Introduction

Vous avez déjà saisi votre mot de passe SSH une centaine de fois, et ça commence à vous peser ? Ou peut-être que vous gérez plusieurs serveurs et que taper un mot de passe à chaque connexion devient juste impossible. L’injection de clé SSH, c’est la solution. Concrètement, on échange une phrase de passe contre une paire de clés : une privée, qui reste bien au chaud chez vous, et une publique, que vous déposez sur le serveur. Une fois que c’est fait, plus besoin de mot de passe. Vous vous connectez, c’est instantané, et surtout beaucoup plus sûr. Pas de risque d’interception, pas de mot de passe faible. C’est un geste de base pour tout administrateur système, mais aussi pour les développeurs et les curieux qui veulent sécuriser leur petit serveur à la maison. Dans ce guide, on va voir ensemble comment choisir sa clé, les avantages concrets, et répondre aux questions les plus fréquentes. Accrochez-vous, c’est plus simple que ça en a l’air.

Critères de choix

• L’algorithme de la clé – Le plus connu est RSA, mais aujourd’hui on lui préfère Ed25519. Pourquoi ? Ed25519 est plus rapide, plus sécurisé pour une même longueur de clé, et il est supporté par tous les clients SSH modernes. Si votre serveur a plus de dix ans, RSA reste une valeur sûre, mais visez au moins 4096 bits.
• La taille de la clé – Avec RSA, plus c’est long, plus c’est safe. 2048 bits c’est le minimum acceptable aujourd’hui, 4096 bits c’est mieux. Ed25519, lui, est toujours fixe (256 bits, mais avec une sécurité équivalente à RSA 4096). Pas de choix à faire, c’est tout bénef.
• Le type de support – Vous générez vos clés sur votre ordinateur, mais vous pouvez les stocker sur une clé USB dédiée, un token USB comme un YubiKey, ou directement sur votre disque dur. L’important c’est que la clé privée soit protégée par une phrase de passe forte. Ne la laissez jamais traîner sur un serveur.
• L’outil de génération – Sous Linux et macOS, la commande ssh-keygen fait le job. Sous Windows, vous avez PuTTYgen ou le client OpenSSH intégré dans PowerShell. Certains préfèrent utiliser un gestionnaire de clés comme ssh-agent pour ne pas retaper la phrase de passe à chaque connexion.
• La compatibilité avec votre serveur – Vérifiez que le serveur accepte le type de clé que vous voulez utiliser. Les vieux serveurs OpenSSH (avant la version 6.5) ne supportent pas Ed25519. Dans ce cas, restez sur RSA. Et si vous utilisez une clé sur une carte à puce, assurez-vous que le serveur a les bons modules.

Avantages

L’injection de clé SSH, c’est d’abord un gain de temps phénoménal. Fini de taper des mots de passe à chaque connection, surtout si vous utilisez des scripts ou des tunnels automatisés. Plus besoin de vous souvenir d’une quinzaine de mots de passe différents pour chaque serveur. Un seul fichier de configuration bien rangé, et c’est réglé.
Ensuite, c’est beaucoup plus sécurisé. Une clé SSH, c’est une chaîne de caractères longue et aléatoire, quasiment impossible à deviner ou à bruteforcer. Même si un attaquant intercepte votre trafic réseau, il ne pourra pas récupérer votre clé privée. Et si vous perdez votre ordinateur, la clé privée est protégée par une phrase de passe, ce qui ajoute une couche supplémentaire.
Un autre avantage, c’est l’intégration dans des workflows d’administration. Vous pouvez déployer vos clés automatiquement avec des outils comme Ansible, ou les passer à vos collègues via un dépôt Git sécurisé. Plus de mot de passe partagé qui traîne dans un fichier texte sur le bureau. Et pour les services comme GitHub ou GitLab, l’authentification par clé SSH est le standard pour cloner et pousser du code sans avoir à taper son mot de passe à chaque opération.
Enfin, l’injection de clé vous permet de désactiver complètement l’authentification par mot de passe sur votre serveur. Ça élimine une bonne partie des attaques automatiques qui essayent des mots de passe faibles. Votre serveur devient plus robuste, et vous dormez mieux.

FAQ

Comment générer une paire de clés SSH ?

Rien de plus simple. Ouvrez un terminal (ou PowerShell sous Windows). Tapez ssh-keygen -t ed25519 -a 100 pour une clé Ed25519, ou ssh-keygen -t rsa -b 4096 pour du RSA. Le programme vous demande où enregistrer la clé (par défaut ~/.ssh/id_ed25519). Ensuite, il vous demande une phrase de passe : mettez-en une, elle protège votre clé privée. Vous avez maintenant deux fichiers : un avec la clé privée (sans extension) et un avec l’extension .pub pour la clé publique. Celle-ci, vous pouvez la partager sans crainte.

Comment copier ma clé publique sur un serveur ?

La méthode la plus courante est d’utiliser la commande ssh-copy-id. Tapez ssh-copy-id utilisateur@serveur. Elle copie votre clé publique dans le fichier ~/.ssh/authorized_keys du serveur. Si votre serveur n’a pas cette commande, vous pouvez le faire à la main : ouvrez la clé publique avec un éditeur de texte, copiez son contenu, connectez-vous au serveur avec votre mot de passe, puis collez-la dans ~/.ssh/authorized_keys (créez le dossier .ssh s’il n’existe pas). Assurez-vous que les permissions sont correctes : chmod 700 ~/.ssh et chmod 600 ~/.ssh/authorized_keys.

Comment désactiver l’authentification par mot de passe après injection ?

C’est la cerise sur le gâteau. Une fois que vous avez testé que votre clé fonctionne (vous vous connectez sans mot de passe), éditez le fichier de configuration SSH du serveur, généralement /etc/ssh/sshd_config. Cherchez la ligne PasswordAuthentication et mettez-la à no. Si elle n’existe pas, ajoutez PasswordAuthentication no. Ensuite, redémarrez le service SSH avec sudo systemctl restart sshd (ou service ssh restart sur les vieux systèmes). Attention : ne fermez pas votre session avant d’avoir vérifié que vous pouvez vous reconnecter avec la clé depuis un autre terminal. Si vous bloquez, vous risquez de vous enfermer dehors. Un petit test avant de redémarrer le service peut vous sauver.

Conclusion

L’injection de clé SSH, c’est un petit geste qui change tout. Quelques minutes de configuration, et vous gagnez en sécurité, en confort et en fiabilité. Fini les mots de passe oubliés, les connexions qui prennent trois secondes de trop, et le stress de voir des tentatives d’intrusion dans les logs. Que vous soyez un admin chevronné ou un passionné qui bidouille son Raspberry Pi, c’est une compétence à acquérir dès maintenant. Et si vous avez des doutes, souvenez-vous que le plus dur c’est de se lancer. Après une ou deux fois, ça devient un réflexe. Alors, ouvrez un terminal, générez vos clés, et injectez-les sans peur. Votre futur vous remerciera.

Redige par Remy Bully

En savoir plus · LinkedIn