Sécuriser un serveur Linux en 2026 : checklist pour débutants

Louer un VPS ou installer un serveur Linux ne suffit pas pour le rendre sûr. Un serveur accessible depuis Internet peut être exposé aux tentatives de connexion automatisées, aux vulnérabilités logicielles et aux erreurs de configuration.

La bonne nouvelle, c’est qu’une série de mesures simples permet de réduire considérablement les risques. L’objectif n’est pas de rendre un serveur invulnérable, mais de limiter les accès, de maintenir les logiciels à jour et de pouvoir réagir rapidement en cas de problème.

Cette checklist s’adresse principalement aux utilisateurs d’Ubuntu et de Debian. Certaines commandes et certains outils diffèrent selon la distribution.

1. Mettre le système à jour

Un serveur qui utilise des logiciels obsolètes peut rester vulnérable à des failles déjà corrigées par leurs éditeurs.

Sur Ubuntu et Debian, commencez par actualiser la liste des paquets :

sudo apt update

Pour installer les mises à jour disponibles :

sudo apt upgrade

Lisez les modifications proposées avant de les confirmer, particulièrement sur un serveur de production. Certaines mises à jour peuvent nécessiter un redémarrage ou modifier le comportement d’un service.

Pour vérifier si un redémarrage est recommandé sur les systèmes qui utilisent ce mécanisme :

if [ -f /var/run/reboot-required ]; then
    echo "Redémarrage recommandé"
else
    echo "Aucun redémarrage signalé"
fi

Ce fichier est notamment utilisé par Ubuntu, mais il n’existe pas nécessairement sur toutes les distributions.

Bonne pratique : prévoyez une procédure de mise à jour régulière et conservez une sauvegarde vérifiée avant les changements importants.

2. Utiliser un compte administrateur dédié

Évitez d’utiliser directement le compte root pour toutes les opérations quotidiennes. Sur Ubuntu et Debian, vous pouvez créer un utilisateur dédié :

sudo adduser adminlinux
sudo usermod -aG sudo adminlinux

Remplacez adminlinux par le nom de votre choix.

Ce compte pourra exécuter des commandes administratives avec sudo. Vérifiez son fonctionnement dans une nouvelle session avant de modifier les accès existants.

Ne supprimez pas l’accès administrateur initial tant que vous n’avez pas confirmé que le nouveau compte fonctionne correctement.

3. Renforcer les connexions SSH

SSH permet d’administrer un serveur à distance. Il constitue donc un élément essentiel de sa sécurité.

Sur votre ordinateur, générez une paire de clés si vous n’en possédez pas déjà une :

ssh-keygen -t ed25519

Transférez ensuite la clé publique vers le serveur, si l’outil est disponible :

ssh-copy-id adminlinux@ADRESSE_DU_SERVEUR

Testez la connexion avec cette clé dans un nouveau terminal.

Avant de désactiver l’authentification par mot de passe, vérifiez que l’accès par clé fonctionne réellement et que vous disposez d’une solution de récupération.

Sur les systèmes OpenSSH qui utilisent /etc/ssh/sshd_config, les paramètres suivants peuvent renforcer la configuration :

PermitRootLogin no
PubkeyAuthentication yes
PasswordAuthentication no

Ces valeurs sont des exemples, pas une configuration à appliquer aveuglément. Vérifiez les règles déjà définies, les fichiers inclus et les exigences de votre environnement. Une erreur peut vous empêcher de vous reconnecter.

Après modification, testez la configuration :

sudo sshd -t

Si le test réussit, rechargez le service SSH selon la distribution, puis vérifiez la connexion dans une nouvelle session avant de fermer la session actuelle.

4. Configurer un pare-feu

Un pare-feu limite les connexions réseau autorisées. Sur Ubuntu, l’outil UFW facilite la gestion des règles courantes.

Commencez par autoriser SSH :

sudo ufw allow OpenSSH

Si le profil OpenSSH n’existe pas, vous pouvez autoriser le port réellement utilisé par SSH. Vérifiez toujours ce port avant d’activer le pare-feu.

Pour un serveur web classique, les ports HTTP et HTTPS peuvent être autorisés ainsi :

sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

Examinez les règles avant d’activer UFW :

sudo ufw status verbose

Puis, si les règles sont correctes :

sudo ufw enable

Attention : si SSH n’est pas autorisé correctement, vous risquez de perdre l’accès distant. Sur un VPS, vérifiez également les règles réseau proposées par votre hébergeur. Un pare-feu système et un pare-feu externe peuvent agir simultanément.

