Data

Tools

Indexes

Applications

Experiments

Awesome

An open API service indexing awesome lists of open source software.

https://github.com/rockballslab/vps-secure

đŸ›Ąïž SĂ©curise ton VPS en 15 min - honeypot, pare-feu, IPS, integrity monitoring. Une commande. ZĂ©ro compĂ©tence requise. 🚀⚡
https://github.com/rockballslab/vps-secure

aide auditd bash cis-benchmark crowdsec devops docker endlessh hardening homelab linux rkhunter security selfhosted server-security stig sysadmin ubuntu vps vps-hardening

Last synced: 23 days ago
JSON representation

đŸ›Ąïž SĂ©curise ton VPS en 15 min - honeypot, pare-feu, IPS, integrity monitoring. Une commande. ZĂ©ro compĂ©tence requise. 🚀⚡

Awesome Lists containing this project

README 

          
**⚡ +1597 bots bloquĂ©s en 24h sur un VPS standard - le tien est-il vraiment protĂ©gĂ© ?**



---



# VPS-SECURE



![GitHub stars](https://img.shields.io/github/stars/rockballslab/vps-secure?style=social)

![Version](https://img.shields.io/github/v/release/rockballslab/vps-secure)



**🔐 VPS-SECURE est le seul script qui transforme un VPS vierge en forteresse opĂ©rationnelle — honeypot, IPS collaboratif, dashboard temps rĂ©el, alertes Telegram — en 15 minutes et 1 commande, sans aucune compĂ©tence Linux requise.**



> "Si tu fais tourner n8n, openclaw, ou ton propre SaaS sur un VPS, et que tu tiens à tes données, lance ce script **AVANT D'INSTALLER QUOI QUE CE SOIT.**"



**15 minutes**, une seule commande pour que ton serveur devienne une **Forteresse** prĂȘte Ă  accueillir tes services en toute sĂ©rĂ©nitĂ©.



```bash

curl -fsSL https://raw.githubusercontent.com/rockballslab/vps-secure/main/install-secure.sh -o install-secure.sh \

  && chmod +x install-secure.sh \

  && sudo ./install-secure.sh

```



---



## đŸ›Ąïž Pourquoi choisir ce script ?



Un serveur nu ou configuré par défaut est une cible facile, visible et attaquable en quelques minutes.



**VPS-Secure** n’est pas un simple script d’installation : c’est une fondation de sĂ©curitĂ© ultra robuste, pensĂ©e pour transformer un VPS nu en serveur prĂȘt Ă  l’emploi et nettement mieux protĂ©gĂ© contre les attaquants.





  Ma Forteresse avec VPS-SECURE




---



## Qui suis-je ?



👋 Hello, moi c'est Fabrice.

Entrepreneur, fondateur de plusieurs SaaS et adepte du "Zero Trust".



J'ai conçu **VPS-SECURE** par nécessité : je voulais un outil capable de transformer n'importe quel serveur brut en une forteresse imprenable en quelques minutes, sans sacrifier la stabilité de mes services.



> *"Eat your own dog food"* : C'est précisément la configuration que j'utilise pour blinder mes serveurs de production et tester de nouvelles stacks n8n, des microservices ou des agents IA en production avec une tranquillité d'esprit absolue.



---



## Ce que fait VPS-SECURE



1 commande - 15 étapes automatiques - zéro compétence technique requise.



| # | Quoi | Pourquoi |

|---|---|---|

| 1 | Crée l'utilisateur `vpsadmin` | Fini le root - impossible de faire une erreur fatale |

| 2 | SSH port 2222, clé uniquement | ... Connexion limitée à `vpsadmin` uniquement. **GSSAPI désactivé** (CVE-2026-3497) |

| 3 | Mise Ă  jour systĂšme + DNS chiffrĂ© + `/tmp`, `/var/tmp` et `/dev/shm` sĂ©curisĂ©s | Ferme les failles connues. DNS over TLS activĂ© **avant** tout tĂ©lĂ©chargement - Ă©limine la fenĂȘtre de DNS poisoning. `/tmp`, `/var/tmp` et `/dev/shm` montĂ©s `noexec` - les scripts malveillants ne peuvent pas s'y exĂ©cuter |

| 4 | **CrowdSec** | Détecte et bannit les IP malveillantes. Installé via dépÎt GPG signé avec vérification d'empreinte - intégrité vérifiée |

