Aller au contenu

Clés SSH

Une clé SSH permet de s'authentifier sur un serveur sans mot de passe, de façon plus sûre. Elle se compose de deux fichiers :

  • la clé privée, qui reste sur votre ordinateur et ne doit jamais être communiquée à quiconque ;
  • la clé publique (fichier .pub), que vous pouvez transmettre sans risque.

Le manager iWal vous permet d'enregistrer vos clés publiques sur votre compte utilisateur, dans la partie Sécurité. Ces clés sont destinées à être déposées sur vos hébergements, conteneurs et serveurs.

Note

Pour l'accès SSH à un hébergement web, consultez aussi la page Fichiers, FTP et SSH.

Créer une paire de clés

Si vous n'avez pas encore de clé, créez-en une sur votre ordinateur. Nous conseillons le type ed25519.

Ouvrez un terminal et lancez :

ssh-keygen -t ed25519 -C "utilisateur@poste-bureau"

Acceptez l'emplacement proposé et choisissez une phrase de passe pour protéger la clé privée. La clé publique est enregistrée dans ~/.ssh/id_ed25519.pub. Affichez-la avec :

cat ~/.ssh/id_ed25519.pub

Sous Windows 10 et 11, ouvrez PowerShell et lancez :

ssh-keygen -t ed25519 -C "utilisateur@poste-bureau"

Acceptez l'emplacement proposé et choisissez une phrase de passe. La clé publique est enregistrée dans le dossier .ssh de votre profil, sous le nom id_ed25519.pub. Affichez-la avec :

type $env:USERPROFILE\.ssh\id_ed25519.pub

La clé publique tient sur une seule ligne, de la forme :

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... utilisateur@poste-bureau

Ajouter une clé à votre compte

  1. Déverrouillez la partie Sécurité de votre compte utilisateur.
  2. Dans le menu de gauche, cliquez sur Clés SSH.
  3. Dans le bloc Ajouter une clé SSH :
    • Nom (facultatif) : un nom pour reconnaître la clé, par exemple poste-bureau. Par défaut, le commentaire de la clé est utilisé ;
    • Clé publique : collez le contenu complet du fichier .pub.
  4. Cliquez sur Ajouter la clé.

La clé apparaît dans Clés SSH enregistrées, avec son nom, son type, son Empreinte (au format SHA256:…, comme l'affiche la commande ssh-keygen -l) et sa date d'ajout.

Danger

Ne collez jamais votre clé privée (fichier sans extension .pub, commençant par -----BEGIN). Le manager la refuse ; si cela vous arrive, considérez-la comme compromise et générez une nouvelle paire de clés.

Types de clés acceptés

  • ed25519 (conseillé) ;
  • ECDSA (256, 384 ou 521 bits) ;
  • RSA, d'au moins 2048 bits ;
  • clés de sécurité matérielles FIDO (sk-ssh-ed25519@openssh.com, sk-ecdsa-sha2-nistp256@openssh.com).

Vous pouvez enregistrer jusqu'à 50 clés actives. Une même clé ne peut être enregistrée qu'une fois sur votre compte.

Retirer une clé

Retirez sans attendre une clé dont vous ne vous servez plus, ou dont la clé privée a pu être perdue ou copiée (ordinateur volé, départ d'un collaborateur…).

  1. Dans Clés SSH, cliquez sur Retirer sur la ligne de la clé.
  2. Vérifiez l'empreinte affichée, puis cliquez sur Retirer.

La clé n'est plus proposée pour vos hébergements, conteneurs et serveurs.

Sécurité et notifications

  • L'ajout et le retrait de clés sont soumis à la règle Gérer les clés SSH du pare-feu : vous pouvez réserver cette opération à certaines adresses IP. Si elle est interdite depuis votre adresse, le message « Vous n'avez pas l'autorisation de gérer les clés SSH depuis cette adresse IP » s'affiche.
  • Par défaut, vous recevez un email à chaque ajout (Clés SSH : ajout) et à chaque retrait (Clés SSH : retrait) de clé : voir Les notifications du pare-feu.
  • Protégez vos clés privées par une phrase de passe, et utilisez une clé différente par poste : vous pourrez ainsi retirer la clé d'un seul poste sans toucher aux autres.