L'ordre fait la solidité
La sécurité d'un serveur n'est pas une somme de réglages empilés au hasard : c'est une séquence où chaque étape suppose la précédente. Ouvrir des accès avant d'avoir fermé par défaut, c'est protéger une maison dont la porte est restée ouverte pendant les travaux. L'ordre va du plus structurant — réduire la surface — au plus fin — durcir ce qui reste.
Ce que j'en retiens — La sécurité est une séquence, pas une liste. L'ordre fait la solidité.
Le pas-à-pas
- Fermer, et supprimer le mot de passe. Pare-feu en refus par défaut ; on n'ouvre que le strict nécessaire. Accès d'administration par clé cryptographique seule — pas de mot de passe, ça retire au robot tout à deviner (il teste un serveur neuf en ~90 secondes). Accès restreint à des adresses connues.
- Rendre le personnel invisible. Tout ce qui est interne passe sur un réseau privé chiffré, injoignable depuis Internet. Ne restent exposés que les services qui doivent l'être, derrière authentification. Vérifie depuis l'extérieur, pas depuis ta machine — c'est ainsi qu'on découvre qu'un service qu'on croyait privé était ouvert.
- Sauvegarder immuable, et tester. Trois copies, deux supports, une hors-site, une immuable (verrouillée dans le temps, qu'un rançongiciel ne peut pas effacer). Un outil de sauvegarde versionné plutôt qu'un simple miroir. Et surtout : restaure pour de vrai au moins une fois. Un backup non testé est une hypothèse.
- Poser un veilleur. Un contrôle automatique qui te prévient quand une sauvegarde attendue n'a pas eu lieu. La panne dangereuse est la silencieuse : sans cette alerte, tu découvres le trou le jour où tu tombes dedans.
- Scanner et détecter. Un scan régulier des failles connues de tes logiciels — en figeant une version saine de l'outil, car certains scanners ont eux-mêmes été compromis en 2026. Et un détecteur de modification des fichiers système.
- Durcir l'hôte, en dernier. Quelques réglages système ciblés, sans tomber dans le théâtre de sécurité qui coûte du temps sans réduire de risque réel. Vise « solide », pas « 100 sur un scanner ».
Ce que j'en retiens — Réduire la surface (1-2) passe avant de durcir (6). On protège d'abord en supprimant.
Ce qui va te faire perdre du temps
- Certains fichiers de configuration montés en lecture seule se figent si on les modifie mal : le service reste sur l'ancienne version sans rien signaler. Tu cherches une heure pourquoi ton changement n'a aucun effet.
- Les rapports de sécurité automatiques crient parfois au loup — des mises à jour « critiques » qui n'en sont pas. Vérifie avant d'agir : paniquer sur un faux signal coûte plus cher que l'ignorer.
- La souveraineté a un prix : l'exploitation, c'est toi. Prévois que ça casse, et prévois surtout comment tu le sauras.
Ce que j'en retiens — Vérifie avant d'agir. Un faux signal traité dans la panique coûte plus cher que la menace annoncée.
Le template complet
J'ai transformé ce pas-à-pas en une installation reproductible — scripts prêts, ordre respecté, durcissement inclus. Si tu veux partir d'une base saine plutôt que d'une page blanche, sans y passer des semaines, c'est ce que je fais chez Orogen. Écris-moi, on en parle.