| 5 | **UFW** (pare-feu) | Tout bloqué sauf les ports 2222, 80 et 443. Le forwarding Docker est ciblé - pas global |

| 6 | **Docker** Engine + Compose v2 | Docker permet de faire tourner des applications dans des "boßtes isolées" (containers). Configuré pour ne **pas** bypasser UFW - les ports exposés restent sous contrÎle du pare-feu. RÚgle NAT ajoutée dans UFW - les containers ont accÚs à internet |

| 7 | unattended-upgrades | Patches de sécurité installés automatiquement chaque nuit. **Docker CE** inclus dans les mises à jour automatiques. **snapd blacklisté** (CVE-2026-3888) |

| 8 | Kernel hardening | **35 paramÚtres** : réseau (spoofing, SYN flood, ICMP...) + ASLR + ptrace + core dumps + perf events + **AppArmor userns restriction (CIS compliance)** |

| 9 | **auditd** | Journalise tout : SSH, sudo, Docker, fichiers sensibles, crontabs, `/etc/hosts`. **Surveillance anti-rootkit** Scan quotidien `voidlink-detect` Ă  02h30 |

| 10 | Swap 2 GB | MĂ©moire virtuelle d'urgence - Ă©vite les crashs |

| 11 | **rkhunter** | Scanne les backdoors et rootkits. Scan quotidien automatique à **00h00 UTC (02h00 Paris)** - indépendant de Telegram |

| 12 | Désactivation des services inutiles | avahi, cups, bluetooth, ModemManager désactivés - chaque service actif = surface d'attaque (CIS 2.x). Ctrl-Alt-Delete masqué (DISA STIG) |

| 13 | Alertes **Telegram** | Rapport de sécurité quotidien + Alerte immédiate à chaque connexion SSH |

| 14 | **Endlessh** (honeypot port 22) | SSH est sur le port 2222 - le port 22 est libre. Endlessh le capture et maintient les bots connectés des heures en leur envoyant un banner SSH infini. Ils ne peuvent pas attaquer ailleurs pendant ce temps |

| 15 | **AIDE** (integrity monitoring) | Hash SHA512 de tous les binaires systÚme à l'installation. Scan quotidien à 03h00 - toute modification (binaire remplacé, backdoor, rootkit) déclenche une alerte dans le rapport Telegram. AprÚs une mise à jour OS, relancer la baseline manuellement (commande fournie). |





  Comparatif 2026






  VPS-SECURE






  Ma Forteresse avec VPS-SECURE






  Ma Forteresse avec VPS-SECURE




---



## đŸ›Ąïž RĂ©activitĂ© sĂ©curitĂ©



> *"VPS-SECURE v2.7.2 — patch CVE-2026-31431 intĂ©grĂ© en moins de 24h — une faille kernel  

> activement exploitée ajoutée à la liste CISA la veille. Le fix a été intégré en moins de 24h  

> aprÚs publication. C'est exactement pour ça que le produit existe."*



**CVE-2026-31431 "Copy Fail"** — CVSS 7.8 · CISA KEV · ExploitĂ© in-the-wild  

Vecteur : escalade de privilĂšges locale via `algif_aead` (Linux kernel 6.8.0, Ubuntu 24.04)  

Fix : blacklist permanente du module via `modprobe.d` — intĂ©grĂ© dans `install.sh` Ă©tape 8.



---



## Prérequis



Avant de commencer et de lancer le script, tu as besoin de :



- ✅ Un VPS vierge **Ubuntu 24.04 LTS** (Hostinger, Hetzner, OVH,
)

- ✅ L'**IP** et le **mot de passe root** fournis par ton hĂ©bergeur

- ✅ Une **clĂ© SSH** gĂ©nĂ©rĂ©e sur ton ordinateur



> [!NOTE]

> 🔑 Ce script nĂ©cessite une licence - [disponible ici](https://vps-secure.aiforceone.fr/offre.html) - **OFFRE DE LANCEMENT 47€** au lieu de 97€ avec le code **REDUC50**

>

> đŸ‘šâ€đŸ’» Tu souhaites contribuer et auditer le code ? [Contacte-moi pour une licence gratuite](https://tally.so/r/lblb0k) - ta clĂ© d'activation unique sera envoyĂ©e en quelques minutes.



---



# Installation automatique en 15mn chrono



### Étape 0 - Utilise le guide interactif (recommandĂ©)



Avant de commencer, ouvre le [Guide d'installation interactif](https://vps-secure.aiforceone.fr/guide.html) et suis les indications pas Ă  pas.



