Ajouter une clé SSH sur un serveur Linux

Cet article suit la page de manuel de sshd, section sur le fichier authorized_keys, relue le 14 octobre 2026. La création de la clé elle-même est décrite dans Générer une clé SSH sur Mac, Linux ou Windows.

Quand ajouter une clé

Une clé correspond à un ordinateur, pas à une personne. On en ajoute une quand on change de portable, quand on veut se connecter aussi depuis un poste fixe, ou quand un collègue ou un prestataire doit intervenir sur le serveur. Chacun garde sa propre clé : une clé privée partagée ne se retire pas sans couper tout le monde.

Ce qu'il vous faut

Une session SSH ouverte sur le serveur, avec une clé déjà acceptée.
La clé publique à ajouter : le fichier qui finit par .pub, par exemple id_ed25519.pub, ou le cadre de clé publique de PuTTYgen, voir Se connecter en SSH avec PuTTY. Elle tient sur une seule ligne et commence par ssh-ed25519, ssh-rsa ou ecdsa-sha2-.

La clé privée, le fichier sans extension, ne quitte jamais l'ordinateur qui l'a créée. Demandez à un collègue sa clé publique seulement.

Ajouter la clé

Connectez-vous au serveur avec la clé déjà autorisée, sur le compte qui doit recevoir la nouvelle clé.
Ouvrez le fichier des clés autorisées : nano ~/.ssh/authorized_keys
Placez-vous à la fin du fichier, sur une ligne vide, et collez la clé publique. Elle doit rester sur une seule ligne : un retour à la ligne ajouté par un éditeur de texte la rend invalide.
Ajoutez, si vous le souhaitez, une ligne de commentaire au-dessus, qui commence par #, pour savoir plus tard à qui elle appartient : # portable de Claire, octobre 2026.
Enregistrez avec Ctrl+O puis Entrée, et quittez avec Ctrl+X.
Vérifiez les droits, que sshd contrôle avant d'accepter le fichier :

chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Laissez cette session ouverte, et testez depuis le nouvel ordinateur : ssh admin@adresse-du-serveur. Si la connexion échoue, votre première session vous permet de corriger le fichier.

Le manuel le dit ainsi : chaque ligne du fichier contient une clé, et les lignes vides ou qui commencent par # sont ignorées.

Limiter une clé à une adresse

Une clé donnée à un prestataire peut être limitée à son adresse IP : placez l'option from au début de sa ligne, devant le type de clé. Le manuel de sshd accepte une liste d'adresses séparées par des virgules, et la notation CIDR.

from="198.51.100.7" ssh-ed25519 AAAAC3Nza... prestataire

Une clé volée ne sert alors à rien depuis une autre adresse. Si l'adresse du prestataire change, il ne pourra plus se connecter tant que la ligne n'est pas mise à jour.

Retirer une clé

Ouvrez une session avec une clé que vous gardez.
Ouvrez ~/.ssh/authorized_keys et supprimez la ligne de la clé à retirer, avec son commentaire.
Enregistrez. Aucun redémarrage n'est nécessaire : sshd relit le fichier à chaque connexion.
Depuis l'ordinateur retiré, une tentative de connexion doit maintenant échouer.

Retirez sans attendre la clé d'un ordinateur perdu ou d'un prestataire dont la mission est finie.

Sur un VPS Hubspace

Le compte à utiliser est admin, et son fichier est /home/admin/.ssh/authorized_keys. À la livraison, il contient la clé publique donnée à la commande. Vous y ajoutez celles que vous voulez en suivant les étapes ci-dessus.

Gardez une copie de ces clés ajoutées. Une réinstallation par l'onglet « Rebuild » repart d'un disque neuf : le serveur revient avec la clé donnée à la commande, pas avec celles ajoutées ensuite. Voir Réinstaller le système de son VPS.

Le compte root est réservé à notre équipe : n'y ajoutez pas de clé. Si vous ne pouvez plus vous connecter du tout, voyez J'ai perdu l'accès à mon VPS.

Questions fréquentes

La nouvelle clé est refusée, pourquoi ?

Le plus souvent, la ligne a été coupée en deux en la collant, ou la clé collée est la clé privée au lieu de la publique. Vérifiez aussi les droits : si le dossier .ssh ou le fichier est modifiable par d'autres utilisateurs, sshd refuse de l'utiliser. Les commandes chmod ci-dessus règlent ce dernier cas.

Puis-je utiliser ssh-copy-id ?

ssh-copy-id se connecte au serveur pour y déposer la clé : il faut donc qu'une autre méthode d'authentification marche déjà depuis l'ordinateur qui lance la commande. Sur un serveur qui n'accepte que les clés, ajoutez plutôt la ligne à la main depuis une session ouverte.

Faut-il un compte par personne ?

C'est préférable dès que plusieurs personnes interviennent : chacun a son historique et ses droits, et un départ se règle en supprimant un compte. Pour un ou deux intervenants de confiance, des clés distinctes sur le même compte, chacune commentée, restent une solution simple.