# Liste des bonnes pratiques en matiere de securite pour un système linux **URL:** \ **Category:** Pause Café\ **Created:** [Octobre 12, 2026, 12:12 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030 "2026-10-12T12:12:37Z")\ **Posts on this page:** 15\ **Page:** 1
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Octobre 12, 2026, 12:12 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/1 "2026-10-12T12:12:37Z")
Bonjour Suite a des discussions sur la sécurité d’un système GNU/Linux et avant de parler de systèmes de sécurité avancée ( EDR, Antivirus, IDS…) je me pose la question de la définition et du partage de bonnes pratiques. Quelles sont les vôtres. Je ferai ensuite un résumé ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Octobre 12, 2026, 12:18 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/2 "2026-10-12T12:18:50Z")
Pour ma part: \*Utiliser uniquement les paquets vérifiés par Debian - Si pas possible, utiliser uniquement les paquets de fournisseurs connus à l’identité verifiée - utiliser le moins possible de commandes en root, ne pas laisser de console root ouverte - ne pas aller sur des sites douteux ( pornographiques, pirates, dark web et autres. - activer le pare-feu Je réfléchis a ce que je fais d’autre ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Octobre 12, 2026, 12:19 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/3 "2026-10-12T12:19:16Z")
- Ne pas exécuter des trucs dont on ignore la provenance - Fermer toutes les routes réseau qui n’ont pas lieu d’être ouvertes (pare-feu) - Ne pas laisser systématiquement des droits d’écriture entre plusieurs équipements du LAN, mais les ouvrir/refermer au besoin ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Octobre 12, 2026, 12:59 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/4 "2026-10-12T12:59:01Z")
Tracer les commandes sudo Si possible limiter les commande réalisables par sudo Mettre en place un group pour l’utilisation de la commande su (avec PAM) ---
**Author:** ![Clochette](https://www.debian-fr.org/user_avatar/www.debian-fr.org/clochette/32/8757_2.png) [@Clochette](https://www.debian-fr.org/u/Clochette)\ **Post date:** [Octobre 12, 2026, 2:55 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/5 "2026-10-12T14:55:46Z")
Le sujet est sympa mais prenant le temps d’en faire le tour et de le mettre ne forme, là c’est pas terrible à suivre 😉 ---
**Author:** ![fran.b](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/d78d45/32.png) [@fran.b](https://www.debian-fr.org/u/fran.b)\ **Post date:** [Octobre 12, 2026, 4:29 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/6 "2026-10-12T16:29:58Z")
Déjà je pense que c’est très différent suivant qu’on gère - sa machine perso - son serveur perso - une machine utilisée par plusieurs personnes - un serveur dans un LAN non exposé à l’extérieur - un serveur exposé (dans une DMZ) - un routeur/proxy Et dans tout ça, le cas d’une machine accessible physiquement par des personnes non sures comme dans un lycée par exemple est encore un autre problème. Excepté la première catégorie (et peut être la deuxième), je pense que quelqu’un comme Zargos connait les reflexes à avoir. Sans vouloir le vexer, je pense que sur la première, il est peut être excessif, mais c\_'est le métier qui fait ça et ça n’est pas un défaut ici. Pour moi il y a 2 stratégies: Faire une machine inviolable ou bien privilégier la detection. En ce qui me concerne, l’inviolabilité n’tant pas garantie, je privilégie la détection, et ça m’a plutôt réussi. L’idéal est de cumuler ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Octobre 12, 2026, 4:44 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/7 "2026-10-12T16:44:03Z")
> [@fran.b](#): > > L’idéal est de cumuler c’est aussi ce que je pratique. ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Octobre 12, 2026, 6:49 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/8 "2026-10-12T18:49:41Z")
Mettons que on limite le sujet au pc de monsieur tout le monde, particulier qui surfe sur internet avec sa machine perso ---