Il te permet de centraliser toutes les infos demandées pendant l'installation - zéro copier-coller raté.



> [!TIP]

> Pas encore de VPS ? [-20% sur Hostinger avec le code **WP7SERVERWR1**](https://www.hostinger.com/fr?REFERRALCODE=WP7SERVERWR1) · ou · [20€ offerts sur Hetzner](https://hetzner.cloud/?ref=9x8yLdZS8Btd)



---



### Étape 1 - GĂ©nĂšre ta clĂ© SSH (sur ton ordinateur)



Ouvre un terminal sur ton ordinateur :

- **Mac** → Spotlight (`Cmd+Espace`) → tape `Terminal` → EntrĂ©e

- **Windows** → touche `Windows` → tape `Windows Terminal` ou `PowerShell` → EntrĂ©e



Puis lance cette commande :

```bash

ssh-keygen -t ed25519 -f ~/.ssh/id_ed25519_vps

```



Appuie sur Entrée 3 fois pour ne pas définir de passphrase (option rapide).



> [!TIP]

> **Recommandé :** définis une passphrase forte à cette étape. Si ta clé privée

> est volée, elle sera inutilisable sans ce mot de passe.

> Si tu utilises ssh-agent, tu ne la retaperas qu'une fois par session.



RécupÚre la clé publique en lançant cette commande - tu en auras besoin pendant le script :

```bash

cat ~/.ssh/id_ed25519_vps.pub

```



Copie le résultat qui s'affiche (elle commence par `ssh-ed25519`) et colle-la dans le [Guide d'installation](https://vps-secure.aiforceone.fr/guide.html)



---



### Étape 2 - Connecte-toi en root



```bash

ssh root@IP_DU_VPS

```



Remplace `IP_DU_VPS` par l'IP que tu as notée dans le guide interactif.



Le serveur va te demander un mot de passe - c'est le mot de passe root fourni par ton hébergeur par email aprÚs provisioning.



> [!TIP]

> C'est la seule fois oĂč ce mot de passe est utilisĂ©. AprĂšs l'installation, la connexion root par mot de passe est dĂ©finitivement dĂ©sactivĂ©e.



> [!TIP]

> Si tu as déjà utilisé cette IP (rebuild VPS précédent), supprime l'ancienne clé connue avant de te connecter :

> ```bash

> ssh-keygen -R IP_DU_VPS

> ```



---



### Étape 3 - Lance le script



```bash

curl -fsSL https://raw.githubusercontent.com/rockballslab/vps-secure/main/install-secure.sh -o install-secure.sh \

  && chmod +x install-secure.sh \

  && sudo ./install-secure.sh

```



> [!IMPORTANT]

> **`install-secure.sh`** vérifie la signature GPG de `install.sh` avant de le lancer.

> C'est la commande recommandée - elle garantit que le script n'a pas été altéré.



Le script est interactif. Il te pose **3 questions obligatoires** au début de l'installation :



1. Ta clé d'activation (reçue par mail)

2. Ta clé SSH publique (colle le contenu de `id_ed25519_vps.pub`)

3. Confirme que la connexion fonctionne depuis un 2Ăšme terminal



Et **1 question optionnelle** Ă  la fin : configurer les alertes Telegram.



> [!TIP]

> Le guide interactif te guide Ă©tape par Ă©tape. Il te permet de copier-coller chaque valeur sans erreur — utilise-le.

> 

> [Ouvrir le Guide d'installation](https://vps-secure.aiforceone.fr/guide.html)



 


  Guide Installation




---



### Étape 4 - Reconnecte-toi en vpsadmin (aprĂšs le redĂ©marrage)



```bash

ssh vpsadmin@IP_DU_VPS -p 2222 -i ~/.ssh/id_ed25519_vps

```



Ton VPS est dĂ©jĂ  PRÊT. Y'a plus qu'Ă  vĂ©rifier !



