Comment sécuriser un VPS Ubuntu pour la production ?

Savoir securiser VPS Ubuntu en production est une competence non negociable pour tout administrateur qui expose des services sur Internet. Un serveur mal configure est scanne et attaque en quelques minutes apres sa mise en ligne. Ce tutoriel 2026 couvre les etapes concretes : durcissement SSH, pare-feu, mises a jour automatiques, detection d'intrusion et bonnes pratiques operationnelles.

Premiers reflexes apres le provisioning d'un VPS Ubuntu

Un VPS fraichement livre repond deja sur le port 22 avec un compte root et une IP publique. Avant meme d'installer quoi que ce soit, quelques operations de base reduisent drastiquement la surface d'attaque. L'objectif est simple : ne jamais laisser un serveur exposer des credentials par defaut ou des services inutiles.

Mettre a jour le systeme immediatement

La premiere commande a executer, sans exception, concerne les paquets. Un noyau et des librairies a jour ferment un grand nombre de vulnerabilites connues.

sudo apt update && sudo apt full-upgrade -y
sudo apt autoremove --purge -y
sudo reboot

Le redemarrage n'est necessaire que si un nouveau kernel a ete installe. Vous pouvez le verifier avec ls -la /vmlinuz ou en consultant les logs d'apt.

Creer un utilisateur dedie non-root

Travailler en root en permanence est une mauvaise pratique. Creez un utilisateur avec droits sudo et reservez root aux operations exceptionnelles.

sudo adduser omega
sudo usermod -aG sudo omega
su - omega
sudo whoami

Si la derniere commande renvoie root, l'escalade de privileges fonctionne correctement pour ce compte.

Inventaire des services exposes

Avant de filtrer, il faut savoir ce qui ecoute. La commande suivante liste les sockets en ecoute et les processus associes.

sudo ss -tulpn

Desactivez tout service que vous ne comptez pas utiliser. Moins il y a de ports ouverts, moins il y a de vecteurs d'attaque. Sur les VPS Linux modernes, ce nettoyage prend quelques minutes et evite bien des mauvaises surprises.

Securiser VPS Ubuntu : durcissement SSH et authentification

SSH est la porte d'entree principale. La majorite des tentatives d'intrusion automatisees ciblent ce service par bruteforce sur des mots de passe faibles. La regle d'or pour securiser VPS Ubuntu : abandonner totalement l'authentification par mot de passe au profit des cles cryptographiques.

Generer et deployer une cle SSH

Sur votre poste local (pas sur le serveur), generez une paire de cles Ed25519, plus rapide et plus robuste que RSA.

ssh-keygen -t ed25519 -C "admin@omega-cloud"
ssh-copy-id omega@VOTRE_IP_VPS

Testez ensuite la connexion par cle avant de desactiver quoi que ce soit :

ssh omega@VOTRE_IP_VPS

Configurer le daemon SSH

Editez la configuration serveur pour appliquer les restrictions. Privilegiez un fichier dedie dans /etc/ssh/sshd_config.d/ pour ne pas ecraser la config par defaut.

sudo nano /etc/ssh/sshd_config.d/99-hardening.conf

Contenu recommande :

PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
KbdInteractiveAuthentication no
X11Forwarding no
MaxAuthTries 3
AllowUsers omega
Port 2222

Le changement de port (ici 2222) ne constitue pas une securite en soi, mais reduit considerablement le bruit des scans automatiques. Rechargez ensuite le service :

sudo systemctl restart ssh
sudo systemctl status ssh

Ne fermez jamais votre session courante avant d'avoir valide une nouvelle connexion dans un second terminal. Une erreur de config SSH peut vous verrouiller hors du serveur.

Recapitulatif des directives critiques

Directive	Valeur	Raison
PermitRootLogin	no	Empeche l'acces root direct
PasswordAuthentication	no	Bloque le bruteforce de mots de passe
MaxAuthTries	3	Limite les tentatives par connexion
AllowUsers	omega	Liste blanche des comptes autorises

Pare-feu, fail2ban et protection reseau

Une fois SSH durci, on filtre le trafic entrant. Ubuntu embarque ufw, une surcouche simple a nftables, largement suffisante pour la plupart des serveurs de production.

Configurer ufw

La logique est de tout bloquer par defaut en entree, puis d'ouvrir uniquement le necessaire.

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 2222/tcp
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw enable
sudo ufw status verbose

Adaptez le port SSH a celui defini precedemment. Si vous n'exposez pas de site web, ne laissez pas 80 et 443 ouverts inutilement.

