Comment durcir SSH sur un nouveau VPS ?

Pourquoi durcir SSH avant tout le reste ?

SSH est le seul service que chaque VPS expose dès la première minute : c'est donc la première porte à verrouiller. Les tentatives de devinette de mot de passe sur le port 22 commencent dès qu'une adresse est active, et une connexion par clé seule supprime toute cette catégorie d'attaque.

Root over SSH. Paste a public key at checkout and password login stays switched off; leave it empty and the team sets a temporary root password, shown in your dashboard, that you change at first login. Si vous avez collé une clé à la commande, la connexion par mot de passe est déjà désactivée, et ce guide ajoute les limites restantes. Si vous avez reçu un mot de passe root temporaire, changez-le à la première connexion avec passwd avant toute autre action. Selon l'enquête de Gloamport sur 10 novembre 2026, 6 hébergeurs acceptent le Monero et ne demandent aucune adresse e-mail à l'inscription : sur ces serveurs, la clé SSH et le numéro de compte sont donc les seuls secrets qui protègent la machine.

Comment créer un utilisateur sudo et lui donner ma clé ?

Créez l'utilisateur, ajoutez-le au groupe sudo, et copiez-lui la clé autorisée du compte root. Si vous n'en avez pas encore, utilisez votre clé de Comment générer une clé SSH pour mon VPS ?. Remplacez admin par le nom d'utilisateur souhaité.

adduser admin
usermod -aG sudo admin
mkdir -p /home/admin/.ssh
cp /root/.ssh/authorized_keys /home/admin/.ssh/authorized_keys
chown -R admin:admin /home/admin/.ssh
chmod 700 /home/admin/.ssh
chmod 600 /home/admin/.ssh/authorized_keys

Que met-on dans le fichier drop-in de sshd_config ?

Mettez les options dans un seul drop-in, pour qu'une mise à jour du paquet ne les écrase jamais. Le manuel de sshd_config indique que, pour la plupart des mots-clés, la première valeur obtenue est utilisée, et que le fichier de Debian inclut /etc/ssh/sshd_config.d/*.conf au début ; le préfixe 00- fait donc primer le vôtre sur les fichiers comme le drop-in propre à une image cloud.

PasswordAuthentication no
KbdInteractiveAuthentication no
PubkeyAuthentication yes
PermitRootLogin no
AllowUsers admin
MaxAuthTries 3
LoginGraceTime 30

sshd -t
sshd -T | grep -E "passwordauthentication|permitrootlogin|allowusers"
systemctl restart ssh

Faut-il changer le port SSH ou ajouter un pare-feu ?

Un autre port réduit le bruit dans les journaux mais n'ajoute aucune sécurité réelle : considérez-le comme facultatif. Le manuel permet de le régler avec Port, et plusieurs lignes Port sont autorisées. Si vous le changez, ouvrez le nouveau port dans votre pare-feu avant de redémarrer ssh. Virtualisation KVM complète : votre propre noyau, vos propres règles de pare-feu et votre propre chiffrement de disque si vous le configurez, donc vous utilisez le pare-feu qui vous convient.

Une fois SSH bien verrouillé, les couches suivantes sont un tunnel privé (Comment configurer WireGuard sur un VPS ?) et un volume de données chiffré (Puis-je chiffrer le disque d'un VPS avec LUKS ?). Dusk, avec 2 GB de RAM, coûte $5.25 par mois sur 12 mois ; voir la page tarifs.