Auditeur de configuration du serveur SSH
Collez votre sshd_config ou téléversez le fichier. L’audit s’exécute entièrement dans votre navigateur — rien n’est téléversé — et vous obtenez un score, des résultats par ligne et une configuration durcie à télécharger.
sshd_config est le fichier qui décide qui peut se connecter à votre serveur et comment : connexion root, authentification par mot de passe, les chiffrements et algorithmes d’échange de clés proposés, et la durée des sessions inactives. Cet outil audite votre sshd_config dans le navigateur selon les directives OpenSSH de Mozilla et les valeurs par défaut d’OpenSSH 10.6, lui attribue un score de 0 à 100, énumère chaque résultat par ligne et génère une configuration durcie à télécharger. Il comprend la sémantique du premier résultat, les blocs Match et les lignes Include, donc une première page propre ne peut pas cacher un bloc Match faible. Pour générer des clés, utilisez la suite de clés SSH ; pour vérifier si un mot de passe a fuité, utilisez la vérification des mots de passe compromis ; et si un secret atterrit un jour dans une configuration, le détecteur de secrets divulgués le trouve. L’article compagnon comment durcir la configuration de votre serveur SSH explique les mêmes réglages en prose.
Référence : directives OpenSSH de Mozilla + valeurs par défaut d’OpenSSH 10.6, vérifiées le 2026-11-13.
Dernière mise à jour:
🔒 Votre configuration est analysée dans votre navigateur et ne quitte jamais votre appareil. Aucun compte, aucun téléversement, aucun appel serveur.
Ce qui arrive à la configuration que vous collez
Rien ne quitte votre navigateur. La configuration est analysée localement par JavaScript sur cette page : aucun téléversement, aucun appel serveur, aucun stockage, aucun compte. C’est important car une configuration de serveur est un détail d’infrastructure — noms d’hôtes, noms d’utilisateurs, utilisateurs autorisés et ports — et elle ne devrait jamais être collée dans un chat ni dans un vérificateur côté serveur. Fermer la page la supprime.
Ce que ce score ne prouve PAS
Un score propre n’est pas une preuve de sécurité. Il signifie que ce fichier, face à cette référence, n’a aucune directive signalée — une clé faible, un identifiant divulgué, un sshd non corrigé ou un pare-feu manquant peuvent encore tout annuler.
Un mauvais score n’est pas une preuve d’intrusion. C’est une liste de réglages à modifier, par ordre de priorité — d’abord les erreurs, puis les avertissements.
Les références évoluent. Cet audit est daté du 2026-11-13 selon les directives OpenSSH de Mozilla et les valeurs par défaut d’OpenSSH 10.6 ; un algorithme moderne aujourd’hui peut être abandonné demain. Auditez à nouveau quand vous mettez à jour sshd.
Comment le score est construit
Chaque erreur coûte 15 points et chaque avertissement 7 ; les notes ne coûtent rien. Les résultats à l’intérieur des blocs Match sont conditionnels — ils ne s’appliquent qu’aux sessions correspondant au bloc, donc ils sont énumérés mais ne font pas baisser le score. Les quatre bandes sont délibérément larges : 80–100 est élevé, 60–79 modéré, 40–59 faible et 0–39 mauvais — une échelle plus fine feindrait une précision qu’un audit de configuration n’a pas.
Comment fonctionne l’audit
sshd lit chaque directive une fois : pour chaque mot-clé, c’est la première valeur rencontrée qui l’emporte, et les doublons suivants sont ignorés silencieusement. Cet outil cite la ligne effective et signale le doublon masqué, donc une ligne « corrigée » sous la première ne peut pas le tromper. Une directive absente est auditée par rapport à sa valeur par défaut OpenSSH — l’absence n’est jamais traitée comme une réussite quand la valeur par défaut elle-même est permissive, et c’est pourquoi PasswordAuthentication est le résultat le plus fréquent sur les configurations intactes.
Les directives à l’intérieur d’un bloc Match ne s’appliquent qu’aux sessions qui remplissent ses critères, donc les résultats y sont conditionnels : ils sont énumérés avec le bloc auquel ils appartiennent, mais ne font pas baisser le score. Les lignes Include sont signalées comme non suivies — les fichiers inclus ne sont jamais lus, donc une directive qui ne vit que dans un fichier inclus est invisible pour cet audit. Pour un audit complet, collez la configuration fusionnée (sshd -T affiche la configuration effective).
Cet outil lit le fichier, pas le serveur en cours d’exécution : il ne peut pas voir si sshd utilise réellement cette configuration, si vos clés sont solides, ni si un pare-feu ou fail2ban protège le port. Désactiver PasswordAuthentication ne suffit pas à lui seul si PAM peut encore accepter des mots de passe — vérifiez aussi KbdInteractiveAuthentication et votre pile PAM. Et changer le port, c’est de l’obscurité, pas du durcissement : c’est noté, jamais noté au score.
Questions fréquentes
Pourquoi PasswordAuthentication est-il le résultat le plus fréquent ?
Parce que la valeur par défaut d’OpenSSH est yes : la plupart des distributions livrent la connexion par mot de passe activée, et beaucoup d’opérateurs ne la désactivent jamais. La désactiver — et vérifier KbdInteractiveAuthentication et PAM, qui peuvent encore accepter des mots de passe — compte bien plus que changer le port, qui ne fait que déplacer l’invite de connexion.
Ma configuration est répartie dans des fichiers Include. Pourquoi l’audit les ignore-t-il ?
Cet outil s’exécute dans votre navigateur et ne peut pas lire le système de fichiers de votre serveur, donc les lignes Include sont signalées comme non suivies plutôt qu’ignorées silencieusement. Collez plutôt la configuration fusionnée : sshd -T affiche la configuration effective avec tous les includes résolus, et c’est le fichier pour lequel cet audit est conçu.
Puis-je déposer la configuration durcie directement sur mon serveur ?
Non — relisez-la d’abord. Le téléchargement réécrit les directives signalées avec les valeurs de référence et commente les lignes supprimées ou masquées, mais il ne connaît pas vos blocs Match, vos utilisateurs ni votre réseau. Testez-la avec sshd -t, gardez une session ouverte et testez une seconde connexion avant de fermer la première.