Installer et configurer fail2ban

fail2ban analyse les journaux et bannit temporairement les IP qui multiplient les echecs d'authentification. C'est un complement indispensable au filtrage statique.

sudo apt install fail2ban -y
sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local

Editez /etc/fail2ban/jail.local pour activer la jail SSH sur votre port personnalise :

[sshd]
enabled = true
port = 2222
maxretry = 3
bantime = 3600
findtime = 600

Redemarrez et verifiez l'etat :

sudo systemctl restart fail2ban
sudo fail2ban-client status sshd

Anti-DDoS volumetrique : deja gere cote infrastructure

Il faut distinguer deux niveaux de protection. fail2ban et ufw repondent aux attaques applicatives et aux bruteforce, mais ne protegent pas contre les floods volumetriques de plusieurs Gbps. Chez OmegaCloud, la mitigation volumetrique est assuree au niveau du reseau, de facon transparente et incluse par defaut. Vous vous concentrez donc sur le durcissement systeme, l'infrastructure absorbe les attaques de saturation en amont.

Mises a jour automatiques, supervision et maintenance

Un serveur securise le jour de son installation ne le reste pas sans maintenance. Les CVE tombent en continu, et un patch manquant suffit a compromettre une machine. L'automatisation des mises a jour de securite est donc essentielle pour securiser VPS Ubuntu sur la duree.

Activer unattended-upgrades

sudo apt install unattended-upgrades -y
sudo dpkg-reconfigure --priority=low unattended-upgrades

Verifiez que seules les mises a jour de securite sont appliquees automatiquement dans /etc/apt/apt.conf.d/50unattended-upgrades. Pour les mises a jour applicatives majeures, conservez un controle manuel afin d'eviter les regressions en production.

Surveiller les logs et l'etat systeme

Une supervision minimale permet de detecter un comportement anormal avant qu'il ne degenere. Quelques commandes utiles au quotidien :

sudo journalctl -u ssh --since "1 hour ago"
sudo last -a | head
sudo systemctl --failed
df -h && free -m

Le panel de gestion apporte un complement visuel precieux : le panel OmegaCloud affiche en temps reel la charge CPU, la RAM, le SSD et le trafic reseau, ce qui aide a reperer un pic suspect ou une consommation anormale sans avoir a se connecter en SSH.

Snapshots et strategie de recuperation

La securite inclut la capacite a restaurer un etat sain apres un incident. Prenez un snapshot avant chaque operation risquee (mise a jour majeure, changement de config critique). Un snapshot recent transforme une compromission potentiellement catastrophique en simple restauration de quelques minutes.

• Snapshot avant chaque maintenance majeure
• Sauvegarde des donnees applicatives hors du serveur
• Test regulier de la procedure de restauration
• Documentation des configurations dans un depot Git versionne

Automatiser le durcissement via CI/CD

Pour les infrastructures a plusieurs serveurs, scripter le durcissement garantit la reproductibilite. Les integrations et API OmegaCloud permettent de declencher provisioning et configuration via GitHub Actions ou GitLab CI, en appliquant systematiquement la meme baseline securite sur chaque nouveau VPS Linux OmegaCloud.

Checklist de securisation

Etape	Statut attendu
Systeme a jour	full-upgrade applique
Compte non-root sudo	Cree et teste
Auth SSH par cle	PasswordAuthentication no
Pare-feu actif	ufw enable, deny incoming
fail2ban	jail sshd active
MAJ auto securite	unattended-upgrades
2FA sur panel	Active
Snapshots	Planifies

Pour aller plus loin sur les bonnes pratiques de configuration serveur, la documentation officielle reste une reference solide : Source.

Conclusion

Securiser un VPS Ubuntu en production repose sur des fondamentaux stables : durcissement SSH par cles, pare-feu restrictif, fail2ban, mises a jour automatiques et snapshots reguliers. Aucune etape n'est complexe prise isolement, mais leur combinaison forme une defense en profondeur solide. La discipline operationnelle et la maintenance continue font la difference entre un serveur robuste et une cible facile.

FAQ

Faut-il vraiment desactiver l'authentification par mot de passe SSH ?

Oui, c'est la mesure la plus efficace contre le bruteforce. Une cle Ed25519 est impossible a deviner, contrairement a un mot de passe. Deployez et testez votre cle, puis passez PasswordAuthentication a no. Gardez toujours une session ouverte pendant le test pour eviter de vous verrouiller hors du serveur.

Dois-je configurer une protection anti-DDoS moi-meme sur mon VPS ?

Pour les attaques volumetriques de plusieurs Gbps, non : cette mitigation est geree cote infrastructure et incluse par defaut chez OmegaCloud. Votre role se limite au durcissement applicatif avec fail2ban et ufw, qui traitent les bruteforce et les abus au niveau du serveur.

Changer le port SSH ameliore-t-il reellement la securite ?

Ce n'est pas une mesure de securite forte, mais un moyen efficace de reduire le bruit des scans automatises qui ciblent le port 22. Combinez-le toujours avec l'authentification par cle et fail2ban. Seul, un changement de port ne protege pas contre un attaquant determine.