Une paire de clés SSH est la méthode la plus sûre pour se connecter à un serveur, plus sûre qu’un mot de passe. Vous créez une clé privée et une clé publique, placez la clé publique sur le serveur et utilisez désormais la clé privée pour vous connecter sans mot de passe, mais de manière chiffrée. Dans cet article, découvrez comment configurer cela en quelques étapes, sous Windows, macOS et Linux.
Qu’est-ce qu’une paire de clés SSH
L’authentification SSH par clés fonctionne avec deux fichiers associés : une clé privée qui reste uniquement sur votre propre ordinateur, et une clé publique que vous placez sur le serveur. Lors de la connexion, le serveur vérifie si votre clé privée correspond à la clé publique enregistrée, sans que la clé privée ne soit jamais envoyée sur le réseau. Cela rend l’intrusion beaucoup plus difficile qu’avec un mot de passe, car un attaquant devrait non seulement deviner le mot de passe mais aussi avoir un accès physique à votre clé privée.
Vous pouvez en outre sécuriser davantage la clé privée avec une passphrase (phrase de passe), de sorte que même si quelqu’un met la main sur le fichier, il ne pourra rien en faire sans connaître cette passphrase.
Créer des clés SSH
La création d’une paire de clés fonctionne pratiquement de la même manière sous Windows, macOS et Linux, car ils utilisent tous OpenSSH.
Ouvrez un terminal
Sous macOS et Linux, ouvrez l’application Terminal. Sous Windows 10 ou 11, ouvrez PowerShell ou le Terminal intégré ; OpenSSH y est déjà présent par défaut.
Générez la paire de clés
Exécutez la commande ssh-keygen -t ed25519 -C "[email protected]". Si votre système ne prend pas en charge ed25519, utilisez ssh-keygen -t rsa -b 4096 comme alternative.
Choisissez un emplacement de stockage
Appuyez sur Entrée pour accepter l’emplacement par défaut (généralement ~/.ssh/id_ed25519), ou indiquez un chemin personnalisé si vous souhaitez gérer plusieurs clés.
Définissez une passphrase
Saisissez une passphrase pour sécuriser davantage la clé privée. Si vous laissez ce champ vide, la clé fonctionnera quand même, mais sans cette couche de sécurité supplémentaire.
Après ces étapes, deux fichiers sont prêts : une clé privée (sans extension) et une clé publique avec l’extension .pub. Vous pouvez partager la clé publique, mais jamais la clé privée.
Placer la clé publique sur le serveur
Pour pouvoir réellement vous connecter avec la clé, la clé publique doit être connue du serveur. Cela peut se faire de plusieurs manières.
Avec la commande ssh-copy-id utilisateur@ip-serveur, la clé publique est automatiquement ajoutée au fichier authorized_keys sur le serveur. Si cette commande n’est pas disponible, par exemple sous Windows sans outils supplémentaires, copiez manuellement le contenu du fichier .pub et collez-le dans le fichier ~/.ssh/authorized_keys sur le serveur.
Si vous travaillez avec un panneau de gestion comme Plesk, vous pouvez souvent aussi ajouter directement les clés SSH publiques au compte utilisateur via l’interface, sans devoir modifier vous-même des fichiers. Si vous envisagez de passer à un autre fournisseur, consultez la page sur le changement vers Tandata pour plus d’informations sur la manière dont cela se déroule, y compris le transfert de l’accès à votre serveur.
Utiliser et gérer la clé
Dès que la clé publique se trouve sur le serveur, connectez-vous avec ssh utilisateur@ip-serveur. Si vous avez défini une passphrase, le système vous la demandera ; sans passphrase, vous vous connectez directement.
Si vous utilisez plusieurs clés pour différents serveurs ou projets, par exemple pour votre hébergement web et des environnements VPS séparés, vous pouvez garder une vue d’ensemble claire grâce à un fichier de configuration (~/.ssh/config) dans lequel vous indiquez, par serveur, quelle clé utiliser.
Si vous souhaitez désactiver complètement l’authentification par mot de passe afin que seules les clés donnent accès, vous devez ajuster cela dans la configuration du serveur SSH. Ne le faites qu’après vous être assuré que la connexion par clé fonctionne. Pour toute question à ce sujet ou sur d’autres paramètres serveur, vous trouverez toujours des réponses dans la base de connaissances, ou vous pouvez les poser via le support 24/7.
Questions fréquentes
ed25519 est-il meilleur que RSA ?
Les clés ed25519 sont plus courtes, plus rapides à traiter et prises en charge par la plupart des systèmes modernes. RSA reste sûr, mais est souvent utilisé uniquement lorsqu’un système ne prend pas en charge ed25519.
Que faire si j’oublie ma passphrase ?
Il n’existe aucun moyen de récupérer une passphrase oubliée. Vous devrez alors créer une nouvelle paire de clés et supprimer l’ancienne clé publique du serveur.
Puis-je utiliser la même paire de clés sur plusieurs serveurs ?
Oui, vous pouvez ajouter la même clé publique sur plusieurs serveurs. Pour plus de clarté et de sécurité, il est toutefois conseillé d’utiliser une paire de clés distincte par environnement.
SSH avec des clés est-il pertinent si j’héberge uniquement des e-mails ?
Pour une gestion purement de la messagerie via une solution e-mail professionnel, vous n’avez généralement pas besoin d’accès SSH. SSH est surtout pertinent si vous effectuez également de la gestion de serveur ou de fichiers via la ligne de commande.
Où trouver mes paramètres SSH dans Plesk ?
Dans Plesk, les paramètres des clés SSH se trouvent généralement sous le compte utilisateur ou les paramètres d’hébergement, où vous pouvez ajouter ou supprimer des clés publiques.
Conclusion
Créer une paire de clés SSH ne prend que quelques minutes, mais offre un accès à votre serveur bien plus sécurisé et souvent plus simple que la connexion par mot de passe seul. Générez la paire de clés, placez la clé publique sur le serveur et conservez soigneusement la clé privée, éventuellement avec une passphrase. Vous pourrez ainsi vous connecter rapidement et en toute sécurité à votre environnement.