---



### Étape 5 - VĂ©rifie l'installation



Le script t'a affiché cette commande à la fin - lance-la maintenant :



```bash

sudo vps-secure-verify

```



Chaque composant retourne `[PASS]` ou `[FAIL]` avec la raison. Tout doit ĂȘtre PASS.



```

  [PASS] SSH          : port 2222 actif · root désactivé · PasswordAuth off · socket override OK

  [PASS] UFW          : actif · ports 2222/80/443 ouverts · rÚgle NAT Docker présente · logging medium

  [PASS] CrowdSec     : actif · bouncer actif · port 8081 · 2 collection(s)

  [PASS] Docker       : actif · v29.3.1 · iptables:false confirmé

  [PASS] Endlessh     : container actif · port 22 en écoute · rÚgle UFW présente

  [PASS] AIDE         : baseline présente (ùge : 0j) · cron 03h00 configuré

  [PASS] rkhunter     : installé · baseline présente · conf.local OK · cron 00h00 UTC · dernier scan : jamais

  [PASS] auditd       : actif · 34 rÚgle(s) chargée(s)

  [PASS] Swap         : actif · 2048 MB · swappiness=10

  [PASS] Kernel       : ASLR=2 · ptrace_scope=1 · syncookies=1 · ip_forward=1 · suid_dumpable=0 

  [PASS] DNS over TLS : systemd-resolved actif · DoT=yes · serveur principal : 9.9.9.9

  [PASS] Telegram     : config présente · API OK · bot : @monbot



  ✅ Installation 100% complĂšte - tous les composants sont opĂ©rationnels.

```



C'est TOUT. Ça a pris moins de 15mn en automatique.



Ton VPS est maintenant **SÉCURISÉ**. C'est officiellement une **FORTERESSE**.



---



## Alertes de sécurité sur Telegram (optionnel)



À la fin de l'installation, le script te propose de configurer deux niveaux d'alertes :



- **Rapport quotidien Ă  09h00** - Ă©tat global du serveur (CrowdSec, rkhunter, auditd)

- **Alerte immédiate** - notification Telegram à chaque connexion SSH réussie (utilisateur + IP source)



**Ce dont tu as besoin :**

1. CrĂ©e un bot → ouvre [@BotFather](https://t.me/BotFather) → `/newbot` → copie le token

2. RĂ©cupĂšre ton chat ID → ouvre [@userinfobot](https://t.me/userinfobot) → `/start` → copie l'`id`



**Ce que tu reçois chaque matin à 09h00 :**



```

🔐 vps-secure - Rapport quotidien

📅 13/04/2026 · monvps



✅ Tout va bien sur ton VPS



✅ CrowdSec : aucune alerte

✅ rkhunter : aucune anomalie

â„č Baseline rkhunter mise Ă  jour par apt le 2026-04-15T01:00:00Z

✅ auditd : aucun Ă©vĂ©nement critique

🍯 Endlessh : 247 bot(s) piĂ©gĂ©(s) en 24h

✅ AIDE : aucune modification systĂšme dĂ©tectĂ©e



Aucune action requise.

```



**Ce que tu reçois à chaque connexion SSH :**



```

🔐 Connexion SSH sur monvps

đŸ‘€ Utilisateur : vpsadmin

🌐 IP source   : 92.184.x.x

📅 13/04/2026 14:32:17

```



Si une anomalie est détectée dans le rapport quotidien, le message inclut le détail et la commande exacte pour réparer.



---



## Optionnel mais pratique



## Connexion rapide



> [!TIP]

> Ajoute ceci sur **ton ordinateur** dans `~/.ssh/config` pour te connecter avec juste `ssh monvps` :

> ```

> Host monvps

>     HostName IP_DU_VPS

>     User vpsadmin

>     Port 2222

>     IdentityFile ~/.ssh/id_ed25519_vps

> ```



---



## Dashboard de monitoring (optionnel mais fortement recommandé)



Un dashboard web pour visualiser en temps réel l'état de ton serveur.



```bash

bash <(curl -fsSL https://raw.githubusercontent.com/rockballslab/vps-secure/main/dashboard/install-dashboard-secure.sh)

```



Le script te demande un domaine et un mot de passe. Ton mot de passe sera sauvegardé dans `~/vps-monitor/.env`.



> [!NOTE]

> **Prérequis :** un enregistrement DNS A pointant sur l'IP de ton VPS.

