[{"content":"Les utilisateurs de Linux et macOS connaissent sudo, un programme qui permet d\u0026rsquo;exécuter une commande en tant qu\u0026rsquo;un autre utilisateur, généralement root (l\u0026rsquo;administrateur). Bien que sudo puisse être installé sur OpenBSD, on utilise plutôt doas, qui fait partie du système.\nPourquoi j\u0026rsquo;ai voulu contribuer à doas Lorsqu\u0026rsquo;on configure doas via le fichier /etc/doas.conf, on peut utiliser la directive \u0026ldquo;persist\u0026rdquo; qui permet de ne pas avoir à retaper son mot de passe pendant 5 minutes. Ainsi si on a plusieurs commandes à taper, on n\u0026rsquo;est pas obligé de retaper son mot de passe à chaque fois.\nCependant, ce délai de 5 minutes n\u0026rsquo;est pas paramétrable, c\u0026rsquo;est un choix de l\u0026rsquo;équipe OpenBSD. Et c\u0026rsquo;est justement un sujet qui revient sur la table de temps en temps (comme ici ou là ), certaines personnes aimeraient pouvoir choisir le temps pendant lequel le mot de passe n\u0026rsquo;est pas redemandé.\nEn général ces personnes souhaiteraient un délai plus long, comme 15 minutes. Moi je souhaitais un temps plus court, que le mot de passe soit mémorisé juste le temps de taper 2-3 commandes, puis qu\u0026rsquo;il soit oublié.\nC\u0026rsquo;est pourquoi j\u0026rsquo;ai décidé de me plonger dans le code de doas et de proposer un patch à l\u0026rsquo;équipe OpenBSD.\nMon patch doas Si vous voulez simplement accéder au patch, il est disponible sur Github .\nL\u0026rsquo;objectif Pour que vous compreniez la modification que j\u0026rsquo;ai proposée, voici comment on peut configurer doas actuellement ( doas.conf(5) ) :\n# /etc/doas.conf # Les membres du groupe wheel sont autorisés à utiliser doas, leur mot de passe # est mémorisé pendant 5 minutes grâce à persist permit persist :wheel # Retour à la ligne nécessaire après la règle Note : dans mon article dédié à doas sur OpenBSD Desktop , j\u0026rsquo;ai mentionné qu\u0026rsquo;il était nécessaire d\u0026rsquo;ajouter un retour à la ligne (\\n) après chaque règle pour qu\u0026rsquo;elle soit prise en compte. Maintenant que j\u0026rsquo;ai étudié le parser, en plus de le savoir, je comprends pourquoi.\nLe patch que j\u0026rsquo;ai développé ajoute un paramètre optionnel à persist permettant de choisir pendant combien de secondes le mot de passe est mémorisé :\n# /etc/doas.conf permit persist 60 :wheel # Retour à la ligne nécessaire après la règle Pendant 60 secondes, le mot de passe n\u0026rsquo;est pas redemandé à l\u0026rsquo;utilisateur, délai plus court que les 5 minutes actuelles. Si le délai n\u0026rsquo;est pas indiqué dans la configuration, alors le délai de 5 minutes par défaut est utilisé, ce qui fait que ce changement est rétro-compatible, il ajoute une fonctionnalité sans casser l\u0026rsquo;existant.\nComment j\u0026rsquo;ai fait Si vous envisagez de contribuer à OpenBSD, la méthode peut vous intéresser.\nOpenBSD utilise CVS mais je préfère Git, alors j\u0026rsquo;ai cloné le repository depuis Github : git clone https://github.com/openbsd/src. Comme indiqué dans la documentation , j\u0026rsquo;ai exécuté les commandes suivantes dans le repo Git : git config diff.noprefix true et git config diff.renames false. Ça a été utile au moment de générer le fichier diff. which doas m\u0026rsquo;a indiqué que le programme doas se trouvait dans le répertoire /usr/bin, donc j\u0026rsquo;ai navigué dans le bon dossier du repository : cd usr.bin/doas/. Une fois dans le bon dossier j\u0026rsquo;ai étudié les différents fichiers : doas.1 et doas.conf.5 sont des pages de manuel, pouvant être lues avec man doas et man