Sécuriser un nouveau VPS : les 10 premières minutes

Se connecter, mettre à jour, redémarrer

Votre première connexion SSH est le bon moment pour mettre le système entièrement à jour. L'image dont est issu votre VPS est une photographie figée dans le temps, et des correctifs de sécurité sont très probablement sortis depuis sa création. Appliquez tout avant d'installer le moindre paquet à vous.

Un redémarrage juste après la mise à niveau garantit que vous exécutez réellement le noyau et les bibliothèques corrigés, au lieu de simplement les garder sur le disque. Cela vous coûte trente secondes maintenant et vous évite le piège classique du « corrigé mais toujours vulnérable ».

ssh root@your-ip
apt update && apt upgrade -y
reboot

Les clés entrent, les mots de passe sortent

Ajoutez votre clé publique SSH sur le serveur, vérifiez que vous pouvez vous connecter avec, puis désactivez complètement l'authentification par mot de passe. La devinette de mots de passe est l'attaque la plus courante contre un VPS tout neuf, et la désactiver met fin à la partie avant qu'elle ne commence. En option, désactivez aussi la connexion directe en root.

Créez un utilisateur ordinaire avec les droits sudo et faites-en votre compte du quotidien. Tout faire en root signifie qu'une simple faute de frappe peut mettre la machine à terre ; un utilisateur sudo vous donne le même pouvoir, avec un instant de réflexion supplémentaire avant chaque commande privilégiée.

Un pare-feu à trois règles

Un bon pare-feu de départ est ennuyeux : refuser tout le trafic entrant par défaut, puis n'ouvrir que ce que vous servez réellement. Pour la plupart des serveurs web, cela fait exactement trois règles, et toute règle supplémentaire devrait être accompagnée d'une justification.

Définissez cette politique avant d'installer vos services, pas après. Un port qui n'a jamais été joignable depuis Internet est un port dont vous n'aurez jamais à craindre l'exposition accidentelle.

• Autoriser le port 22 (ou votre port SSH personnalisé)
• Autoriser les ports 80 et 443
• Refuser tout le reste par défaut

Mises à jour de sécurité automatiques

Activez les mises à niveau non surveillées pour les correctifs de sécurité, afin que le système d'exploitation reste à jour sans attendre que vous y pensiez. Les correctifs critiques sont appliqués dans les heures qui suivent leur publication, plutôt que lors de votre prochain week-end de maintenance.

Cela couvre le système et ses paquets — les mises à jour de vos propres applications et de leurs dépendances restent votre responsabilité. Les correctifs automatiques sont un filet de sécurité pour la plateforme sous votre code, pas un substitut à la maintenance du code lui-même.

Ce que la plateforme fait déjà pour vous

Votre VPS Anested ne part pas de zéro. L'isolation réseau sépare les tenants les uns des autres, et le filtrage DDoS en bordure absorbe les attaques volumétriques avant qu'elles n'atteignent votre interface réseau. Les snapshots vous donnent un point de restauration propre si quelque chose tourne mal.

Voyez cela comme une défense en profondeur : la plateforme gère les couches sous votre serveur, mais la configuration à l'intérieur de votre VPS vous appartient. Les dix minutes passées sur cette checklist sont la couche que vous seul pouvez fournir.