Infrastructure Debian personnelle

Le site public est servi par nginx. L'administration à distance utilise SSH sur le réseau local ou via Tailscale plutôt que d'exposer SSH comme service général sur Internet. UFW exprime la politique au niveau de l'hôte, et les sockets à l'écoute sont contrôlés directement afin de ne pas confondre règles de pare-feu et inventaire complet des services.

BitTorrent nécessite sa propre exposition volontaire pour la connectivité avec les pairs. Les services publics et privés sont traités séparément au lieu de supposer que tous les processus de la machine partagent la même frontière de confiance.

Le site se compose de HTML généré et de ressources statiques. Aucune base de données, aucun système de comptes, aucun framework de plugins ni application de contenu côté serveur n'est requis. Cela élimine plusieurs classes courantes de vulnérabilités web et simplifie fortement la récupération.

Statique ne signifie pas sans risque : nginx, SSH, le système d'exploitation, les identifiants de déploiement, le DNS et la configuration TLS font toujours partie de la surface d'attaque.

Les services de longue durée sont gérés par systemd lorsque c'est pertinent. Après un redémarrage ou une mise à niveau importante, je vérifie :

• les interfaces réseau et routes attendues ;
• les volumes de données montés ;
• les services actifs et les unités en échec ;
• les sockets à l'écoute et l'état du pare-feu ;
• la disponibilité du site web et de HTTPS ;
• l'accès SSH privé ;
• l'espace disque et les journaux pertinents.

Un service signalé comme activé n'est pas nécessairement sain. La vérification doit inclure un comportement observable.

Le serveur utilise un volume de données séparé pour les contenus importants. La configuration des montages, les propriétaires, les utilisateurs de service et les permissions doivent pouvoir être reconstruits, pas seulement retenus de mémoire.

Les sauvegardes doivent couvrir les données irremplaçables, les configurations, les identifiants et la procédure nécessaire à leur restauration. Les données publiques réplicables, telles que les images Debian, ne justifient pas nécessairement la même politique de sauvegarde que les travaux originaux.

Les principaux scénarios défendus sont les attaques Internet automatisées, l'exposition accidentelle de services, les accès distants faibles, les erreurs de configuration et les défaillances découvertes après maintenance. La compromission physique et un disque système non chiffré restent des limites explicites.

Le système n'est pas présenté comme invulnérable. Sa sécurité repose sur la réduction de l'exposition, une authentification forte, les mises à jour, l'inspection et la capacité à comprendre ce que fait réellement la machine.