doas.conf. Makefile est le fichier que make utilise pour compiler doas. make obj crée un sous-dossier obj/ et ensuite make compile doas. env.c contient du code C permettant de gérer l\u0026rsquo;environnement. doas.h et doas.c contiennent du code C, la fonction main() se trouve dans doas.c et c\u0026rsquo;est un bon point de départ pour comprendre comment le programme fonctionne. parser.y est un fichier un peu spécial, utilisé par yacc . Il définit la grammaire utilisée par le fichier de configuration doas.conf, pour ajouter une option de configuration c\u0026rsquo;est ce fichier qu\u0026rsquo;il faut modifier. Pour cela il faut se familiariser avec yacc, car ce n\u0026rsquo;est pas juste du code C. Après avoir étudié la documentation, le code, et effectué mes modifications, j\u0026rsquo;ai généré un diff depuis le dossier usr.bin/doas avec la commande git diff --relative . \u0026gt; doas-persist-timeout.patch. Enfin, après avoir lu les instructions , j\u0026rsquo;ai envoyé un e-mail à la mailing list avec mon patch en pièce jointe. La réponse d\u0026rsquo;OpenBSD Quelques heures après avoir envoyé mon message, j\u0026rsquo;ai eu une réponse de Theo, le fondateur d\u0026rsquo;OpenBSD, il n\u0026rsquo;aimait pas l\u0026rsquo;idée de rendre le délai configurable, et il a donné de bons arguments. Le délai de 5 minutes a été choisi parce qu\u0026rsquo;il n\u0026rsquo;est ni trop long pour poser problème ni trop court pour être embêtant, ça permet de garder doas simple, sans compliquer la gestion de la configuration.\nCamouflet ? Pas du tout. Bien entendu j\u0026rsquo;aurais apprécié que le patch soit accepté, mais l\u0026rsquo;explication du refus a du sens, est cohérente, et surtout j\u0026rsquo;ai beaucoup appris en creusant le code. Et puis j\u0026rsquo;ai toujours mon patch, rien ne m\u0026rsquo;empêche de l\u0026rsquo;utiliser même s\u0026rsquo;il a été refusé.\nComprendre la philosophie d\u0026rsquo;OpenBSD OpenBSD est un système qui se veut simple, s\u0026rsquo;il y a moins de fonctionnalités on réduit la surface d\u0026rsquo;attaque et le nombre de bugs.\nLa sécurité est au centre de tout, chaque fonctionnalité ajoutée est réfléchie du point de vue de la sécurité, du risque et de la complexité qu\u0026rsquo;elle apporte. Un exemple parlant est le Bluetooth, qui n\u0026rsquo;est volontairement pas supporté par OpenBSD.\nDans la lignée de la sécurité il y a la volonté de faire du code correct, et ça passe par des revues de code. Chaque patch est revu par d\u0026rsquo;autres développeurs afin d\u0026rsquo;y déceler des problèmes.\nConseils pour contribuer Voici quelques conseils si vous souhaitez contribuer à OpenBSD :\nLire la documentation. Ça vaut aussi pour les utilisateurs. OpenBSD a une très bonne documentation, man 1 doas pour la commande doas, man 5 doas.conf pour comprendre le fichier doas.conf, mais également man 2 pledge pour en savoir plus sur l\u0026rsquo;appel système pledge ou encore man 3 getopt pour accéder à la documentation de la fonction C getopt. Communiquer sur les mailing lists . Il y en a plusieurs, certaines pour des discussions variées, d\u0026rsquo;autres pour soumettre des patchs. Accepter le refus. Que ce soit sur OpenBSD ou un autre projet open source, les développeurs ne sont pas obligés d\u0026rsquo;accepter vos propositions. Ça ne veut pas dire qu\u0026rsquo;elles sont mauvaises pour autant. Conclusion Contribuer à OpenBSD est difficile, mais enrichissant. Même si le patch est refusé, l\u0026rsquo;apprentissage est précieux et aller jusqu\u0026rsquo;à la soumission du patch est une victoire en soi.