**Author:** ![antek](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/ecccb3/32.png) [@antek](https://www.debian-fr.org/u/antek)\ **Post date:** [Octobre 12, 2026, 7:26 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/9 "2026-10-12T19:26:43Z")
C’est moi . . . Pas de sudo, pare-feu entrées fermées et sorties ouvertes, logiciels venant des paquets debian (sauf 1 professionnel). Rarement sur des sites cochon. Les ressources distantes pour le mail sont bloquées. Bon mot de passe pour utiliser _ **su -** _ Quoi d’autres ? ---
**Author:** ![dindoun](https://www.debian-fr.org/user_avatar/www.debian-fr.org/dindoun/32/4281_2.png) [@dindoun](https://www.debian-fr.org/u/dindoun)\ **Post date:** [Octobre 14, 2026, 3:10 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/10 "2026-10-14T15:10:41Z")
par l’anssi : > **[Recommandations de configuration d'un système GNU/Linux | MesServicesCyber](https://messervices.cyber.gouv.fr/guides/recommandations-de-securite-relatives-un-systeme-gnulinux)** > > Aujourd’hui les systèmes d’exploitation Unix et dérivés, et notamment GNU/Linux, jouent un rôle important dans l’écosystème des équipements, systèmes, réseaux et télécommunications. Ils sont en effet souvent déployés dans de nombreux produits... > **[fr\_np\_linux\_configuration-v2.0.pdf](https://messervices.cyber.gouv.fr/documents-guides/fr_np_linux_configuration-v2.0.pdf)** > > 2.39 MB ---
**Author:** ![Anonymous23](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/90ced4/32.png) [@Anonymous23](https://www.debian-fr.org/u/Anonymous23)\ **Post date:** [Octobre 14, 2026, 5:19 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/11 "2026-10-14T17:19:58Z")
Merci Je connais ces documents mais ils sont plutôt a la destination d’administrateurs professionnels ---
**Author:** ![Sputnik93](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/35a633/32.png) [@Sputnik93](https://www.debian-fr.org/u/Sputnik93)\ **Post date:** [Octobre 17, 2026, 3:15 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/12 "2026-10-17T15:15:52Z")
A ce qui a déjà été mentionné, j’ajouterais les mises à jour automatiques, en particulier celles du canal security, avec redémarrage si nécessaire (installation d’un noyau patché par exemple). unattended-upgrades est pratique pour ça. Et aussi éventuellement un antivirus avec scan automatique. Après il faut aussi regarder les usages des utilisateurs, s’ils utilisent beaucoup Firefox ou Thunderbird par exemple, ça peut valoir la peine de se pencher sur les configurations de ces logiciels ---
**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\ **Post date:** [Octobre 17, 2026, 3:30 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/13 "2026-10-17T15:30:27Z")
je ne fais les mises à jour qu’en manuel personnellement car cela me permet d’eviter de mauvais patchs… Mais pour quelqu’un de débutant, c’est effectivement nécessaire car il ne saurait régler le problème seul. ---
**Author:** ![Sputnik93](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/s/35a633/32.png) [@Sputnik93](https://www.debian-fr.org/u/Sputnik93)\ **Post date:** [Octobre 17, 2026, 3:37 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/14 "2026-10-17T15:37:24Z")
Oui et ça dépend de la fréquence à laquelle l’administrateur passe sur la machine, et parfois s’il y a du matériel non pris en charge par des pilotes inclus dans les dépôts Debian officiels (certaines cartes graphiques par exemple, dans ce cas le reboot sur un nouveau noyau peut mal se passer si le pilote installé n’est pas compatible avec le nouveau noyau). Pour ce type de cas d’utilisation, je pars du principe que ce qui arrive dans le canal Debian stable est suffisamment testé pour qu’il n’y ait pas de régression ou de patch instable. J’ai passé mon ancien laptop à mes parents, ils n’utilisent que Thunderbird et Firefox (parfois Libre Office), unattended-upgrades me tranquillise sur l’application des mises à jour et démarrage sur noyau à jour, comme je n’y vais que quelques fois par an. ---
**Author:** ![Thierz](https://www.debian-fr.org/user_avatar/www.debian-fr.org/thierz/32/15124_2.png) [@Thierz](https://www.debian-fr.org/u/Thierz)\ **Post date:** [Octobre 21, 2026, 7:18 UTC](https://www.debian-fr.org/t/liste-des-bonnes-pratiques-en-matiere-de-securite-pour-un-systeme-linux/93030/15 "2026-10-21T07:18:14Z")
Je pense que pour être utile aux gens qui débarquent sur Debian, on pourrait commencer cette liste par l’état « par défaut » d’une machine sur laquelle on vient d’installer Debian sans mettre d’option particulière sur la sécurité.