Sécurité du serveur
Dernier contrôle : 09/11/2026Le serveur qui héberge Rayor Connect est configuré en suivant le guide de l'ANSSI « Recommandations de configuration d'un système GNU/Linux » (ANSSI-BP-028, version 2.0 du 3 octobre 2022). Cette page publie notre grille de contrôle, recommandation par recommandation, y compris ce qui n'est pas encore conforme.
Il s'agit d'une auto-évaluation. Ce n'est ni une certification, ni une qualification, ni un visa de sécurité : l'ANSSI n'a pas examiné ce serveur et n'est pas associée à cette page.
Résumé
Niveau minimal · 11 points
8 conformes · 3 partiels
Niveau intermédiaire · 29 points
5 conformes · 14 partiels · 4 non conformes · 6 non applicables
Périmètre et méthode
- Périmètre : le système d'exploitation (Ubuntu 22.04 LTS) du serveur virtuel qui héberge Rayor Connect, hébergé en France chez OVHcloud. Ce serveur fait aussi tourner d'autres services Rayor.
- Méthode : chaque point est vérifié directement sur la machine (paramètres du noyau, droits des fichiers, comptes, services en écoute, configuration sudo et SSH).
- Niveaux visés : minimal et intermédiaire. Le guide réserve les niveaux renforcé et élevé aux systèmes qui en ont besoin ; ils ne sont pas évalués ici.
- Ce que nous ne publions pas : versions de logiciels, ports et noms de services, pour ne pas faciliter le travail d'un attaquant.
- Guide de référence : ANSSI-BP-028 v2.0 (PDF, cyber.gouv.fr).
Niveau minimal
| N° | Recommandation | Statut |
|---|---|---|
| R30 | Désactiver les comptes utilisateur inutilisésCompte root verrouillé, comptes de service sans shell de connexion ou verrouillés. | Conforme |
| R31 | Utiliser des mots de passe robustesConnexion à distance par clé uniquement : l'authentification par mot de passe est refusée. | Conforme |
| R53 | Éviter les fichiers ou répertoires sans utilisateur ou sans groupe connuCorrigé le 09/11/2026. Seule exception : des données de conteneurs, qui appartiennent à des comptes définis dans ces conteneurs. | Conforme |
| R54 | Activer le sticky bit sur les répertoires inscriptiblesPlus aucun répertoire inscriptible par tous sans sticky bit (3 corrigés le 09/11/2026). | Conforme |
| R56 | Éviter l'usage d'exécutables avec les droits spéciaux setuid et setgidTous les exécutables setuid/setgid proviennent des paquets de la distribution (1 droit superflu retiré le 09/11/2026). | Conforme |
| R58 | N'installer que les paquets strictement nécessairesServeur partagé par plusieurs services Rayor : des outils de compilation et des composants inutilisés restent installés. Inventaire en cours. | Partiel |
| R59 | Utiliser des dépôts de paquets de confianceDépôts officiels Ubuntu et dépôts signés des éditeurs uniquement. Le dépôt de pré-publication est bloqué (priorité 1, jamais installé automatiquement). | Conforme |
| R61 | Effectuer des mises à jour régulièresCorrectifs de sécurité installés automatiquement chaque jour, veille CVE. Un redémarrage reste à faire pour charger le dernier noyau. | Partiel |
| R62 | Désactiver les services non nécessaires6 services inutiles coupés le 09/11/2026, dont un ancien service de transfert de fichiers remplacé par une version chiffrée. | Conforme |
| R68 | Protéger les mots de passe stockésMots de passe système hachés (yescrypt pour tout nouveau mot de passe). Aucun mot de passe en clair. | Conforme |
| R80 | Réduire la surface d'attaque des services réseauBases de données, caches et services internes n'écoutent que sur la boucle locale. Quelques services d'administration mis en pause restent joignables : fermeture en cours. | Partiel |
Niveau intermédiaire
| N° | Recommandation | Statut |
|---|---|---|
| R2 | Configurer le BIOS/UEFIMachine virtuelle : le micrologiciel est géré par l'hébergeur (OVHcloud). | Non applicable |
| R3 | Activer le démarrage sécurisé UEFIL'instance démarre en mode BIOS : le démarrage sécurisé n'y est pas disponible. | Non conforme |
| R5 | Configurer un mot de passe pour le chargeur de démarragePas de mot de passe sur le chargeur. Mesure compensatoire : la console n'est accessible que depuis l'espace client de l'hébergeur ; configuration de démarrage lisible par root seul. | Partiel |
| R8 | Paramétrer les options de configuration de la mémoireLes contre-mesures processeur (Spectre, Meltdown…) sont actives. Les options de durcissement mémoire au démarrage ne sont pas encore posées. | Partiel |