\nBesoin d\u0026rsquo;un expert OpenBSD qui connaît le système de l\u0026rsquo;intérieur ? Parlons de votre projet .\n","permalink":"https://www.abosec.fr/fr/blog/openbsd-doas-persist-timeout-refused/","summary":"J\u0026rsquo;ai proposé une modification de doas. Même si elle a été refusée par Theo, ce retour d\u0026rsquo;expérience illustre la philosophie de simplicité du projet et comment participer à OpenBSD.","title":"Patch doas refusé : la philosophie de simplicité d'OpenBSD"},{"content":"Cet article se concentre sur httpd, le serveur Web. Si vous cherchez un article plus complet qui inclut également relayd, le reverse proxy, vous le trouverez sur mon autre blog, OpenBSD Desktop .\nOpenBSD httpd Afin que les choses soient claires, on parle ici d\u0026rsquo;OpenBSD httpd, à ne pas confondre avec Apache httpd qu\u0026rsquo;on appele généralement Apache. Ce dernier peut être installé via pkg, le gestionnaire de packages.\nOpenBSD httpd est un serveur Web développé par l\u0026rsquo;équipe qui est derrière OpenBSD. Pour un système d\u0026rsquo;exploitation utilisé majoritairement sur serveur, embarquer un serveur Web est cohérent et pratique. Si besoin il peut être couplé avec relayd, le reverse proxy / load balancer livré avec OpenBSD, que je présenterai dans un autre article.\nNote: doas est l\u0026rsquo;équivalent OpenBSD de sudo, donc quand une commande est précédée de doas, elle est exécutée en tant qu\u0026rsquo;administrateur.\nInstallation de PHP Puisqu\u0026rsquo;on veut faire tourner un site Web écrit en PHP, commençons par l\u0026rsquo;installer. Il suffit d\u0026rsquo;exécuter :\ndoas pkg_add php et de choisir la version de PHP si plusieurs sont proposées.\nIl est aussi possible d\u0026rsquo;installer des extensions, par exemple :\ndoas pkg_add php-pdo_mysql et de les activer :\ndoas ln -s /etc/php-8.5.sample/pdo_mysql.ini /etc/php-8.5/pdo_mysql.ini Pour vérifier que PHP est bien installé, tapez php -v.\nLe serveur Web utilise PHP FPM, installé avec PHP, il ne reste qu\u0026rsquo;à activer et démarrer le service :\ndoas rcctl enable php85_fpm \u0026amp;\u0026amp; doas rcctl start php85_fpm Voilà pour PHP, passons à httpd.\nDémarrage du serveur httpd Avant de commencer, il faut savoir que httpd et PHP FPM sont chrootés dans /var/www/, c\u0026rsquo;est-à-dire qu\u0026rsquo;ils ne voient pas le reste du système. Quand ils tentent d\u0026rsquo;accéder à la racine, /, ils voient en fait le contenu de /var/www/.\nIl s\u0026rsquo;agit d\u0026rsquo;une mesure de sécurité : si un attaquant exploite une vulnérabilité dans votre application (ou dans httpd) et parvient à exécuter des commandes, il n\u0026rsquo;aura pas accès à l\u0026rsquo;ensemble des fichiers du serveur, il sera limité à /var/www/. Vous n\u0026rsquo;avez rien à faire pour l\u0026rsquo;activer, c\u0026rsquo;est déjà en place par défaut.\nPuisqu\u0026rsquo;on va s\u0026rsquo;en servir, activons le service httpd :\ndoas rcctl enable httpd Passons à la configuration, qui se trouve à /etc/httpd.conf.\nD\u0026rsquo;abord on le configure en HTTP, pour générer un certificat TLS ensuite.\ntypes { include \u0026#34;/usr/share/misc/mime.types\u0026#34; } # Ici on configure pour HTTP uniquement # On configure phpmyadmin.abosec.fr, la configuration DNS doit avoir été faite # au préalable server \u0026#34;phpmyadmin.abosec.fr\u0026#34; { # Écoute sur Internet, sur le port 80 listen on egress port 80 # La base du site est /var/www/htdocs/phpmyadmin/ # On n\u0026#39;oublie pas que httpd est chrooté dans /var/www/ root \u0026#34;/htdocs/phpmyadmin\u0026#34; # Pour générer des certificats Let\u0026#39;s Encrypt (LE), acme-client génère des # fichiers, stockés