Sécuriser un VPS PME en 1h : hardening Debian/Ubuntu pas à pas

Avant prod sur VPS loué, voici 1h de hardening qui le rend exploitable en prod PME.

1. Mise à jour + user non-root

apt update && apt upgrade -y · créer user ops + sudo · ajouter clé SSH publique dans /home/ops/.ssh/authorized_keys

2. Hardening SSH

Éditer /etc/ssh/sshd_config : Port 2222, PermitRootLogin no, PasswordAuthentication no, AllowUsers ops, MaxAuthTries 3. Reload. Tester nouveau terminal AVANT fermer session admin.

3. Firewall UFW

ufw default deny incoming · allow 2222/tcp · allow 80/443 si web · ufw enable

4. Fail2ban

jail.local : bantime 1h, maxretry 5, backend systemd. Active jail sshd port 2222.

5. Mises à jour auto

apt install unattended-upgrades + auto-reboot 4h si patch kernel.

6. Audit logs auditd

Rules : surveiller /etc/passwd, /etc/sudoers, sudo. ausearch -k sudo_log pour requêter.

7. Time sync + locale

timedatectl set-timezone Europe/Paris + systemd-timesyncd.

8. Désactiver services inutiles

Disable snapd, bluetooth, ModemManager si pas utilisés.

9. Sysctl hardening

SYN cookies, ICMP broadcast ignore, anti-spoofing rp_filter, log_martians, disable IPv6 si pas utilisé.

10. MFA SSH (optionnel)

libpam-google-authenticator + AuthenticationMethods publickey,keyboard-interactive.

Conclusion

1h investie = VPS production-grade. Surveillance optionnelle ensuite : Wazuh, Netdata, Prometheus. KOLOSALTech configure VPS production-grade + supervision dans nos prestations infra.