Pourquoi self-héberger CrowdSec sur un VPS
Fail2ban fonctionne en vase clos : il lit vos logs et bannit selon vos règles. CrowdSec ajoute une dimension collaborative. Quand son moteur détecte un comportement malveillant (bruteforce SSH, scan, exploitation web) grâce à des scénarios, il signale l'IP à une base communautaire ; en retour, vous bénéficiez d'une blocklist mutualisée construite à partir des signalements de milliers d'autres machines. Résultat : vous bloquez des IP malveillantes avant même qu'elles ne vous attaquent. CrowdSec sépare aussi la détection (l'agent qui analyse les logs) de la remédiation (les bouncers qui appliquent le blocage au niveau pare-feu, Nginx, Traefik ou Cloudflare). Cette architecture modulaire et le fait de tout héberger sur votre VPS vous donnent une protection bien plus riche qu'un simple bannissement local, sans dépendre d'un WAF SaaS qui voit passer tout votre trafic.
Ce que CrowdSec apporte à votre VPS
- Blocklist communautaire : profitez des signalements de milliers de serveurs pour bloquer les IP malveillantes en amont.
- Détection comportementale via scénarios (SSH, HTTP, bruteforce, scan) plus fine qu'un simple comptage d'échecs.
- Bouncers modulaires : appliquez le blocage au niveau pare-feu, Nginx, Traefik, Cloudflare ou applicatif.
- Console web pour visualiser les alertes, les décisions et les IP bannies en temps réel.
- Hub de collections prêt à l'emploi pour protéger SSH, Nginx, WordPress et bien d'autres services.
- Faible empreinte et architecture découplée détection/remédiation, adaptée à un VPS.
Prérequis pour l'héberger
L'agent CrowdSec est léger : un VPS 1 vCPU avec 1 Go de RAM suffit pour protéger un serveur web et SSH classique. La base locale (SQLite par défaut) occupe peu d'espace ; passez sur PostgreSQL seulement si vous centralisez plusieurs agents. Il vous faut un accès root pour installer l'agent et le bouncer pare-feu, ainsi que les logs des services à surveiller (auth.log pour SSH, access.log pour Nginx). Aucun port entrant supplémentaire n'est requis : CrowdSec communique en sortie avec l'API communautaire. Un nom de domaine n'est nécessaire que si vous voulez exposer la console locale.
Installer CrowdSec et son bouncer pare-feu
Installer l'agent CrowdSec
Ajoutez le dépôt officiel puis installez : curl -s https://install.crowdsec.net | sudo sh puis sudo apt install crowdsec. L'agent détecte automatiquement les services présents (SSH, Nginx) et installe les collections adaptées.
Vérifier les scénarios actifs
Listez ce qui est charge : sudo cscli scenarios list et sudo cscli collections list. Ajoutez au besoin une collection depuis le hub, par exemple sudo cscli collections install crowdsecurity/nginx.
Installer un bouncer pour appliquer le blocage
L'agent détecte mais ne bloque pas seul. Installez le bouncer pare-feu : sudo apt install crowdsec-firewall-bouncer-iptables. Il insère les décisions dans iptables/nftables et bannit réellement les IP signalées.
Activer la blocklist communautaire
Inscrivez l'instance pour recevoir la blocklist mutualisée : sudo cscli capi register, puis redémarrez l'agent. Vous bénéficiez désormais des signalements de toute la communauté en plus de vos propres détections.
Tester et inspecter les décisions
Simulez une détection ou consultez l'état : sudo cscli decisions list affiche les IP bannies, sudo cscli alerts list les alertes. Vous pouvez bannir manuellement avec sudo cscli decisions add --ip X.X.X.X.
Connecter la console (optionnel)
Pour un suivi graphique, enrollez l'agent dans la console CrowdSec avec sudo cscli console enroll VOTRE_CLE, ou gardez tout en local via cscli si vous préférez ne rien exposer à l'extérieur.
Se connecter la première fois
CrowdSec n'a pas d'interface web ni de compte : c'est un service de sécurité qui tourne en tâche de fond et bannit les IP malveillantes. Pilotez-le en SSH avec cscli (cscli metrics, cscli decisions list, cscli decisions delete --ip <ip>), et rattachez-le si vous le souhaitez à la console gratuite de l'éditeur avec cscli console enroll <votre-clé>.
Combinez deux bouncers pour une défense en profondeur : un bouncer pare-feu (iptables) qui bloque au niveau réseau les attaques SSH et les scans, et un bouncer applicatif (Nginx ou Traefik) qui peut présenter un captcha plutôt que de bloquer net les IP web suspectes. Cela réduit les faux positifs sur votre trafic légitime tout en gardant une remédiation stricte sur les couches basses. Pensez aussi à whitelister l'IP fixe de votre bureau via cscli pour ne jamais vous bannir vous-même.
La documentation officielle
Pour la configuration avancée et les options propres à l'outil, référez-vous à la documentation officielle de CrowdSec. Ce guide couvre la mise en ligne sur VPS ; la doc éditeur reste la référence pour les réglages fins, les mises à jour majeures et les cas d'usage spécifiques.