dans /var/www/acme/, qui vont ensuite être accédés par # l\u0026#39;infrastructure de LE. Le bloc ci-dessous dit simplement que toute URL # ressemble à http://phpmyadmin.abosec.fr/.well-known/acme-challenge/\u0026lt;fichier\u0026gt; # cherche \u0026lt;fichier\u0026gt; dans le répertoire /var/www/acme, noté /acme car httpd est # chrooté dans /var/www/. location \u0026#34;/.well-known/acme-challenge/*\u0026#34; { root \u0026#34;/acme\u0026#34; request strip 2 } } On (re)démarre httpd avec\ndoas rcctl -d restart httpd On est prêt à générer le certificat TLS.\nGénération du certificat TLS Note : il est important de vérifier que le dossier /var/www/acme/ est accessible en lecture par httpd. Il suffit de créer un fichier /var/www/acme/test.txt contenant \u0026ldquo;test\u0026rdquo; et d\u0026rsquo;accéder à l\u0026rsquo;URL \u0026ldquo; http://phpmyadmin.abosec.fr/.well-known/acme-challenge/test.txt\" . Si vous ne voyez pas \u0026ldquo;test\u0026rdquo;, ajustez les droits du dossier.\nEnsuite on configure acme-client, dans le fichier /etc/acme-client.conf.\nacme-client permet de générer et regénérer des certificats en utilisant le protocole ACME. Sur Linux, on utilise souvent certbot pour cela.\n# On définit une autorité de certification, ici Let\u0026#39;s Encrypt authority letsencrypt { api url \u0026#34;https://acme-v02.api.letsencrypt.org/directory\u0026#34; account key \u0026#34;/etc/acme/letsencrypt-privkey.pem\u0026#34; } # Ici on définit le serveur de test de Let\u0026#39;s Encrypt # Peut être utile pour vérifier que notre installation fonctionne avant de # passer sur la production authority letsencrypt-staging { api url \u0026#34;https://acme-staging-v02.api.letsencrypt.org/directory\u0026#34; account key \u0026#34;/etc/acme/letsencrypt-staging-privkey.pem\u0026#34; } domain phpmyadmin.abosec.fr { # Quand on veut inclure plusieurs domaines dans un certificat, # par exemple le sous-domaine www, on utilise \u0026#34;alternative names\u0026#34; #alternative names { www.phpmyadmin.abosec.fr } domain key \u0026#34;/etc/ssl/private/phpmyadmin.abosec.fr.key\u0026#34; domain full chain certificate \u0026#34;/etc/ssl/phpmyadmin.abosec.fr.fullchain.pem\u0026#34; # On choisit l\u0026#39;autorité de certification à utiliser sign with letsencrypt } Une fois configuré, il suffit d\u0026rsquo;exécuter\ndoas acme-client phpmyadmin.abosec.fr on pourra ensuite l\u0026rsquo;exécuter dans une tâche cron afin de renouveler le certificat automatiquement.\nSi tout s\u0026rsquo;est bien passé, on peut modifier la configuration de httpd pour fonctionner en HTTPS.\nConfiguration de httpd De retour dans /etc/httpd.conf, on adapte la configuration pour que le site redirige de HTTP vers HTTPS.\n# Ici on configure pour HTTPS uniquement # C\u0026#39;est le site principal server \u0026#34;phpmyadmin.abosec.fr\u0026#34; { listen on egress port 443 # Les clefs sont chargés au démarrage du serveur, avant que le chroot # ne soit appliqué tls { certificate \u0026#34;/etc/ssl/phpmyadmin.abosec.fr.fullchain.pem\u0026#34; key \u0026#34;/etc/ssl/private/phpmyadmin.abosec.fr.key\u0026#34; } root \u0026#34;/htdocs/phpmyadmin\u0026#34; location \u0026#34;*.php\u0026#34; { # Optionnel : une authentification basique # pour éviter que phpMyAdmin ne soit scanné par des bots #authenticate with \u0026#34;/auth-files/phpmyadmin\u0026#34; # Tout ce qui termine par .php est traité par PHP fastcgi socket \u0026#34;/run/php-fpm.sock\u0026#34; } # ACME est désormais géré via HTTPS location \u0026#34;/.well-known/acme-challenge/*\u0026#34; { root \u0026#34;/acme\u0026#34; request strip 2 } } # Ici on configure pour HTTP uniquement server \u0026#34;phpmyadmin.abosec.fr\u0026#34; { listen on egress port 80 root \u0026#34;/htdocs/phpmyadmin\u0026#34; # On redirige vers la page demandée, en HTTPS block return 301 \u0026#34;https://phpmyadmin.abosec.fr$REQUEST_URI\u0026#34;\t} On redémarre à nouveau httpd avec\ndoas rcctl -d restart httpd et c\u0026rsquo;est parti, l\u0026rsquo;application Web est accessible.