Configuration et exploitation

Exécutez ssh root@adresse-ip-de-votre-serveur dans n'importe quel terminal de macOS, Linux ou Windows 10 et ultérieur. Utilisez la clé que vous avez fournie lors de la mise en service, ou le mot de passe envoyé par e-mail. La première connexion affiche une empreinte de clé d'hôte — comparez-la avec celle du panneau avant de l'accepter.

Cinq étapes couvrent la grande majorité des compromissions réelles : SSH par clé avec authentification par mot de passe désactivée, pas de connexion directe en root, un pare-feu par défaut qui refuse, des mises à jour de sécurité automatiques, et fail2ban ou un équivalent. Ensemble, elles prennent environ dix minutes et éliminent pratiquement toutes les attaques automatisées.

Désactivez complètement l'authentification par mot de passe — la force brute contre le SSH par clé est impossible. Ajoutez fail2ban pour réduire le bruit des journaux, et envisagez de déplacer SSH hors du port 22 pour réduire le volume des scanners d'environ 95 %. L'option la plus robuste consiste à mettre SSH derrière WireGuard pour qu'il ne soit jamais exposé à l'Internet public.

Utilisez nftables sur Linux moderne, ou ufw comme interface plus conviviale. Définissez la politique par défaut des entrées à drop, autorisez les connexions établies et liées, puis autorisez uniquement les ports que vous servez réellement. Autorisez toujours votre port SSH avant d'activer la politique, sinon la console sera votre seul moyen de revenir.

Sur KVM, oui. OnionVPS fournit des modèles pour Ubuntu, Debian, AlmaLinux, Rocky, Fedora, Arch, Alpine, NixOS, FreeBSD, OpenBSD, Windows Server, Proxmox et autres, et vous pouvez téléverser un ISO personnalisé et installer tout ce qui démarre. Sur la virtualisation basée sur conteneurs comme OpenVZ, vous êtes limité aux modèles Linux fournis par l'hôte.

Oui, sur tous les forfaits, gratuitement et sans étape d'approbation. Téléversez l'ISO depuis le panneau ou fournissez-nous une URL, attachez-la comme média virtuel, et démarrez-la via la console VNC. Tout ce qui démarre sur du matériel KVM standard s'installera, y compris les BSD, les images durcies et les appliances.

KVM (machine virtuelle basée sur le noyau) est une virtualisation matérielle complète intégrée au noyau Linux, utilisant des extensions de processeur pour exécuter chaque invité avec son propre noyau et une isolation renforcée par le matériel. Contrairement à OpenVZ ou LXC, qui partagent le noyau hôte, un invité KVM peut charger des modules noyau, exécuter n'importe quel système d'exploitation et utiliser un swap réel.

Sur un VPS KVM, oui, sans restriction — installez Docker Engine depuis le dépôt officiel et tout fonctionne, y compris buildx, Compose et Docker-in-Docker. Sur les serveurs virtuels basés sur OpenVZ ou LXC, Docker échoue ou nécessite une configuration hôte risquée, car il a besoin de cgroups et de namespaces que la virtualisation à noyau partagé n'expose pas.

Oui. La virtualisation imbriquée est activée sur chaque instance OnionVPS, vous pouvez donc exécuter des invités KVM à l'intérieur de votre instance, installer Proxmox VE, ou exécuter Docker-in-Docker et des tâches de CI basées sur des VM. De nombreux fournisseurs la désactivent, ce qui est la raison habituelle pour laquelle Proxmox et certaines configurations de CI échouent ailleurs.

Oui, le port 25 sortant est ouvert sur chaque instance OnionVPS par défaut. Pas de ticket de support, pas d'exigence d'âge de compte et pas de déblocage payant. La plupart des fournisseurs le bloquent en permanence pour contrôler le spam, c'est pourquoi le courrier auto-hébergé est impossible sur une grande partie du marché.

Oui, pour IPv4 et IPv6, directement depuis le panneau de contrôle, avec propagation en quelques minutes. Le reverse DNS est essentiel pour la messagerie : la plupart des grands serveurs de réception rejettent les messages provenant d'une adresse dont l'enregistrement PTR ne résout pas vers le nom d'hôte émetteur.

Oui. Le port 25 est ouvert, le reverse DNS est en libre-service, et notre espace d'adressage n'a aucun historique de spam. Mailcow ou Stalwart vous offrent une pile complète en une soirée. La difficulté n'est pas l'installation — c'est la délivrabilité, qui dépend de SPF, DKIM, DMARC, d'un PTR correspondant et d'un échauffement patient.

Chaque instance inclut une adresse IPv4 et un sous-réseau IPv6 /64 routé — soit 18 quintillions d'adresses v6, pas une seule. Jusqu'à huit adresses IPv4 supplémentaires peuvent être ajoutées par instance à 3 $ par mois chacune, depuis le panneau, sans formulaire de justification ni période d'attente.

Oui — un sous-réseau /64 routé sur chaque instance, à chaque niveau, sans frais. Pas une seule adresse : un sous-réseau entier routé vers votre serveur, afin que chaque conteneur ou service puisse détenir sa propre adresse IPv6 publique sans traduction d'adresse réseau.

Un instantané est une copie ponctuelle du disque de votre instance, prise instantanément et stockée sur la même infrastructure. Une sauvegarde est une copie stockée ailleurs. Les instantanés protègent contre vos propres erreurs ; les sauvegardes protègent contre les pannes d'infrastructure. Vous avez besoin des deux, et trois instantanés sont inclus gratuitement dans chaque plan.

Suivez la règle 3-2-1 : trois copies, sur deux types de supports, une hors site. En pratique, cela signifie des instantanés pour un retour en arrière rapide, plus une sauvegarde chiffrée nocturne avec restic ou Borg vers une juridiction différente, plus une restauration que vous avez réellement testée. Une sauvegarde non testée est une hypothèse.

Utilisez la console VNC hors bande dans le panneau, redémarrez en mode mono-utilisateur ou de secours à partir du chargeur d'amorçage, remontez le système de fichiers racine en lecture-écriture et exécutez passwd. Cela prend environ deux minutes et ne nécessite aucun ticket d'assistance. Si le disque est chiffré avec LUKS et que vous avez perdu la phrase de passe, les données sont irrécupérables par conception.

Une console hors bande se connecte à l'affichage virtuel et au clavier de votre instance via le panneau de contrôle, indépendamment de son réseau. C'est ainsi que vous corrigez une règle de pare-feu qui vous a verrouillé, une configuration SSH cassée ou un échec de démarrage — sans ouvrir un ticket de support. Elle fonctionne même lorsque l'instance n'a aucun réseau.

Les données doivent physiquement se déplacer, donc un changement de région est une reconstruction plutôt qu'une migration à chaud. Déployez la nouvelle instance, synchronisez les données avec rsync ou une restauration restic, vérifiez, basculez le DNS avec un TTL court, puis détruisez l'ancienne. Prévoyez 30 à 90 minutes selon le volume de données.

Utilisez Ubuntu LTS si vous apprenez ou souhaitez disposer du plus grand nombre de didacticiels et de paquets plus récents. Utilisez Debian pour un serveur minimal, prévisible et à longue durée de vie : il reste inactif en utilisant environ la moitié de la mémoire, n'embarque ni Snap ni télémétrie de l'éditeur. Les deux utilisent le même format de paquets, donc la plupart des instructions s'appliquent directement.