Changer le mot de passe root de votre VPS Linux

Le compte root peut tout faire sur la machine : lire n’importe quel fichier, installer n’importe quoi, effacer n’importe quoi. Son mot de passe est donc la serrure principale de votre serveur, et cette serrure est exposée sur une adresse IP publique. Les robots la testent en général dans les minutes qui suivent la mise en ligne du VPS.

Changez-le quand vous prenez la machine en main, et dès que vous avez un doute sur sa confidentialité.

Quelle règle de mot de passe est appliquée sur un VPS ?

By-Hoster vérifie le mot de passe côté serveur, à chaque point d’entrée (commande, réinstallation, changement depuis l’espace client). Il doit :

Sont refusés en plus : les fragments trop courants (password, azerty, 123456, admin, debian…) et le nom d’hôte ou le nom d’utilisateur de votre propre VPS.

Les autres symboles (guillemets, antislash, accent grave, $) sont volontairement exclus : ils transitent par la configuration d’initialisation de la machine, où ils provoquent des erreurs d’échappement.

Comment changer le mot de passe root depuis l’espace client ?

C’est la voie recommandée, et la seule qui fonctionne si vous n’avez plus accès à la machine.

1. Ouvrez votre service depuis l’espace client.
2. Allez dans l’onglet Accès & Sécurité.
3. Saisissez le nouveau mot de passe dans le champ prévu, puis validez.

Important : un VPS KVM doit redémarrer

Sur une machine virtuelle KVM, ce changement est déposé dans la configuration d’initialisation (cloud-init) de la VM. Il n’est pas appliqué au système en cours d’exécution : il sera pris en compte au prochain démarrage.

Autrement dit : validez le formulaire, puis redémarrez la machine. Tant que vous n’avez pas redémarré, l’ancien mot de passe reste valable, et le nouveau ne fonctionne pas encore. Sur un conteneur LXC, à l’inverse, l’effet est immédiat.

Comment changer le mot de passe root en ligne de commande ?

Si vous êtes déjà connecté à la machine, passwd change le mot de passe tout de suite, sans redémarrage.

Connecté en root :

passwd

Connecté avec un utilisateur disposant de sudo :

sudo passwd root

Saisissez puis confirmez le nouveau mot de passe. Rien ne s’affiche pendant la frappe, pas même des étoiles : c’est normal, le terminal masque complètement la saisie. La confirmation attendue est :

passwd: password updated successfully

Attention : cette méthode ne prévient pas l’espace client. Le mot de passe mémorisé dans votre fiche de service reste l’ancien, et les deux divergent. Si vous voulez que l’espace client reste la référence, utilisez la méthode 1.

Comment vérifier que le nouveau mot de passe fonctionne ?

Ouvrez une seconde session SSH sans fermer la première. Si le nouveau mot de passe est refusé, vous gardez la session en cours pour corriger.

ssh root@votre-ip

Ou, depuis la machine, en repassant par une authentification complète :

su -

Que faire de plus qu’un mot de passe pour sécuriser l’accès ?

Deux mesures : les clés SSH, qui remplacent le mot de passe par une paire cryptographique, et fail2ban, qui bannit les adresses qui insistent.

Un mot de passe, même long, reste une chaîne que l’on peut deviner à force d’essais. Deux mesures changent réellement la donne :

• les clés SSH, qui remplacent le mot de passe par une paire cryptographique impossible à deviner ;
• fail2ban et le pare-feu, qui bannissent les adresses qui insistent.

Si vous avez perdu le mot de passe et que vous n’avez plus accès à la machine, la procédure de récupération est décrite dans l’article dédié.