| R9 | Paramétrer les options de configuration du noyauToutes les options sont appliquées sauf l'arrêt du système sur erreur noyau, écarté pour préserver la disponibilité (machine unique). | Partiel |
| R11 | Activer et configurer le LSM YamaYama actif, ptrace restreint aux processus descendants. | Conforme |
| R12 | Paramétrer les options de configuration du réseau IPv4Appliqué, avec deux écarts justifiés : le routage reste actif (conteneurs) et deux options ARP ne sont pas posées, car elles couperaient le réseau avec l'adressage imposé par l'hébergeur. | Partiel |
| R13 | Désactiver le plan IPv6Aucune adresse IPv6 publique. La pile reste chargée car des services internes en dépendent ; redirections et routage par la source refusés. | Partiel |
| R14 | Paramétrer les options de configuration des systèmes de fichiersLiens, FIFO et fichiers protégés ; core dumps des programmes privilégiés désactivés. | Conforme |
| R28 | Partitionnement typePartition unique fournie par l'image de l'hébergeur. | Non conforme |
| R32 | Expirer les sessions utilisateur localesSessions inactives fermées après 15 minutes (console et SSH). | Conforme |
| R33 | Assurer l'imputabilité des actions d'administrationCompte root désactivé, actions privilégiées passées par sudo et journalisées. Pas encore de journalisation de chaque processus (auditd). | Partiel |
| R34 | Désactiver les comptes de serviceComptes de service sans shell de connexion ou verrouillés. | Conforme |
| R35 | Utiliser des comptes de service uniques et exclusifsChaque démon a son compte, mais les sites web partagent un même compte d'exécution. | Partiel |
| R39 | Modifier les directives de configuration sudoenv_reset, use_pty et ignore_dot actifs. noexec, requiretty et umask non posés : ils casseraient les tâches d'administration automatisées. | Partiel |
| R40 | Utiliser des utilisateurs cibles non privilégiés pour les commandes sudoLa règle de sauvegarde se limite à un seul script. Le compte d'administration garde des droits complets. | Partiel |
| R42 | Bannir les négations dans les spécifications sudoAucune négation dans la configuration sudo. | Conforme |
| R43 | Préciser les arguments dans les spécifications sudoArguments précisés pour la règle de sauvegarde ; pas pour le compte d'administration (droits complets). | Partiel |
| R44 | Éditer les fichiers de manière sécurisée avec sudoAucune règle sudo ne délègue l'édition de fichiers. | Non applicable |
| R50 | Restreindre les droits d'accès aux fichiers et aux répertoires sensiblesFichiers d'authentification système et clés privées TLS réservés à root. Certains fichiers de configuration applicatifs restent lisibles par d'autres comptes locaux. | Partiel |
| R52 | Restreindre les accès aux sockets et aux pipes nomméesSockets des sites web réservées à leur compte. Quelques sockets de service sont encore dans un répertoire temporaire partagé. | Partiel |
| R55 | Séparer les répertoires temporaires des utilisateursRépertoire temporaire commun à tous les services. | Non conforme |
| R63 | Désactiver les fonctionnalités des services non essentiellesTransferts X11 et d'agent SSH coupés le 09/11/2026, listage des répertoires web désactivé. Une authentification en clair reste acceptée par un service. | Partiel |
| R67 | Sécuriser les authentifications distantes par PAMAucune authentification système déléguée à un annuaire distant. | Non applicable |
| R69 | Sécuriser les accès aux bases utilisateur distantesAucune base utilisateur système distante. | Non applicable |
| R70 | Séparer les comptes système et d'administrateur de l'annuaireAucun annuaire. | Non applicable |
| R74 | Durcir le service de messagerie localeCe serveur est le serveur de messagerie du domaine : la messagerie est un service exposé, traitée en R79. | Non applicable |
| R75 | Configurer un alias de messagerie des comptes de serviceLes messages système adressés à root ne sont pas encore redirigés vers un administrateur. | Non conforme |
| R79 | Durcir et surveiller les services exposésBannissement automatique des abus, protection anti-DDoS, réputation des IP, supervision de disponibilité. Un correctif reste à appliquer sur un composant d'administration, dont l'accès est réservé à une seule adresse IP. | Partiel |
Signaler une faille
Vous avez trouvé une faille ? Écrivez à contact@rayor.fr. Nous répondons à chaque signalement et corrigeons avant toute publication.