SEC.01

Le playbook

Le run démarre en lecture seule : les sondes de reconnaissance décident de la suite. Les étapes qui suivent sont adaptées à la distribution et à l'état trouvés — une vraie machine est rarement propre.

1. 01reconla distribution : apt (Debian/Ubuntu) ou dnf (RHEL/Fedora/Rocky/Alma)
2. 02reconCrowdSec déjà installé ? version (allowlists ≥ 1.6.8)
3. 03reconmoteur et bouncer actifs ?
4. 04reconports 8080 (LAPI) et 6060 (métriques) déjà pris par autre chose que crowdsec → changer listen_uri
5. 05recondépôt CrowdSec déjà configuré ?
6. 06reconbackend pare-feu (bouncer nftables ou iptables) ; fail2ban coexiste
7. 07reconles sessions SSH ouvertes et l’IP d’administration à ne jamais bloquer
8. 08agirAjouter le dépôt CrowdSecvérif
9. 09agirInstaller CrowdSecvérif
10. 10agirDéplacer la LAPI (seulement si le port 8080 était déjà pris)vérif
11. 11agirVérifier les collections Linux + SSHvérif
12. 12agirProtéger l’IP d’admin (seulement si une IP est fournie)vérif
13. 13agirInstaller le bouncer firewallvérif

SEC.02

Ce qu'elle vérifie

Chaque étape embarque sa propre vérification. Le run ne continue que si elle passe, donc ce que la recette annonce comme fait est ce qui est réellement sur le serveur.

1. 01vérifAjouter le dépôt CrowdSecVérifié parls /etc/apt/sources.list.d/ /etc/yum.repos.d/ 2>/dev/null | grep -ci crowdsecattendu : au moins 1
2. 02vérifInstaller CrowdSecVérifié parcscli version && systemctl is-active crowdsecattendu : une version puis active
3. 03vérifDéplacer la LAPI (seulement si le port 8080 était déjà pris)Vérifié parcscli lapi statusattendu : You can successfully interact with Local API
4. 04vérifVérifier les collections Linux + SSHVérifié parcscli collections list -o raw | grep -c 'crowdsecurity/sshd'attendu : au moins 1
5. 05vérifProtéger l’IP d’admin (seulement si une IP est fournie)Vérifié parcscli allowlists inspect servor-adminattendu : l’IP d’admin listée
6. 06vérifInstaller le bouncer firewallVérifié parsystemctl is-active crowdsec-firewall-bouncer && cscli bouncers listattendu : active puis un bouncer firewall listé

SEC.03

Les garde-fous

Les consignes non négociables que le run doit respecter, quoi qu'il trouve sur le serveur.

SEC.04

Les variables

Ce que vous choisissez avant de lancer — la recette s'occupe du reste.

SEC.05

Comment une recette s'exécute dans Servor

Servor est zero-knowledge : la plateforme ne peut rien exécuter seule. Quand vous lancez cette recette, un run lit la reconnaissance, planifie les étapes et demande votre validation. Chaque commande approuvée est signée par votre navigateur — avec une clé que le serveur ne voit jamais — puis relayée telle quelle à l'agent, qui vérifie la signature localement avant d'exécuter.

SEC.06

Bouton Deploy on Servor

Vous maintenez CrowdSec ou un projet qui en dépend ? Ajoutez ce bouton à votre README ou à votre site : en un clic, vos utilisateurs l'installent sur leur propre serveur.

SEC.07

D'autres recettes sécurité

1. 01Durcir SSHCoupe le login par mot de passe et le root par mot de passe, garde les clés. Destructif : vérifie ton accès par clé d’abord.
2. 02fail2banfail2ban avec la jail SSH sur le bon port, actif et vérifié.
3. 03Pare-feu UFWUFW : refuse l’entrant par défaut, autorise le port SSH réel + ports choisis, avec filet de sécurité. Destructif : garde SSH ouvert.
4. 04Mises à jour de sécurité autoActive les mises à jour de sécurité automatiques : unattended-upgrades (Debian/Ubuntu) ou dnf-automatic (RHEL/Fedora).
5. 05ClamAVAntivirus ClamAV avec signatures tenues à jour, démon optionnel.