Accès SSH perdu au serveur : que faire

Lire le message d'erreur

Relancez la connexion avec l'option -v, qui affiche chaque étape et les clés essayées :

ssh -v [email protected]

La dernière ligne indique la nature du blocage. Trois messages concernent un accès perdu :

• Permission denied (publickey) : le serveur refuse la clé présentée. Voir la section suivante.
• Too many authentication failures : votre ordinateur a présenté trop de clés avant la bonne, et le serveur a coupé. Indiquez la bonne clé avec -i et ajoutez -o IdentitiesOnly=yes pour qu'il n'essaie qu'elle, selon la page de manuel de ssh_config.
• Connection refused, alors que le serveur répondait la veille : votre adresse est sans doute bannie après plusieurs échecs. Voir plus bas.

Les autres messages, comme un délai dépassé ou une empreinte de serveur changée, sont expliqués dans Se connecter en SSH à un serveur Linux. Les options de ssh sont décrites dans sa page de manuel, lue le 14 octobre 2026.

La clé existe, mais n'est pas la bonne

Le cas le plus courant n'est pas une clé perdue, mais une clé qui n'est pas celle présentée au serveur : un nouvel ordinateur, un fichier renommé, plusieurs clés dans le dossier ~/.ssh.

1. Listez vos clés : ls ~/.ssh. Les fichiers qui finissent par .pub sont les clés publiques, ceux du même nom sans extension les clés privées.
2. Comparez avec celle donnée au serveur. Le contenu du fichier .pub doit correspondre à la clé fournie à la commande, ou à une ligne du fichier ~/.ssh/authorized_keys du serveur.
3. Indiquez la clé explicitement : ssh -i ~/.ssh/nom_de_la_cle [email protected].
4. Vérifiez le compte. Un serveur peut n'accepter qu'un compte précis ; admin et root sont deux comptes différents.

Si la clé est sur un autre ordinateur encore en service, connectez-vous depuis celui-ci et ajoutez la clé publique du nouvel ordinateur à ~/.ssh/authorized_keys, sur une ligne à part.

L'adresse est bannie

Après plusieurs échecs, fail2ban bannit l'adresse qui insiste. Avec son réglage par défaut, le serveur rejette alors la connexion, et ssh affiche « Connection refused ». Deux solutions :

• Attendre la fin du bannissement, puis réessayer avec la bonne clé. Recommencer à se tromper prolonge souvent la durée.
• Se connecter depuis une autre adresse, le partage de connexion d'un téléphone par exemple, puis lever le bannissement : sudo fail2ban-client unban 198.51.100.7.

Le fonctionnement de fail2ban est expliqué dans Fail2ban : installer et configurer sur Linux.

La clé privée est perdue

Un ordinateur volé, un disque effacé, une clé jamais sauvegardée : la clé privée ne se reconstitue pas, et une clé publique seule ne permet pas de se connecter. Il faut en créer une nouvelle et la faire poser sur le serveur par quelqu'un qui y a encore accès.

1. Créez une nouvelle paire de clés sur votre ordinateur, avec une phrase de passe : voir Générer une clé SSH.
2. Transmettez la clé publique seulement, le fichier .pub. La clé privée ne quitte jamais votre ordinateur, ni par courriel, ni dans une demande d'assistance.
3. Faites-la poser par votre hébergeur ou par la personne qui gère le serveur.
4. Reconnectez-vous avec la nouvelle clé.
5. Retirez l'ancienne clé publique du fichier ~/.ssh/authorized_keys si l'appareil a été perdu ou volé : sinon, celui qui l'a trouvé pourrait encore se connecter.

Sur un VPS Hubspace

La connexion se fait avec le compte admin, par clé uniquement : aucun mot de passe n'est accepté, comme le rappelle Premiers pas avec votre VPS Hubspace. Le compte root est réservé à notre équipe, justement pour vous dépanner dans ce cas.

Si vous avez perdu votre clé, ou si vous n'en aviez pas fourni à la commande, ouvrez une demande depuis votre espace client, avec la clé publique de votre nouvelle paire : nous l'installons sur le compte admin.

Le bannissement de fail2ban dure une heure après cinq échecs en dix minutes, plus longtemps en cas de récidive. Si le serveur a été réinstallé par l'onglet « Rebuild » de l'espace client, sa clé d'hôte a changé : le message REMOTE HOST IDENTIFICATION HAS CHANGED est alors attendu, et ssh-keygen -R suivi de l'adresse retire l'ancienne empreinte.

Questions fréquentes