\nPrêt à passer votre serveur en production ? Découvrez comment je peux migrer et héberger votre infrastructure OpenBSD , ou parlons-en directement .\n","permalink":"https://www.abosec.fr/fr/blog/openbsd-httpd/","summary":"OpenBSD est livré avec un serveur Web, httpd. Dans cet article je vous montre comment faire tourner un site Web avec httpd, PHP et TLS.","title":"httpd, le serveur Web livré avec OpenBSD"},{"content":"On commence en douceur avec cet article, qui a pour objectif de clarifier quelques termes. Pas très technique donc, mais il est important de comprendre de quoi on parlera dans les prochains articles.\nLinux S\u0026rsquo;il y a bien un abus de langage qu\u0026rsquo;on fait tous, c\u0026rsquo;est de dire que Linux est un système d\u0026rsquo;exploitation. Quand on liste les systèmes d\u0026rsquo;exploitation les plus répandus on parle d\u0026rsquo;ailleurs de Linux, macOS et Windows.\nEn vérité, Linux est un noyau de système d\u0026rsquo;exploitation, une partie du système, mais pas le système complet. Il s\u0026rsquo;inspire largement d\u0026rsquo;Unix, un système d\u0026rsquo;exploitation propriétaire développé par AT\u0026amp;T à la fin des années 1960. Pour faire simple on pourrait dire qu\u0026rsquo;un système d\u0026rsquo;exploitation est découpé en deux grandes parties :\nLe noyau, qui est là pour faire fonctionner le matériel (l\u0026rsquo;écran, la carte graphique, etc), et exposer des API au userland. Son code est exécuté avec les privilèges les plus importants, il peut par exemple accéder à l\u0026rsquo;ensemble de la mémoire. Le userland, qui comprend l\u0026rsquo;ensemble des programmes et bibliothèques qui ne font pas partie du noyau. Ici les privilèges sont plus restreints, par exemple un programme ne peut pas accéder à la mémoire d\u0026rsquo;un autre. Linux est donc un noyau, et sans userland il ne sert pas à grand chose. Pour obtenir un système d\u0026rsquo;exploitation complet on le couple à un userland, comme GNU ou BusyBox, c\u0026rsquo;est pourquoi les puristes disent utiliser une distribution GNU / Linux, et pas simplement Linux.\nUne distribution Linux est justement un système d\u0026rsquo;exploitation qui utilise Linux. N\u0026rsquo;importe qui ayant les compétences requises peut créer sa distribution, incluant les logiciels qu\u0026rsquo;il préfère (comme OpenRC au lieu de systemd par exemple), donc il existe beaucoup de distributions . Certaines sont pensées pour les ordinateurs, d\u0026rsquo;autres sont plus adaptées aux serveurs, et d\u0026rsquo;autres encore sont spécialement prévues pour les objets connectés, les routeurs etc.\nQuelques distributions connues sont :\nDebian, Ubuntu, Linux Mint, Fedora, Void Linux, Pop!_OS, Manjaro, Arch Linux, Red Hat Enterprise Linux, utilisant GNU comme userland. Alpine Linux, OpenWRT, Android, utilisant BusyBox comme userland. Certaines distributions sont basées sur d\u0026rsquo;autres, par exemple Linux Mint est un fork d\u0026rsquo;Ubuntu, qui est un fork de Debian. Chaque distribution fait ses propres choix, par exemple pour le gestionnaire de packages. Certaines distributions utilisent apt, d\u0026rsquo;autres préfèrent dnf, pacman etc.