer le disque d'un VPS avec LUKS ? > Oui : LUKS2 chiffre un volume sur un VPS, mais l'hébergeur peut voir la RAM. Gloam, 2 vCPU et 4 GB, coûte $8.25 par mois sur 12 mois. - URL: https://gloamport.com/fr/guides/how-to-encrypt-a-vps-disk-with-luks/ - Dernière mise à jour: 2026-11-10 - Éditeur: Gloamport (https://gloamport.com) LUKS protège les données au repos. Il ne cache pas un VPS en marche à la machine qui l'héberge, et cette page indique où se trouve la limite. **Réponse rapide — Puis-je chiffrer le disque d'un VPS avec LUKS ?** Oui, vous pouvez chiffrer le disque d'un VPS avec LUKS, car Gloamport vous offre une virtualisation KVM complète avec votre propre noyau. Créez un volume avec cryptsetup luksFormat, ouvrez-le, formatez-le et montez-le. Un plan Gloam, 2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, coûte $8.25 par mois sur 12 mois. ## Que protège LUKS sur un VPS, et que ne protège-t-il pas ? | Situation | Protégé par LUKS ? | Pourquoi | | --- | --- | --- | | Une copie de l'image disque ou un instantané | Oui | Les données sur le disque sont du texte chiffré sans la phrase de passe | | Un VPS éteint | Oui | La clé n'est pas en mémoire | | Un VPS en marche avec le volume ouvert | Non | La clé et le texte en clair sont en RAM, que la machine hôte peut lire | | Quelqu'un ayant les droits root dans votre VPS | Non | Il voit le volume monté | | Une phrase de passe perdue ou un en-tête endommagé | Non | Les données sont perdues, sauf si vous avez fait une sauvegarde de l'en-tête | La limite de la RAM est une propriété de la virtualisation, pas de Gloamport : tout hébergeur peut lire la mémoire des machines invitées qu'il fait tourner. ## Que procure réellement le chiffrement d'un disque VPS avec LUKS ? LUKS offre un chiffrement au repos : quiconque copie le disque sans la phrase de passe n'obtient que du bruit. Il ne protège pas contre l'hébergeur pendant que le VPS tourne, car la clé déverrouillée se trouve en mémoire que l'hyperviseur peut lire. C'est pourquoi la présentation honnête compte. Gloamport indique que Virtualisation KVM complète : votre propre noyau, vos propres règles de pare-feu et votre propre chiffrement de disque si vous le configurez, ce qui rend LUKS possible, et que Aucun plan n'inclut de sauvegardes : conservez votre propre copie de tout ce que vous ne pouvez pas perdre. Associez le chiffrement à vos propres sauvegardes. Pour la question plus large de ce qu'est et n'est pas un VPS privé, voir [Qu'est-ce qui rend un VPS axé sur la confidentialité ?](https://gloamport.com/fr/privacy-focused-vps/ "Qu'est-ce qui rend un VPS axé sur la confidentialité ?"). ## Quel plan Gloamport convient à un volume chiffré ? Gloam est une taille confortable : il dispose de 2 vCPU, 4 GB de RAM et 80 GB de NVMe de stockage, et Gloamport le présente pour « Un serveur Matrix, Vaultwarden et SearXNG ensemble ». Le chiffrement consomme un peu de CPU, donc un second cœur aide. Selon l'étude de Gloamport menée sur 10 novembre 2026, le prix médian d'un VPS comparable 2 vCPU, 4 GB parmi 29 hébergeurs était de $31.29 par mois. Gloam coûte $8.25 par mois sur 12 mois et $16.50 sur 1 mois. ## Comment chiffrer un volume sur un VPS avec LUKS, étape par étape ? Sept étapes pour un volume de données contenu dans un fichier. Les mêmes commandes fonctionnent sur un périphérique bloc. 1. **Installer cryptsetup** — Lancez apt install cryptsetup en tant que root. 2. **Créer le fichier conteneur** — Allouez un fichier de la taille dont vous avez besoin. cryptsetup associe lui-même un fichier ordinaire à un périphérique de boucle. 