Mot de passe root : où le trouver et comment le stocker

Le mot de passe root donne un contrôle total sur la machine : tout ce qui peut être fait sur le système peut l'être avec lui. Traitez-le en conséquence.

Où le trouver

Le mot de passe est généré lors de la mise à disposition de la machine et est disponible à deux endroits dans le panneau /hosting/vds/m/<id> :

• l'onglet « Vue d'ensemble » — sous un masque, à côté de l'adresse et de la commande SSH ;
• l'onglet « Accès » — au même endroit que les clés SSH et la réinstallation.

Dans les deux cas, la valeur est masquée et affichée par un bouton. Le mot de passe est stocké chiffré.

Le mot de passe n'est pas envoyé par e-mail. Si vous attendez un message avec vos identifiants, ne l'attendez pas — ouvrez le panneau.

Comment se connecter avec

ssh root@203.0.113.10

Les caractères ne s'affichent pas pendant la saisie — c'est normal, tapez à l'aveugle et appuyez sur Entrée. La première connexion est détaillée dans l'article première connexion à la machine.

Où le stocker

• Dans un gestionnaire de mots de passe : Bitwarden, KeePass, 1Password — n'importe lequel, tant que ce n'est pas un fichier bloc-notes sur votre bureau.
• Dans une entrée distincte avec l'adresse de la machine et la date de mise à disposition.

Où ne pas le stocker : dans les chats, dans les tâches, dans un dépôt, dans les captures d'écran du panneau, dans un fichier passwords.txt sur la machine elle-même.

Une capture d'écran de l'onglet « Vue d'ensemble » avec le mot de passe révélé, envoyée dans un chat « pour une minute », reste dans ce chat pour toujours. Si cela se produit, changez le mot de passe immédiatement.

Pourquoi le mot de passe ne doit pas être votre seul moyen d'accès

La machine est exposée à internet sur une adresse publique, et les tentatives de force brute SSH commencent dans les premières heures. Un mot de passe peut être cassé par force brute ; une clé non.

L'ordre est donc le suivant :

1. Ajoutez une clé SSH dans l'onglet « Accès ». L'enregistrement des clés redémarre une machine en cours d'exécution — faites-le avant qu'elle ne prenne de la charge.
2. Vérifiez la connexion par clé depuis une nouvelle fenêtre de terminal.
3. Désactivez la connexion par mot de passe :

nano /etc/ssh/sshd_config

PasswordAuthentication no
PermitRootLogin prohibit-password

systemctl restart ssh

Après cela, le mot de passe reste un recours : il fonctionne toujours dans la console texte et sur l'écran de la machine dans le panneau, mais il ne peut plus être cassé par force brute via SSH depuis l'extérieur.

Si le mot de passe est oublié ou perdu

Aucun problème : il se trouve dans le panneau — l'onglet « Accès », la section « Mot de passe », le bouton « Afficher le mot de passe ».

Si vous avez changé le mot de passe dans le système avec la commande passwd, le panneau affiche toujours l'ancienne valeur, et elle ne fonctionne plus. L'ordre est le suivant :

1. Le bouton « Changer le mot de passe » au même endroit, dans l'onglet « Accès ». Le panneau génère un nouveau mot de passe, l'affiche et le mémorise. Une machine en cours d'exécution redémarre pendant l'opération : le mot de passe est appliqué par la configuration initiale au démarrage, il ne prendra donc effet qu'après un redémarrage.
2. Si vous ne pouvez pas redémarrer la machine maintenant mais que vous avez un accès par clé SSH, connectez-vous et définissez le mot de passe avec la commande passwd depuis l'intérieur. Le panneau n'en saura rien et continuera d'afficher l'ancienne valeur.
3. Si rien ne fonctionne, utilisez le disque de récupération.

Signes que le mot de passe a été compromis

• Des processus inconnus, une charge CPU élevée sans raison.
• Des clés inconnues dans /root/.ssh/authorized_keys.
• Des connexions réussies depuis des adresses inconnues :

last -n 20
grep 'Accepted' /var/log/auth.log | tail -n 20

Si vous suspectez quoi que ce soit, changez le mot de passe et vérifiez la liste des clés dans le panneau et authorized_keys à l'intérieur de la machine.