Formation Sécurité opérationnelle — Kit Ezway

🎯 Objectif

À la fin de ce parcours, vous saurez durcir un VPS Linux, déployer nginx + TLS proprement, gérer les secrets et accès sans poser de bombe à retardement, monter une stratégie de backups testée, et répondre à un incident de sécurité (piratage, fuite de données) avec un post-mortem structuré + déclaration CNIL si requise.

🛠️ Prérequis

• Un VPS de test (Hetzner / Scaleway / OVH / Digital Ocean — 5€/mois suffit) pour pratiquer sans risquer la prod
• Bases ligne de commande Linux — savoir cd, ls, cat, grep, éditer un fichier avec nano ou vim
• Notions HTTP/HTTPS — comprendre la différence entre les deux, savoir ce qu'est un certificat
• Un gestionnaire de mots de passe (Dashlane, Bitwarden, 1Password) avec 2FA activée — pour mettre en pratique dès le module 3
• (Bonus) Un domaine sur lequel pratiquer le setup nginx + Let's Encrypt

⚠️ Mindset à adopter

• La sécurité n'est jamais "finie" — c'est un process continu, pas un projet ponctuel. Les vulnérabilités nouvelles apparaissent, vos outils évoluent.
• Le défaut = vulnérable — tout ce qui n'est pas explicitement durci est par défaut faible. SSH sans 2FA, ports ouverts par défaut, comptes default admin/admin, etc.
• L'humain est le maillon faible — phishing, mots de passe réutilisés, partage de comptes, clic sur lien malveillant. La meilleure config technique ne protège pas d'un comportement à risque.
• Penser en attaquant — pour chaque service que vous exposez, demandez-vous : "si je voulais m'introduire ici, par où je commencerais ?". Souvent ça révèle des évidences ignorées.
• Backup OU restauration ? Un backup non testé n'existe pas. La VRAIE question est : "à quelle vitesse je peux remonter après destruction totale ?"
• Documenter même quand ça brûle — pendant un incident, prendre 30 secondes pour logger une action est précieux pour le post-mortem.

📖 Comment apprendre