Durcir l’accès SSH d’un serveur

Prérequis

Un accès SSH qui fonctionne
Une deuxième session ouverte pendant les modifications, pour ne pas s’enfermer dehors

01Passer aux clés

Générez une clé sur votre poste, puis copiez sa partie publique sur le serveur. Vérifiez que la connexion par clé fonctionne avant de désactiver les mots de passe.

Exemple · Shell (poste)

ssh-keygen -t ed25519
ssh-copy-id dorian@serveur

02Les réglages

Plutôt que de modifier sshd_config, un fichier dans sshd_config.d (inclus par défaut sur Debian et Ubuntu) garde vos changements à part.

Par défaut, PasswordAuthentication vaut yes, PermitRootLogin vaut prohibit-password et MaxAuthTries vaut 6.

Exemple · /etc/ssh/sshd_config.d/durcissement.conf

PasswordAuthentication no
KbdInteractiveAuthentication no
PermitRootLogin no
AllowUsers dorian
MaxAuthTries 3

03Tester, puis recharger

sshd -t valide la syntaxe sans rien appliquer. Rechargez ensuite le service (ssh sur Debian et Ubuntu, sshd ailleurs) et testez depuis une nouvelle session, en gardant l’ancienne ouverte.

Exemple · Shell

sshd -t && systemctl reload ssh

À retenir

Clé ed25519, testée avant de couper les mots de passe.
Pas de root, une liste d’utilisateurs autorisés.
sshd -t avant chaque rechargement, une session de secours ouverte.

Sources officielles

sshd_config(5) — OpenSSHman.openbsd.org/sshd_config