3. **Le formater en LUKS2** — Lancez cryptsetup --type luks2 luksFormat sur le fichier et choisissez une phrase de passe longue. Cela efface tout ce qui se trouve dans le fichier. 4. **Sauvegarder l'en-tête** — Lancez luksHeaderBackup et conservez le fichier à l'écart du VPS. Un en-tête endommagé fait perdre toutes les données sinon. 5. **Ouvrir le volume** — Lancez cryptsetup open avec un nom de mappage. Un périphérique apparaît sous /dev/mapper/. 6. **Créer un système de fichiers et le monter** — Lancez mkfs.ext4 sur le périphérique mappé, créez un dossier et montez-le. 7. **Fermer à la fin** — Démontez, puis lancez cryptsetup close, ce qui supprime le mappage et efface la clé de la mémoire du noyau. ## Quelles sont les commandes LUKS exactes ? Les commandes ci-dessous suivent le manuel de cryptsetup. `luksFormat` initialise le volume et définit la première phrase de passe, `open` crée le mappage, `luksDump` affiche l'en-tête, et `luksHeaderBackup` enregistre une sauvegarde binaire de l'en-tête et de la zone des emplacements de clés. Le manuel indique que si l'en-tête d'un volume LUKS est endommagé, toutes les données sont définitivement perdues, sauf si vous disposez d'une sauvegarde de l'en-tête. *Créer et formater le conteneur* ```bash apt install cryptsetup fallocate -l 10G /root/vault.img cryptsetup --type luks2 luksFormat /root/vault.img cryptsetup luksHeaderBackup /root/vault.img --header-backup-file /root/vault.header ``` *Ouvrir, formater et monter* ```bash cryptsetup open /root/vault.img vault mkfs.ext4 /dev/mapper/vault mkdir -p /mnt/vault mount /dev/mapper/vault /mnt/vault ``` *Fermer* ```bash umount /mnt/vault cryptsetup close vault ``` ## Puis-je déverrouiller à distance un disque racine chiffré avec dropbear-initramfs ? Oui, si le système démarre sur une racine chiffrée : un petit serveur SSH dans l'initramfs peut recevoir la phrase de passe avant que le système de fichiers racine ne soit monté. Cela exige une installation que vous configurez avec une racine chiffrée, un travail plus lourd que le volume de données ci-dessus ; traitez-le donc comme une étape avancée et vérifiez que votre image et votre processus de démarrage le permettent. Le paquet Debian `dropbear-initramfs` fournit un accès SSH dans le système de fichiers initial en RAM, par exemple pour déverrouiller des disques chiffrés. Sa documentation place vos clés publiques dans `/etc/dropbear/initramfs/authorized_keys` et les options dans `/etc/dropbear/initramfs/dropbear.conf`, et indique de lancer `update-initramfs -u -k all` après les avoir modifiées. Elle déconseille aussi de réutiliser les clés d'hôte SSH principales, car `/boot` n'est généralement pas chiffré. *Installer et appliquer le serveur SSH de l'initramfs* ```bash apt install dropbear-initramfs nano /etc/dropbear/initramfs/authorized_keys update-initramfs -u -k all ``` *Facultatif : écouter sur un autre port (dropbear.conf)* ```text DROPBEAR_OPTIONS="-p 2222" ``` > **Tester avant de s'y fier** Gardez un second moyen d'accès et testez le déverrouillage d'abord sur un VPS de secours. Un initramfs défectueux ou une phrase de passe perdue peut laisser la machine bloquée au démarrage. Utilisez un autre port SSH ou un autre fichier known_hosts pour l'étape de déverrouillage, puisque ses clés d'hôte diffèrent de celles du serveur principal. ## Comment garder un VPS chiffré utilisable dans la durée ? Sauvegardez l'en-tête, notez la phrase de