Que faire dans la première heure

La machine est provisionnée et exposée à Internet dès la première minute. Une demi-heure de configuration maintenant vous évite de fouiller dans une brèche plus tard.

1. Mettre à jour le système

apt update && apt upgrade -y
reboot

Sur AlmaLinux et CentOS Stream, utilisez dnf upgrade -y. Un redémarrage est nécessaire si le noyau a été mis à jour.

2. Ajouter une clé SSH

Un mot de passe est un moyen de connexion temporaire. Générez une clé de votre côté et ajoutez-la dans l'onglet « Accès », sous-section « Clés SSH » : la liste est entièrement remplacée, soumettez donc l'ensemble complet. Pour plus de détails, consultez Clés SSH.

L'enregistrement des clés redémarre une machine en cours d'exécution : elles sont appliquées par la configuration initiale au démarrage. Dans la première heure, cela ne vous coûte rien ; plus tard, cela signifie une interruption de service — c'est pourquoi les clés occupent la deuxième place sur la liste.

Sur Windows Server, les clés SSH ne fonctionnent pas du tout : vous vous connectez via RDP avec un mot de passe, passez donc cette étape et utilisez plutôt Protection RDP.

Assurez-vous que la connexion par clé fonctionne, et seulement ensuite désactivez le mot de passe :

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Ne fermez pas votre session actuelle avant d'avoir vérifié la connexion par clé depuis une nouvelle fenêtre. Si vous vous verrouillez dehors, la console texte du panneau vous sauvera.

3. Créer un utilisateur standard

Vous ne devez pas travailler en root en permanence : une faute de frappe dans rm vous coûte la machine.

adduser artem
usermod -aG sudo artem
mkdir -p /home/artem/.ssh
cp /root/.ssh/authorized_keys /home/artem/.ssh/
chown -R artem:artem /home/artem/.ssh
chmod 700 /home/artem/.ssh
chmod 600 /home/artem/.ssh/authorized_keys

Sur AlmaLinux, le groupe s'appelle wheel, et non sudo.

4. Activer le pare-feu

apt install -y ufw
ufw allow OpenSSH
ufw enable
ufw status

Ouvrez les ports selon vos besoins : ufw allow 80/tcp, ufw allow 443/tcp. Laissez tout le reste fermé.

5. Vérifier l'heure et le nom de la machine

timedatectl set-timezone Europe/Moscow
hostnamectl set-hostname my-vds

Une heure incorrecte casse les certificats, les journaux et le planificateur.

6. S'assurer que l'agent invité est en cours d'exécution

Le panneau en a besoin pour afficher l'espace utilisé et effectuer un redémarrage logiciel :

systemctl status qemu-guest-agent

Si le service est absent :

apt install -y qemu-guest-agent && systemctl enable --now qemu-guest-agent

7. Mettre en place vos propres sauvegardes

Il n'existe aucune sauvegarde ni aucun instantané automatique de la machine — c'est votre responsabilité. Faites-en une habitude dès le premier jour : exportez la base de données, archivez les répertoires du projet et envoyez le tout hors site plutôt que de le laisser sur la même machine.

tar czf /root/backup-$(date +%F).tar.gz /var/www /etc/nginx

Vous pouvez récupérer une copie sur votre propre machine avec scp ou rsync.

Liste de contrôle

• Système mis à jour
• Clé SSH ajoutée et vérifiée
• Connexion par mot de passe désactivée
• Utilisateur avec sudo créé
• Pare-feu activé, ports supplémentaires fermés
• Fuseau horaire et nom de la machine définis
• Agent invité en cours d'exécution
• Première sauvegarde effectuée et stockée hors de la machine

Ensuite — démarrage rapide : un site web en 15 minutes.