Qu'est-ce que SSH ? Le protocole expliqué

Ce que dit la norme

La RFC 4251, relue le 15 octobre 2026, définit SSH comme un protocole de connexion à distance sécurisée et d'autres services réseau sécurisés sur un réseau qui ne l'est pas. Il se compose de trois couches :

Sur Internet, le serveur écoute normalement sur le port 22, que l'IANA a attribué à SSH, selon la RFC 4253. Le logiciel le plus utilisé est OpenSSH, présent sur Linux, macOS et Windows.

À quoi sert SSH

• Administrer un serveur : installer un logiciel, lire un journal, redémarrer un service, en ligne de commande.
• Transférer des fichiers en SFTP, qui passe par la même connexion chiffrée. Un logiciel comme FileZilla sait s'en servir : voir FileZilla.
• Ouvrir un tunnel vers un service qui n'est pas exposé à Internet, par exemple une base de données, en le faisant passer par la connexion SSH.
• Déployer du code : Git et de nombreux outils de déploiement s'appuient sur SSH.

Ne confondez pas SSH et SSL. SSL, aujourd'hui TLS, chiffre la connexion entre un navigateur et un site web. SSH ouvre une session sur le serveur lui-même.

La première connexion et l'empreinte

Chaque serveur SSH possède une clé d'hôte, qui prouve que vous parlez bien à lui. À la première connexion, votre client affiche son empreinte et vous demande de l'accepter, puis la garde. La RFC 4251 admet cette acceptation à la première connexion, faute d'annuaire des clés largement répandu, mais demande que le client vérifie la clé par défaut (section 4.1) et qu'il avertisse si elle change ensuite (section 9.3.4). Comparez donc l'empreinte affichée à celle que vous a donnée l'administrateur du serveur. Un avertissement de changement de clé sur un serveur que rien n'a modifié mérite qu'on s'arrête : il peut signaler une interception.

Mot de passe ou clé SSH

Une clé SSH est une paire de fichiers : une clé privée, qui reste sur votre ordinateur, et une clé publique, que vous déposez sur le serveur. À la connexion, le serveur vérifie que vous détenez la clé privée correspondante, sans qu'aucun secret ne circule.

1. Créez une paire de clés sur votre ordinateur : ssh-keygen -t ed25519
2. Protégez la clé privée par une phrase de passe quand l'outil vous la demande.
3. Transmettez la clé publique, le fichier ~/.ssh/id_ed25519.pub, au serveur ou à son administrateur.
4. Connectez-vous : ssh [email protected]

D'après le manuel de ssh-keygen, Ed25519 est le type par défaut des versions actuelles d'OpenSSH, et la clé privée ne doit être lisible que par vous. L'adresse 203.0.113.10 est réservée aux exemples : remplacez-la par celle de votre serveur, comme l'explique Qu'est-ce qu'une adresse IP. Le détail, sous Windows compris, est dans Créer une clé SSH et Se connecter en SSH.

Une clé résiste aux robots qui essaient des mots de passe par milliers, ce qu'un mot de passe court ne fait pas. C'est pourquoi de nombreux serveurs refusent la connexion par mot de passe.

Chez Hubspace

Sur l'hébergement web, SSH et SFTP sont ouverts à partir de l'offre Sérénité, sur Sérénité et Business, pas sur Départ. Vous les activez vous-même dans Plesk : Hébergement et DNS, puis Hébergement, rubrique « Accès SSH ». Ils servent aussi à ouvrir un tunnel vers votre base de données, qui n'est pas joignable directement depuis Internet. Le FTP classique sur le port 21 ne fonctionne pas chez nous : les fichiers passent par SFTP ou par le gestionnaire de fichiers de Plesk, comme l'explique Se connecter en FTP à son hébergement.

Sur nos serveurs VPS, la connexion se fait par clé seulement, avec le compte admin, qui dispose de sudo ; le compte root nous est réservé. Le port 22 fait partie des trois ports ouverts depuis Internet, avec 80 et 443, et fail2ban écarte les adresses qui accumulent les échecs.

Questions fréquentes