> Pour générer un mot de passe sécurisé : `openssl rand -base64 32`





  VPS Secure Dashboard






  VPS Secure Dashboard




### Onglet Cockpit



Score de santĂ© 0–100 avec mascotte secrĂšte au score parfait.



| Carte | Ce qu'elle mesure |

|---|---|

| Threat Map | Globe interactif — arcs d'attaque en temps rĂ©el · IPs gĂ©olocalisĂ©es (Endlessh + CrowdSec) |

| Endlessh | Bots piégés total · 24h · durée moy. de piégeage |

| CrowdSec | IP bannies actives · alertes 24h · statut bouncer iptables |

| SystÚme | CPU · RAM · Disque (donuts) · uptime |

| UFW Firewall | Blocages totaux sur les logs |

| Auditd | Escalades sudo du jour |

| rkhunter | Statut clean/alerte · date du dernier scan |

| AIDE File Integrity | Intégrité des binaires SHA512 · date du dernier scan |

| Mises à jour | Paquets apt disponibles · date du dernier check |

| Connexions TCP | Connexions établies en temps réel |

| Ports ouverts | Ports TCP en écoute · détection des ports inattendus |



Timeline des 25 derniers événements sécurité avec défilement animé. Toggles Telegram interactifs (rapport 09h00 · alerte SSH).



> **Threat Map** - zoom centré sur le serveur, rotation automatique, zoom souris activé. Fond étoilé permanent. Points rouges = sources d'attaque actives, point vert = position du serveur. Cache 5 min cÎté backend.



### Onglet Journal de sécurité



Tous les événements sur 1j / 7j / 30j : tentatives SSH, blocages UFW, bans CrowdSec, warnings rkhunter, modifications AIDE, ports inattendus. Géolocalisation des IPs avec drapeau pays. Filtre victoires/alertes.



### Onglet Containers



DĂ©tection automatique de tous les containers Docker via socket. Cards par service avec statut live (Actif · ArrĂȘtĂ© · Unhealthy · DĂ©marrage), CPU, RAM, ports exposĂ©s. VĂ©rification de version en arriĂšre-plan via registry Docker Hub — badge **À jour** ou **Update disponible** (cache 1h). Services surveillĂ©s : n8n, Baserow, MinIO, PostgreSQL, Caddy.



### Stack technique



- Backend Python stdlib — zĂ©ro dĂ©pendance externe

- Auth HTTP Basic + rate limiting + lockout

- Cache TTL 30s, historique 24h persisté sur disque

- Frontend HTML/CSS/JS vanilla — Phosphor Icons, Chart.js, DM Sans

- Mode clair/sombre avec persistance

- Caddy reverse proxy + TLS automatique



---



> [!WARNING]

> 🔒 **Docker & Firewall : Le "UFW Bypass" corrigĂ©**

>

> Par défaut, Docker manipule iptables et ignore totalement les rÚgles de votre pare-feu (UFW), exposant vos ports directement sur le web. Ce script corrige cette faille critique présente sur la quasi-totalité des installations standards.

>

> Le correctif : Le script désactive la gestion automatique d'iptables par le démon Docker (iptables: false).

>

> AccÚs Internet : Une rÚgle de NAT (MASQUERADE) est automatiquement injectée dans before.rules pour que vos containers conservent un accÚs sortant (updates, API, etc.).

>

> ContrĂŽle Total : Rien ne rentre sans votre accord explicite.



Conséquence directe : Si vous lancez un container sur le port 8080, il restera invisible de l'extérieur par défaut. Pour l'ouvrir, vous devez le faire manuellement :



```bash

sudo ufw allow 8080/tcp comment 'Mon application'

```



---



## đŸ›Ąïž Niveau de sĂ©curitĂ©



Un VPS nu est une cible. VPS-Secure le transforme en serveur durci, surveillé et exploitable en production, avec un niveau de finition rarement proposé dans un script public.



VPS-Secure ne “garantit” pas une sĂ©curitĂ© absolue - aucun outil sĂ©rieux ne peut le faire. En revanche, il automatise un durcissement complet et avancĂ© d’Ubuntu 24.04 LTS, en appliquant une grande partie des contrĂŽles pertinents des rĂ©fĂ©rentiels **CIS Benchmark Level 1** et **DISA STIG**, tout en restant utilisable sur un VPS classique.



| Standard | Ce que c'est |

|---|---|

| CIS Benchmark L1 | Base de durcissement reconnue pour des serveurs de production |

| DISA STIG Ubuntu 24.04 | Un niveau de sécurité plus exigeant, inspiré des environnements les plus contrÎlés |

| OWASP Infrastructure | Une attention particuliĂšre Ă  la supply chain, aux secrets, Ă  la traçabilitĂ© et Ă  l’intĂ©gritĂ© |

| Lynis Audit | Outil open source d'audit de sécurité qui scanne le systÚme et produit un score de durcissement. Référence dans la communauté Linux pour évaluer l'état réel d'un serveur. |



**CIS Benchmark L1** - Le CIS Benchmark du Center for Internet Security est une référence reconnue pour sécuriser les systÚmes Linux.