5. Réduire les services et les ports exposés

Un service inutile qui écoute sur une interface réseau peut augmenter la surface d’attaque du serveur.

Pour afficher les ports TCP et UDP en écoute :

sudo ss -lntup

Examinez les processus associés aux ports. Un serveur de base de données, par exemple, n’a généralement pas besoin d’être directement accessible depuis Internet si seules les applications locales doivent l’utiliser.

Ne désactivez pas un service uniquement parce que son nom vous semble inconnu. Identifiez d’abord son rôle et ses dépendances.

Lorsque c’est possible, privilégiez une architecture dans laquelle les services internes restent accessibles uniquement depuis le réseau privé ou l’interface locale.

6. Protéger les données avec des sauvegardes

La sécurité ne se limite pas à empêcher les intrusions. Il faut également pouvoir restaurer les données après une erreur humaine, une panne matérielle ou un incident de sécurité.

Une stratégie de sauvegarde doit préciser :

• quelles données sont sauvegardées ;
• à quelle fréquence les copies sont créées ;
• combien de temps elles sont conservées ;
• où elles sont stockées ;
• qui peut les consulter ou les supprimer ;
• comment la restauration est testée.

Conservez au moins une copie séparée du serveur principal. Si toutes les sauvegardes sont accessibles avec les mêmes identifiants que le serveur, un incident peut compromettre les deux.

Une sauvegarde n’est réellement utile que si les données peuvent être restaurées. Effectuez des tests périodiques dans un environnement adapté.

7. Surveiller les journaux et les ressources

Les journaux permettent de repérer des erreurs répétées, des connexions inhabituelles ou des services qui échouent.

Pour afficher les erreurs du démarrage actuel :

sudo journalctl -b -p err

Pour vérifier l’utilisation du disque :

df -h

Pour examiner les ports en écoute :

sudo ss -lntup

Ces commandes ne remplacent pas une solution de supervision, mais elles fournissent un premier niveau de visibilité.

Sur un serveur important, configurez des alertes pour les événements critiques : espace disque presque épuisé, service indisponible, échec répété de tâches de sauvegarde ou utilisation anormale des ressources.

8. Checklist de sécurité à appliquer

Avant de considérer votre serveur comme correctement préparé, vérifiez les points suivants :

• Le système et les applications sont maintenus à jour.
• Les comptes disposent uniquement des permissions nécessaires.
• L’accès SSH a été testé après chaque modification importante.
• Le pare-feu autorise uniquement les ports nécessaires.
• Les services exposés sur le réseau ont été identifiés.
• Les sauvegardes sont stockées séparément.
• Une restauration a été testée.
• Les journaux et l’espace disque sont surveillés.
• Les identifiants et clés privées sont conservés de façon sûre.
• Une procédure de récupération d’accès est disponible.

FAQ

Changer le port SSH suffit-il à sécuriser un serveur ?

Non. Changer le port peut réduire certains scans automatisés, mais ne remplace ni les mises à jour, ni une authentification robuste, ni le filtrage réseau.

Faut-il désactiver immédiatement la connexion root ?

Il est généralement préférable de limiter l’accès direct à root, mais il faut d’abord confirmer que le compte administrateur alternatif fonctionne et qu’une méthode de récupération est disponible.

Un pare-feu suffit-il à protéger un VPS ?

Non. Il limite les connexions réseau, mais ne corrige pas les vulnérabilités des applications ni les mots de passe compromis. La sécurité repose sur plusieurs mesures complémentaires.

Faut-il installer un outil anti-intrusion ?

Cela dépend de l’exposition et de l’importance du serveur. Des outils de détection peuvent être utiles, mais ils doivent être configurés, surveillés et maintenus. Ils ne remplacent pas les mesures fondamentales.

Conclusion

Sécuriser un serveur Linux commence par des mesures simples : installer les mises à jour, limiter les privilèges, protéger SSH, configurer un pare-feu et sauvegarder les données.

En 2026, ces pratiques restent indispensables, que vous administriez un petit VPS personnel ou une infrastructure professionnelle. Le plus important est de les appliquer méthodiquement, de vérifier chaque changement et de tester régulièrement la restauration des données.