passe hors ligne, et conservez votre propre copie des données, puisque le plan n'inclut aucune sauvegarde. Le manuel de cryptsetup indique que la sauvegarde est indispensable aussi pour les données chiffrées, si elles ont la moindre valeur. Verrouillez aussi la porte d'entrée. [Comment durcir SSH sur un nouveau VPS ?](https://gloamport.com/fr/guides/how-to-harden-ssh-on-a-vps/ "Comment durcir SSH sur un nouveau VPS ?") s'en charge, et [Comment générer une clé SSH pour mon VPS ?](https://gloamport.com/fr/guides/how-to-generate-an-ssh-key/ "Comment générer une clé SSH pour mon VPS ?") couvre la clé. Les plans et durées figurent sur [la page tarifs](https://gloamport.com/fr/pricing/ "Combien coûte un VPS Gloamport ?"). **En résumé** - LUKS2 chiffre les données au repos sur un VPS avec virtualisation KVM complète. - Il ne cache pas un VPS en marche à l'hôte, qui peut lire la RAM. - `cryptsetup --type luks2 luksFormat` crée le volume ; `open` et `close` le gèrent. - Sauvegardez l'en-tête avec `luksHeaderBackup` : un en-tête endommagé fait perdre toutes les données. - `dropbear-initramfs` permet le déverrouillage à distance d'une racine chiffrée. - Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic) coûte $8.25 par mois sur 12 mois. ## LUKS sur un VPS : questions fréquentes ### L'hébergeur du VPS peut-il lire mes données chiffrées avec LUKS ? Pas depuis le disque, mais oui pendant que le volume est ouvert, car la clé et les données se trouvent en mémoire que l'hébergeur peut lire. LUKS protège les données au repos. ### Puis-je utiliser un fichier au lieu d'une partition ? Oui. Le manuel de cryptsetup indique que si l'argument du périphérique est un fichier, cryptsetup tente d'allouer un périphérique de boucle et de le mapper à ce fichier. ### Que se passe-t-il si j'oublie la phrase de passe ? Les données ne peuvent plus être lues. Gardez la phrase de passe en sûreté et faites une sauvegarde de l'en-tête, car un en-tête endommagé fait aussi perdre tout. ### Que fait dropbear-initramfs ? Il démarre un petit serveur SSH dans le système de fichiers initial en RAM, pour que vous puissiez déverrouiller un disque racine chiffré au démarrage depuis une autre machine. ### Gloamport inclut-il des sauvegardes ? Aucun plan n'inclut de sauvegardes : conservez donc votre propre copie de tout ce que vous ne pouvez pas perdre. ## Sources 1. [Page de manuel cryptsetup(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup.8.en.html) — Debian (checked 2026-11-10) 2. [Page de manuel cryptsetup-luksFormat(8)](https://manpages.debian.org/trixie/cryptsetup-bin/cryptsetup-luksFormat.8.en.html) — Debian (checked 2026-11-10) 3. [README de dropbear-initramfs](https://salsa.debian.org/debian/dropbear/-/raw/debian/latest/debian/README.initramfs) — Debian (checked 2026-11-10) 4. [Paquet dropbear-initramfs (trixie)](https://packages.debian.org/trixie/dropbear-initramfs) — Debian (checked 2026-11-10) --- Gloamport: Gloamport est un hébergeur de VPS qui vend des serveurs Linux KVM sans KYC, commandés avec un numéro de compte et payés en crypto-monnaie, Monero en premier ; il est exploité par DomaineGoat LLC, une société immatriculée au Panama. Une commande demande un plan, une crypto-monnaie et, seulement si vous le voulez, une adresse e-mail : ni nom, ni adresse postale, ni téléphone, ni pièce d'identité. Sur la durée de 12 mois, chaque plan est au moins 25 % moins cher qu'un plan comparable nommé, issu d'une étude de 38 hébergeurs VPS crypto sans KYC relevée le 10 novembre 2026.