Le niveau L1 vise un bon équilibre entre sécurité et compatibilité, ce qui en fait une base adaptée aux serveurs de production.

VPS-Secure automatise une large partie des contrĂŽles applicables Ă  un VPS Ubuntu 24.04, sans imposer une configuration trop lourde ou trop restrictive.



**DISA STIG** - Le DISA STIG est un référentiel de durcissement plus exigeant, utilisé dans des contextes à fortes contraintes de sécurité.

Tous ses contrĂŽles ne s’appliquent pas Ă  un VPS classique, mais sa logique gĂ©nĂ©rale reste pertinente pour renforcer un serveur exposĂ© Ă  Internet.

VPS-Secure reprend cette logique pour aller au-delĂ  d’un durcissement “de base”, tout en restant dĂ©ployable sans infrastructure d’entreprise.



**Lynis** - Lynis est un outil d’audit de sĂ©curitĂ© Linux largement utilisĂ© par les administrateurs systĂšme.

Il attribue un score de durcissement sur 100 et met en Ă©vidence les points faibles de la configuration.

Sur une installation de référence, VPS-Secure atteint un Lynis hardening index de **86/100**, ce qui correspond à un niveau de durcissement trÚs élevé pour un VPS public.



*Plafond structurel : certains contrĂŽles (PIV/FIPS, infrastructure DoD) sont hors scope d'un VPS public.*



> â„č Ce que cela couvre concrĂštement

>

> Le script met en place une base de sĂ©curitĂ© cohĂ©rente : accĂšs SSH durci, pare-feu, dĂ©tection d’intrusion, journalisation, intĂ©gritĂ© systĂšme, mises Ă  jour automatiques et supervision.

> L’objectif est de transformer un VPS vierge en serveur nettement plus robuste dùs l’installation.

> Ce n’est pas un simple script de confort : c’est une base de sĂ©curitĂ© sĂ©rieuse pour hĂ©berger ensuite des applications, des conteneurs ou un SaaS.



## Sécurité de l'utilisateur vpsadmin



Le script crée un utilisateur dédié, vpsadmin, pour administrer le serveur au quotidien.

Cela Ă©vite d’utiliser le compte root pour les tĂąches courantes et rĂ©duit le risque d’erreur humaine.

En pratique, cela correspond à une bonne hygiùne d’administration systùme.



- ⚡ **Sudo simplifiĂ©** : vpsadmin peut exĂ©cuter des commandes d’administration sans ressaisir son mot de passe Ă  chaque fois. Une configuration supplĂ©mentaire (use_pty) renforce la sĂ©curitĂ© de cette dĂ©lĂ©gation.



- 🐳 **Docker** implique une Ă©lĂ©vation de privilĂšges : comme vpsadmin peut lancer Docker, il a potentiellement un niveau de contrĂŽle trĂšs Ă©levĂ© sur le serveur. C’est normal : c’est le compromis nĂ©cessaire pour gĂ©rer facilement des containers sur un VPS.



> [!WARNING]

> **La rÚgle d'or : ProtÚge ta clé SSH !**

> Celui qui possÚde la clé privée SSH de vpsadmin possÚde en pratique l'accÚs d'administration au serveur.

> - Ne stocke jamais cette clé privée sur un cloud public.

> - Ne la partage jamais.

> - Utilise une machine de confiance pour les accĂšs d'administration.



---



## Ce que ce script ne fait PAS



- ❌ Pas de dĂ©ploiement d'applications (n8n, WordPress, etc).

Le script prĂ©pare une infrastructure ultra-sĂ©curisĂ©e. Une fois le script passĂ©, ton serveur est une forteresse prĂȘte Ă  accueillir tes services. À toi d'installer tes apps, elles bĂ©nĂ©ficieront automatiquement de la protection du systĂšme (Firewall, CrowdSec, etc.).



- ⚠ Pas de gestion HTTPS pour tes futurs sites.

Le script ne devine pas tes noms de domaine. Pour mettre tes propres sites en HTTPS (cadenas vert), tu devras simplement installer un Reverse Proxy (comme Caddy, Nginx Proxy Manager ou Traefik).



