HardStacked

Durcissement Linux réversible

Sécurisé Protégé
Réversible

Sorti de la boîte, un serveur Debian ou Ubuntu neuf est grand ouvert — connexion par mot de passe activée, aucune protection anti-brute-force, rien de verrouillé. C'est pour ça que les bots le trouvent et commencent à entrer en quelques minutes. HardVps ferme chaque porte — SSH, mots de passe, noyau, réseau — un correctif à la fois, et chacun s'annule d'une seule commande.

Obtenir HardVps — 19,99 $ Notre solution

Testé sur Ubuntu 24.04  ·  Debian & Ubuntu  ·  x86_64 + ARM64  ·  sans agent, sans télémétrie

ubuntu-vps — ssh

Pourquoi pas un script ?

Pas un énième script de durcissement.

Les scripts de durcissement gratuits, il y en a partout. Ils ne portent pas le même risque. Un script applique tout d'un coup et te laisse découvrir ce qui a cassé — sur une machine que tu n'atteins peut-être que par SSH. HardVps te montre chaque changement avant qu'il roule, n'applique que ce que tu as approuvé, et met l'original de côté pour que tu puisses le remettre au bit près.

Le script de durcissement habituel HardVps
✗Balance 40 changements d'un coup sur ta box ✓Applique seulement les fixes que tu as approuvés, un par un
✗Plan de rollback : réinstaller le serveur ✓Revert au bit près, vérifié SHA-256 — même des semaines plus tard
✗Aucun filet si un réglage te coupe ton propre accès SSH ✓S'arrête devant tout fix qui touche ton accès — et refuse de s'armer si aucun port n'écoute
✗Claim un score mesuré sur la machine de quelqu'un d'autre ✓Mesure avant/après avec Lynis sur ta box
✗« Applique » en silence ce que ta distro fait déjà ✓Rien ne tourne avant que tu aies vu la commande exacte

La menace

Ton serveur est en ligne. Les bots l'ont trouvé avant même que tu finisses de l'installer.

Des scanners automatisés balaient tout l'internet, 24 h sur 24. Un service fraîchement exposé reçoit ses premières sondes en quelques minutes. Les attaquants se mettent même à chercher une nouvelle faille 15 minutes (en médiane) après sa publication. Personne ne t'a choisi. Ils testent toutes les portes de la rue, et les configs par défaut sont celles qui ouvrent.

Ton CPU mine pour quelqu'un d'autre

Les payloads dominants sur les serveurs SSH craqués : mineurs crypto et vers de botnet auto-propagés. Ta facture, leurs coins.

Tes secrets prennent la porte

Clés SSH, fichiers .env, dumps de base de données — puis chaque machine et compte que ce serveur pouvait atteindre. Une box faible compromet le reste.

Ton hébergeur te coupe

Les rapports d'abus tombent, le compte est suspendu, l'IP blacklistée. Le ménage et la migration ? C'est ton weekend.

sources : Palo Alto Networks Unit 42 (étude surface d'attaque) · rapports honeypot AhnLab ASEC, 2025

Comment ça marche

Trois étapes. Zéro expertise requise.

Vois d'abord

Avant que quoi que ce soit touche ton serveur, HardVps te montre ce qui va changer — en mots simples, avec la commande exacte qu'il va rouler. Rien ne se passe sans ton OK.

$ hardctl preview SSH-7408-pw → sshd drop-in: PasswordAuthentication no

Protège

Coche ce que tu veux — HardVps fait le reste. Avant chaque changement, l'original est mis de côté en lieu sûr. Automatiquement, à chaque fois.

$ sudo hardctl apply DEB-0880 ✓ original captured · fail2ban active

Change d'idée, n'importe quand

Annule un changement — ou tous. Ton serveur revient exactement comme il était, preuve à l'appui. Pas de snapshot, pas de réinstallation, pas de sueur.

$ sudo hardctl revert DEB-0880 ✓ restored · SHA-256 verified

Preuves

Des chiffres d'un vrai VPS. Pas d'un lab, pas d'une page de vente.

Instance cloud Ubuntu 24.04 vierge, Lynis figé en 3.1.7. Cycle complet, mesuré :

C'est quoi, ce score ?

Lynis est un auditeur de sécurité open-source très répandu. Il inspecte une box Linux et note son durcissement de 0 à 100 — l'étalon des sysadmins. Dans nos tests, un serveur Debian/Ubuntu non durci mesurait 57. L'important n'est pas le chiffre : c'est qu'il est mesuré sur ta machine, avant et après — par un outil qu'on ne contrôle pas.

État Index Lynis
Baseline — serveur vierge 57
Après application du tier MEDIUM (32 fixes) 79
Après revert de chaque fix 57

mesuré 2026-07 · Ubuntu 24.04 LTS x86_64 · Lynis 3.1.7 · même box, même jour

La partie honnête

Un tier plus profond bouge à peine le score — et on le dit. Les tiers achètent un durcissement plus profond (SSH par clé, auth plus stricte), pas des points de vanité. Chaque correctif montre la commande exacte avant de la lancer, pour que tu juges toi-même si ta box en a besoin.

  • Revert sans apply — no-op propre, code 0, ne touche à rien.
  • Double apply — le 2e passage n'écrase jamais l'original capturé. La restauration reste au bit près.
  • Deux fixes, un fichier, revertés dans le désordre — le fichier revient identique au SHA-256. Le backup est capturé par fichier, pas par action.
  • Fichier absent à l'origine — le revert le supprime, ne le vide pas.
  • Même les fixes agressifs — /tmp remonté sans noexec, SSH toujours debout après revert de l'auth par clé. Zéro lock-out sur tout le cycle.