\nIl faut alors choisir une distribution adaptée à son besoin (ordinateur portable, serveur, routeur), qui applique régulièrement les correctifs de sécurité de tous les logiciels tiers embarqués dans le système, et qui ne casse pas la compatibilité des logiciels à chaque mise à jour. Si PHP est mis à jour de la version 8.0 à 8.4 par surprise, les applications Web hébergées sur le serveur pourraient arrêter de fonctionner.\nOpenBSD OpenBSD est bien plus simple que Linux, pour commencer c\u0026rsquo;est un système d\u0026rsquo;exploitation complet, pas seulement un noyau. Cela signifie pas besoin de choisir le gestionnaire de packages, ici on utilise pkg. OpenBSD utilise init traditionnel, une alternative légère à systemd, évitant ainsi la complexité d\u0026rsquo;un daemon centralisé.\nBSD signifie Berkeley Software Distribution. À la fin des années 1970, l\u0026rsquo;université de Berkeley a développé BSD, un système d\u0026rsquo;exploitation dérivé d\u0026rsquo;Unix. La version courte est que BSD a été forké et a donné vie à plusieurs systèmes d\u0026rsquo;exploitation dont NetBSD et FreeBSD .\nCes deux systèmes ont eux-mêmes été forkés et ont donné vie à OpenBSD et à macOS.\nBien que les BSD fassent moins parler d\u0026rsquo;eux que les Linux, ils sont pourtant appréciés pour leur fiabilité, leur robustesse, et leurs licences permissives : Netflix utilise FreeBSD sur ses serveurs et PlayStation s\u0026rsquo;en sert sur ses consoles de jeu.\nChaque BSD a ses priorités, un peu à l\u0026rsquo;image des distributions Linux. NetBSD met un point d\u0026rsquo;honneur à fonctionner partout, sur tous les processeurs et même les plus obscurs. Il a d\u0026rsquo;ailleurs été porté sur un grille pain .\nFreeBSD s\u0026rsquo;intéresse surtout aux processeurs \u0026ldquo;classiques\u0026rdquo; tels qu\u0026rsquo;on en trouve sur les ordinateurs modernes ou les serveurs, et se concentre sur les performances.\nOpenBSD a une chose en tête, la sécurité. Tous les BSD prennent la sécurité au sérieux, mais OpenBSD est vraiment proactif sur le sujet.\nOpenBSD est donc un système d\u0026rsquo;exploitation qui aime la simplicité, la documentation bien faite, et la sécurité. Il est particulièrement adapté sur les serveurs, et puisque c\u0026rsquo;est un système complet il est cohérent partout, notamment dans la syntaxe de sa configuration. Le système embarque nativement un pare-feu (pf), un serveur Web (httpd), un load balancer (relayd), et puisqu\u0026rsquo;ils font partie du système ils utilisent tous les mécanismes de sécurité qu\u0026rsquo;il propose (chroot, pledge, unveil, etc). Je détaillerai ces mécanismes dans un autre article.\nL\u0026rsquo;équipe OpenBSD développe aussi OpenSSH , tellement incontournable qu\u0026rsquo;on le trouve également installé sur la plupart des distributions Linux.\nCurieux de voir comment je migre des serveurs ? Découvrez mon offre de migration .\nSi OpenBSD vous intéresse, j\u0026rsquo;ai également un blog dédié à ce système : openbsd-desktop.rocks ","permalink":"https://www.abosec.fr/fr/blog/openbsd-linux/","summary":"On parle de Linux et d\u0026rsquo;OpenBSD, de distributions, de GNU, mais on explique rarement ce que c\u0026rsquo;est. Ici je vous présente ces systèmes d\u0026rsquo;exploitation et les termes qui gravitent autour.","title":"OpenBSD, Linux, quelle différence ?"},{"content":"Votre serveur OVH entre de bonnes mains Vous êtes client OVH et votre serveur nécessite une attention particulière ? Audit de sécurité, hardening, migration ou maintenance récurrente, je vous accompagne.