> Note : Si tu choisis l'option Dashboard, le HTTPS est géré automatiquement avec un Reverse Proxy Caddy.



---



## Commandes utiles aprĂšs installation



```bash

# VĂ©rifier l'installation complĂšte (12 checks)

sudo vps-secure-verify

```



```bash

# Tableau de bord de sécurité instantané

sudo vps-secure-stats

```



---



### 📊 État du systùme



```text

╔══════════════════════════════════════════════════════╗

║           vps-secure - Tableau de bord               ║

╚══════════════════════════════════════════════════════╝

monvps · 13/04/2026 07:00



🍯 HONEYPOT (Endlessh)          actif

Bots piégés (24h)     : 247

Bots piégés (total)   : 1834



đŸ›Ąïž  CROWDSEC                     actif

IP bannies actives    : 97

Alertes (24h)         : 12



đŸ”„ PARE-FEU (UFW)

Blocages totaux       : 4521



📋 AUDIT (auditd)

Escalades privilĂšges  : 3 aujourd'hui



🔍 ROOTKITS (rkhunter)          OK

Dernier scan          : 2026-04-05 04:00:01



🔐 INTÉGRITÉ (AIDE)

Dernier scan          : Aucune modification



đŸ’» SYSTÈME

Uptime                : 3 weeks, 2 days

Charge                : 0.08, 0.12, 0.09

MĂ©moire               : 1.2Gi / 3.8Gi

```



> [!NOTE]

> Le jour de l'installation, les escalades de privilÚges affichent un nombre élevé (1000+).

>

> C'est normal - le script install.sh tourne en root et chaque commande systÚme est auditée.

>

> DÚs le lendemain, le compteur reflÚte uniquement tes actions réelles. 



---



```bash

# Ouvrir un port pour une app (ex: n8n sur 8080)

sudo ufw allow 8080/tcp

```



```bash

# Voir les alertes CrowdSec (derniĂšres 24h)

sudo cscli alerts list --since 24h

```



```bash

# Consulter les logs d'audit

sudo ausearch -k privilege_escalation --start today -i

sudo ausearch -k docker_socket --start today -i

sudo aureport --summary

```



```bash

# Lancer un scan de rootkits manuellement

sudo rkhunter --check --report-warnings-only

```



```bash

# Voir le log du scan rkhunter quotidien (00h00 UTC · 02h00 Paris)

sudo cat /var/log/rkhunter-cron.log

```



```bash

# Honeypot Endlessh - logs en direct

sudo docker logs -f endlessh

```



```bash

# Vérifier les ports exposés par Docker

sudo docker ps --format "table {{.Names}}\t{{.Ports}}"

```



```bash

# Statut du pare-feu

sudo ufw status verbose

```



```bash

# Tester le rapport Telegram manuellement (si Telegram a été activé)

sudo /usr/local/bin/vps-secure-check.sh

```



```bash

# Changer l'heure du rapport Telegram quotidien (ex: 08h00 au lieu de 09h00)

sudo sed -i 's/^0 [0-9]* \* \* \*/0 8 * * */' /etc/cron.d/vps-secure

sudo cat /etc/cron.d/vps-secure  # vérifier

```



```bash

# AIDE - lancer un scan d'intégrité manuellement

sudo /usr/local/bin/vps-secure-aide-check.sh

```



```bash

# AIDE - mettre Ă  jour la baseline aprĂšs un apt upgrade (packages mis Ă  jour)

sudo vps-secure-aide-rebase

```



```bash

# Cache sécurité (Endlessh + CrowdSec) - mis à jour toutes les 5 min

cat /var/cache/vps-secure/security-stats.json

```



```bash

# Vérifier si rkhunter a été mis à jour par apt

sudo cat /var/log/rkhunter-propupd.log

```



---



## Compatibilité



TestĂ© et vĂ©rifiĂ© le 11 mai 2026 sur **Ubuntu 24.04 LTS** — **v2.7.3** - Hostinger KVM4 et Hetzner CPX42



Installation complĂšte et 100% fonctionnelle en **13 min** (dashboard inclus)



---



## Licence



VPS-SECURE COMMERCIAL LICENSE

Copyright (c) 2026 AIFORCEONE

[https://vps-secure.aiforceone.fr/offre.html](https://vps-secure.aiforceone.fr/offre.html)



---



*Fait avec ❀ par Fabrice [@rockballslab](https://github.com/rockballslab)* part of AIFORCEONE