DIY · bloqué maintenant

La page que tu veux quand le serveur dit non

Un message d'erreur par fiche. La commande qui règle est en haut, avant toute explication. Ensuite pourquoi c'est arrivé, ce que ça veut dire si ça n'a pas marché, et une commande pour confirmer que c'est fini. Tout est mesuré sur une vraie machine, rien n'est recopié d'un wiki.

01. Comment une fiche est faite

Le verdict, en deux lignes : ce que le message veut vraiment dire.
La commande qui règle, en haut de la page.
Pourquoi ça arrive : le mécanisme, pas un contournement.
Si ça n'a pas réglé : les deux ou trois cas plus profonds.
Vérifier que c'est réglé : une commande, une sortie attendue.

Chaque commande vit dans un bloc comme celui-ci. Le bouton copier prend la commande seule : pas le dollar, pas les numéros de ligne, pas la sortie d'exemple. Ce que tu colles dans ton terminal s'exécute tel quel.

Ces commandes sont fournies telles quelles, sans garantie. Teste d'abord sur une machine non critique ou sur un instantané.

bash

$ sudo journalctl -u ssh --since "2026-08-01" --no-pager | grep -c "Failed password"

sortie

1234

02. Les guides

Lynis AUTH-9230 « Configure password hashing rounds » Lynis réclame des rounds de hachage que Debian 13 n'utilise pas. Le test ne lit jamais ENCRYPT_METHOD. Ce qu'on a mesuré, et comment trancher n'importe quelle suggestion soi-même. lynis · surface d'attaque fail2ban dit que l'IP est bannie mais elle se connecte encore Ta jail liste l'attaquant comme banni et l'attaquant continue d'entrer. Le ban est réel, il ferme seulement le port 22 pendant que ton SSH écoute ailleurs. Ce qu'on a mesuré, et le fix. fail2ban · surface d'attaque apt autoremove a emporté ma pile d'affichage Il retire ce qu'aucun paquet installé ne requiert, pas ce que tu utilises. Le vrai gain de sécurité, l'écran noir 26 minutes plus tard, et le dry-run qui l'évite. apt · surface d'attaque ufw « RULE_APPEND failed » mais le statut dit quand même actif Les chaînes ont été créées, les règles ne sont jamais arrivées dans le noyau, et l'écran de statut affiche vert pareil. Les trois causes, et le décompte qui tranche. ufw · surface d'attaque wg-quick dit « active » et il n'y a aucune interface Un service oneshot rapporte le sort de sa commande, jamais l'état du tunnel. Pourquoi le noyau est le seul juge — et pourquoi ce même vert ne survit pas au redémarrage. wireguard · systemd Un processus tué et dmesg ne dit rien Le journal du noyau consigne les décisions du noyau, et un démon en espace utilisateur a frappé avant lui. Quarante-cinq kills en sept jours, et l'option qui renverse qui meurt. mémoire · systemd kdevtmpfsi ou xmrig dévore tout le CPU Le nom affiché par ps est choisi par celui qui a déposé le fichier ; /proc/PID/exe donne le vrai. Où il atterrit, ce qui le relance, et les options de montage qui l'empêchent de s'exécuter. mineur · surface d'attaque ufw est inactif après un redémarrage Deux interrupteurs portent le mot activé, et systemctl n'en lit qu'un. L'installation du paquet bascule justement celui-là pour toi, ce qui explique que le conseil habituel ne change rien. démarrage · systemd Un service systemd tourne en root et reçoit « Permission denied » Le durcissement retire à root ses capacités, ou sa vue sur l'UID propriétaire des fichiers, et les deux écrivent la même phrase. Une troisième directive n'écrit rien du tout et rend un succès. Ce qu'on a mesuré, et comment les distinguer. systemd · permissions « Failed to enable unit: Cannot alias » et le service est activé quand même enable crée le lien, puis annonce un échec, saute la liste de ce qu'il a créé et saute le rechargement. Le code de sortie, is-enabled et le systemd en marche se contredisent jusqu'au prochain redémarrage. Ce qu'on a mesuré, et le correctif. systemd · raspberry pi update-ca-certificates répond « 0 added, 0 removed » et rien ne dit si ça a marché Il compte des liens symboliques, pas des certificats : la même ligne pour un certificat déjà installé et pour un certificat jamais regardé, et 1 added peut sortir pour un certificat inutilisable. Ce qu'on a mesuré, le test qui tranche, et les correctifs. openssl · debian 13 apt-key a disparu de Debian 13 et tu dois lister tes clés gpg --show-keys liste ce qu'il y a dans trusted.gpg.d, pas quel dépôt chaque clé peut signer. Un dépôt sans Signed-By, ou avec le Signed-By vide qu'apt modernize-sources peut écrire, les accepte toutes. Ce qu'on a mesuré, et un script qui répond dépôt par dépôt. apt · debian 13 Le Raspberry Pi 5 affiche « NTP service: active » mais l'heure est fausse NTP service: active veut dire que le service tourne, pas qu'il a reçu l'heure. Sans pile, l'horloge s'arrête quand le Pi est débranché et repart de la dernière heure sauvegardée sur la carte. Ce qu'on a mesuré, et trois commandes en lecture seule qui départagent réseau et horloge. timesyncd · raspberry pi 5 « Unit sshd.service not found » alors que SSH répond toujours Sur Debian et Ubuntu, le service s'appelle ssh.service. sshd.service n'est qu'un lien d'alias que enable crée et que disable retire, et sur Ubuntu 24.04, d'après le script du paquet, SSH démarre par socket sans lui. Ce qu'on a mesuré, et le vrai nom à recharger. openssh · systemd wpa_supplicant.conf sur une carte Trixie, et le Pi headless n'apparaît jamais sur le réseau Sur Trixie, le Wi-Fi du premier démarrage vient du network-config de cloud-init, et wpa_supplicant.conf n'est lu par rien. La radio naît aussi bloquée. Ce qu'on a mesuré sur un Pi Zero 2 W, et les fichiers qui ont marché. cloud-init · netplan

03. Déjà traité sur le blog

« UFW n'est pas installé » Debian 13 livre nftables. Ton outil d'audit se décrit lui-même, pas ton serveur. pare-feu Barré dehors en SSH Les cinq façons de se barrer soi-même, et l'habitude qui rend chacune survivable. ssh Tout est vert, et pourtant exposé Cinq vérifications qui annonçaient un succès pendant que la machine était ouverte. audit Le score Lynis ne bouge pas Ce qui fait vraiment monter un score Lynis, et ce qui en a juste l'air. lynis

Le blog, version longue

Les fiches sont courtes et chirurgicales. Le blog démonte les mêmes sujets en long, avec les mesures derrière.

Lire le blog