Le contenu

Ce que chaque fix bloque, concrètement. En mots simples.

Trente-deux correctifs triés — chacun opt-in, chacun annulable, chacun lié à une vraie attaque, pas à une case abstraite. Un échantillon :

SSH-7408-pwSSH par clé uniquement

Bloque : les bots devineurs de mots de passe de ton auth.log — tous. Plus rien à deviner.

MEDIUM
DEB-0880fail2ban

Bloque : les rafales de brute-force — les récidivistes sont bannis au pare-feu, automatiquement.

SAFE
KRNL-6000Durcissement sysctl noyau

Bloque : le spoofing et les redirections piégées au niveau réseau — la tuyauterie que les bots tâtent en premier.

SAFE
AUTH-9262Politique de robustesse des mots de passe

Bloque : « admin123 » d'exister sur cette box. Les mots de passe faibles, c'est comme ça que les dictionnaires gagnent.

MEDIUM
AUTH-9328umask par défaut 027

Bloque : un intrus qui atterrit dans un compte de lire les fichiers de tous les autres.

SAFE
STRG-NICHEBlacklist des protocoles rares

Ferme : des protocoles réseau que tu n'as jamais utilisés — mais les kits d'exploit, oui. Une porte inutile, on la mure.

MEDIUM
BANN-7126Bannières légales de connexion

Exigées par la plupart des checklists de conformité.

SAFE
ACCT-9622Comptabilité des processus

Pour : le lendemain matin. Qui a lancé quoi, quand — une trace qui survit à un incident.

SAFE

+ 24 autres — jeux sysctl, login.defs, core dumps, permissions compilateurs, pare-feu, auditd…

Prix

Une licence. Ton serveur, durci — réversiblement.

HardVps · medium

$39 $19.99 unique · USD

◆ Prix spécial

  • 32 correctifs triés — SSH, PAM, noyau, réseau, pare-feu, accounting
  • Preview → apply → revert sur chaque correctif
  • Rollback au bit près, vérifié SHA-256, backups résistants au reboot
  • Rapport Lynis avant/après — figé 3.1.7, mesuré sur ta box
  • Testé sur Ubuntu 24.04 (x86_64) · Debian 12/13, Ubuntu 22.04 et ARM64 hors garantie

USD/CAD/EUR gérés au paiement · TVA/TPS incluse là où applicable
Lis la licence et la politique de remboursement avant d'acheter

Acheter · via Lemon Squeezy

image durcie sur mesure

sur demande
  • Durcie dès l'installation — partitions, chaîne de boot
  • Plafond plus haut que tout outil sur système vivant
  • Bâtie et mesurée contre ta charge réelle
En discuter

HardPibientôt

en chantier
  • Même moteur — roule déjà sur ARM64, zéro portage
  • Tier ajusté Pi : usure carte SD, défauts amis GPIO/caméra
  • Ton homelab mérite la même rigueur qu'un centre de données

audit-pi gratuit · open source

Notre audit de sécurité pour Raspberry Pi. Un scan, un rapport lisible — vois où en est le tien avant de dépenser un dollar.

Commence gratuit avec audit-pi

Tu préfères qu'un expert le fasse, ou sauver un serveur déjà en trouble ?

Durcissement, debloat et dépannage sur ton serveur en direct, sous la marque HardStacked. Accès guidé ou supervisé, encadré dans le temps et journalisé.

$49/h · USD
Réserver une session
audit-pi — free

Notre audit sécurité Raspberry Pi gratuit. Vois où ton Pi se situe avant de dépenser un dollar.

github.com/Hardstacked/audit-pi →

FAQ

Les questions que tu devrais poser.

Est-ce que ça peut me barrer de SSH ?
Le seul fix qui le pourrait — l'authentification par clé uniquement — est opt-in, clairement signalé, et exige une confirmation explicite. Et comme chaque changement est réversible, la console de secours de ton hébergeur peut toujours rouler hardctl revert SSH-7408-pw et restaurer la config d'origine, vérifiée par SHA-256. Sur notre cycle de test complet sur un vrai VPS, SSH est resté debout à l'apply et au revert.
« Au bit près », ça veut dire quoi concrètement ?
Avant de toucher un fichier, HardVps capture l'original — une fois, avant le premier changement, dans un backup qui survit aux reboots. Le revert restaure cette capture et compare les checksums SHA-256 — si le fichier restauré ne correspond pas au backup, le revert échoue bruyamment au lieu de prétendre avoir réussi. Les fichiers absents à l'origine sont supprimés, pas vidés. Les paquets non installés sont retirés. Ce qui était là avant est là après — identique.
Quels systèmes sont supportés ?
Testé et supporté sur Ubuntu 24.04 LTS (x86_64) — c'est là que chaque chiffre de cette page a été mesuré. Le même code tourne sur Debian 12/13, Ubuntu 22.04 et ARM64, et il devrait y fonctionner ; ce n'est pas couvert par le support, et on préfère le dire que le cacher.
Est-ce que ça téléphone à la maison ?
Non. Pas de télémétrie, pas de compte, pas de serveur de licence. HardVps parle à ton miroir de paquets quand un fix installe un paquet — c'est tout. Un outil de sécurité qui t'espionne n'en est pas un.
Pourquoi un tier plus profond ne monte pas plus le score ?
Parce que l'index Lynis sature : l'écart mesuré entre le tier de base et le plus profond est de quelques points. Les outils qui promettent « +30 points par tier » te vendent le tableau de score, pas la sécurité. Les tiers profonds achètent une auth plus stricte et une surface d'attaque plus petite — on te montre ce que chaque fix fait au lieu de gonfler un chiffre.