Clé SSH ED25519 : comprendre et créer la vôtre (guide débutant)

Pour piloter un serveur à distance, on utilise SSH (Secure Shell) : un tunnel chiffré entre votre ordinateur et le serveur, dans lequel vous tapez des commandes comme si vous étiez devant la machine.

Reste à prouver au serveur que c'est bien vous. Il y a deux façons de le faire : un mot de passe, ou une clé. Ce guide explique pourquoi la clé est bien meilleure, et comment créer la vôtre en deux minutes.

Le principe : un cadenas et sa clé

Une clé SSH, ce sont en réalité deux fichiers qui vont ensemble :

• la clé publique (id_ed25519.pub) : imaginez un cadenas. Vous pouvez en distribuer autant de copies que vous voulez. On la dépose sur chaque serveur auquel vous voulez accéder.
• la clé privée (id_ed25519) : c'est la seule clé qui ouvre ce cadenas. Elle ne quitte jamais votre ordinateur.

À la connexion, le serveur envoie une sorte de défi que seule votre clé privée peut résoudre. Votre ordinateur le résout, sans jamais envoyer la clé elle-même. Le serveur vérifie la réponse avec le cadenas (la clé publique), et vous laisse entrer.

Pourquoi c'est plus sûr qu'un mot de passe

Dès qu'un serveur est sur Internet, des robots essaient des milliers de mots de passe par jour. Avec une connexion par clé uniquement, ces tentatives n'ont aucune chance.

Pourquoi ED25519 ?

Il existe plusieurs types de clés : RSA (l'ancien standard), ECDSA, ED25519. ED25519 est le choix recommandé aujourd'hui pour un usage courant :

• courte : une ligne d'environ 80 caractères, facile à copier-coller ;
• rapide à générer et à vérifier ;
• robuste, et conçue pour éviter plusieurs pièges des algorithmes plus anciens.

Elle est prise en charge par toutes les versions récentes d'OpenSSH, ainsi que par Hetzner, GitHub, GitLab, Codeberg, etc.

Créer votre clé

La commande est la même sous Linux, macOS et Windows (dans PowerShell ou Windows Terminal, SSH est intégré depuis Windows 10) :

ssh-keygen -t ed25519 -a 100 -C "vous@votredomaine"

• -t ed25519 : le type de clé.
• -a 100 : le nombre de « tours » appliqués à la phrase de passe. Plus il est élevé, plus il est long de la casser par force brute si on vous vole le fichier.
• -C "..." : un commentaire libre, pour reconnaître la clé (souvent votre e-mail ou le nom de la machine).

L'outil pose deux questions :

1. L'emplacement : appuyez sur Entrée pour garder ~/.ssh/id_ed25519.
2. La phrase de passe (passphrase) : mettez-en une. Elle chiffre votre clé privée sur le disque. Si on vole votre ordinateur, la clé est inutilisable sans elle.

Où sont les fichiers ?

ls ~/.ssh/

• id_ed25519 : privée. Ne la copiez nulle part, ne l'envoyez à personne, ne la mettez jamais dans un dépôt Git.
• id_ed25519.pub : publique. C'est elle qu'on partage.

Pour afficher la clé publique et la copier :

cat ~/.ssh/id_ed25519.pub

Déposer la clé sur un serveur

Chez un hébergeur cloud (Hetzner, etc.) : collez la clé publique dans la console avant de créer le serveur. Elle sera injectée au démarrage.

Sur un serveur existant, où vous pouvez encore vous connecter par mot de passe :

ssh-copy-id utilisateur@IP_DU_SERVEUR

Cette commande ajoute votre clé publique au fichier ~/.ssh/authorized_keys du serveur. Testez ensuite la connexion, et seulement après, désactivez les mots de passe (voir l'étape 6 du guide Vaultwarden).

Les bonnes pratiques

• Une phrase de passe sur chaque clé privée.
• Une clé par ordinateur plutôt qu'une seule clé copiée partout : si vous perdez un portable, vous retirez sa clé des serveurs sans toucher aux autres.
• Sauvegardez votre clé privée de façon sûre (par exemple dans votre gestionnaire de mots de passe, en pièce jointe d'une note sécurisée).
• L'empreinte du serveur : à la première connexion, SSH affiche l'empreinte du serveur et vous demande de confirmer. Si un jour il vous prévient qu'elle a changé sans raison, méfiez-vous.

Pour aller plus loin

• Manuel de ssh-keygen (OpenBSD)
• ANSSI : recommandations pour un usage sécurisé d'OpenSSH
• Mise en pratique complète : Installer Vaultwarden sur un VPS européen