\nPourquoi choisir Abosec ? Je connais votre environnement Je n\u0026rsquo;ai pas besoin de me familiariser avec votre infrastructure. Je connais les serveurs dédiés, VPS et Kimsufi d\u0026rsquo;OVH. Je sais comment configurer le pare-feu, comment sécuriser SSH, comment activer TLS correctement.\nExpertise technique réelle 10 ans en développement et cybersécurité, 3 ans avec OpenBSD en production. Je ne vends pas des forfaits génériques, je livre des solutions concrètes.\nMes prestations pour clients OVH Audit de sécurité serveur Dès 800€ HT | 1-2 jours\nAnalyse complète de votre infrastructure OVH exposée : ports ouverts, versions, configurations SSH, pare-feu, TLS, backups.\nLivré : Rapport PDF avec risques prioritaires et plan de correction.\n→ Voir le détail Hardening Linux Dès 1000€ HT | 1-3 jours\nVotre serveur Linux (Ubuntu, Debian) n\u0026rsquo;est pas sécurisé par défaut ? Je configure :\nPare-feu (iptables/nftables ou pf) SSH durci (clés, 2FA, algorithmes) Monitoring et alerte (logging) Système de Prévention d\u0026rsquo;Intrusion (fail2ban) Livré : documentation des modifications.\n→ Voir le détail Migration vers OpenBSD Dès 1500€ HT | 3-7 jours\nVos serveurs Linux sont-ils un risque que vous ne maîtrisez plus ? Migrer vers OpenBSD réduit drastiquement votre surface d\u0026rsquo;attaque.\nJe réalise :\nAnalyse de compatibilité applicative Migration des données et configurations Configuration pare-feu, serveur Web, reverse proxy, TLS Rollback plan si nécessaire Garantie : 3 mois de support post-migration inclus.\n→ Voir le détail Hébergement géré OpenBSD Dès 500€ HT / mois | Engagement 12 mois\nVous ne voulez plus gérer votre infrastructure ? Je fournis des serveurs OpenBSD configurés, monitorés, sauvegardés. Vous vous concentrez sur votre métier.\nPack Solo : 3 sites, 1 serveur (500€/mois) Pack Pro : 10 sites, 3 serveurs (1 200€/mois) Pack Entreprise : illimité, HA, SLA (2 000€/mois) → Voir les packs Maintenance \u0026amp; Support Récurrent Dès 500€ HT / mois\nVotre serveur existe déjà ? Je le maintiens : mises à jour de sécurité, interventions correctives, reporting mensuel.\nOffre Interventions SLA Tarif mensuel Essential 1 jour / mois 48h Dès 500€ HT Standard 2 jours / mois 24h Dès 900€ HT Premium 5 jours / mois 4h Dès 2200€ HT → Voir le détail Comment je travaille Contact — Vous m\u0026rsquo;expliquez votre besoin (30 minutes, sans engagement) Diagnostic — J\u0026rsquo;analyse votre situation actuelle Proposition — Vous recevez un devis clair avec périmètre et délais Réalisation — Intervention avec points hebdomadaires Livraison — Code/config, documentation, support post-livraison Prêt à sécuriser votre infrastructure OVH ? Contactez-moi maintenant pour un diagnostic gratuit de 30 minutes.\nRéponse garantie sous 24h. Pas de pitch commercial, juste un échange technique honnête.\n","permalink":"https://www.abosec.fr/fr/partners/ovh/","summary":"\u003ch1 id=\"votre-serveur-ovh-entre-de-bonnes-mains\"\u003eVotre serveur OVH entre de bonnes mains\u003c/h1\u003e\n\u003cp\u003eVous êtes client OVH et votre serveur nécessite une attention particulière ?\nAudit de sécurité, hardening, migration ou maintenance récurrente, je vous\naccompagne.\u003c/p\u003e\n\u003chr\u003e\n\u003ch2 id=\"pourquoi-choisir-abosec-\"\u003ePourquoi choisir Abosec ?\u003c/h2\u003e\n\u003ch3 id=\"je-connais-votre-environnement\"\u003eJe connais votre environnement\u003c/h3\u003e\n\u003cp\u003eJe n\u0026rsquo;ai pas besoin de me familiariser avec votre infrastructure. Je connais\n\u003cstrong\u003eles serveurs dédiés, VPS et Kimsufi d\u0026rsquo;OVH\u003c/strong\u003e. Je sais comment configurer\nle pare-feu, comment sécuriser SSH, comment activer TLS correctement.\u003c/p\u003e","title":"Partenaire Expert - Clients OVH"}]