Infrastructure auto-hébergée
Serveur dédié administré de bout en bout : reverse proxy avec certificats renouvelés automatiquement, supervision, sauvegardes chiffrées hors-site. Les interfaces d'administration ne sont joignables que par VPN, jamais depuis Internet.
Contexte
Plutôt qu'un hébergement mutualisé ou une plateforme managée, j'ai choisi un serveur dédié administré de bout en bout : maîtrise complète de la pile, du système jusqu'au certificat TLS, et un socle reproductible pour mes projets comme pour les outils internes.
Architecture
Debian 13 pour la stabilité et la durée de support. Tous les services sont conteneurisés avec Docker et décrits dans des fichiers Compose versionnés — aucune configuration manuelle non reproductible sur le serveur.
Traefik assure le reverse proxy en entrée : découverte automatique des conteneurs par labels, routage par nom de domaine, et obtention comme renouvellement des certificats Let's Encrypt sans intervention. Le TLS est terminé à ce niveau, aucun conteneur applicatif n'est exposé directement. PostgreSQL héberge les données persistantes sur un réseau Docker interne, son port n'étant jamais publié sur l'hôte : chaque application dispose de son propre rôle et de sa propre base.
Sécurité
La surface exposée à Internet se limite aux ports 80 et 443. Tout le reste — SSH, interfaces d'administration, supervision, gestion de base — n'est joignable que via Tailscale. Une interface d'admin non routable depuis l'extérieur ne peut être ni scannée, ni brute-forcée.
- Pare-feu en refus par défaut
- SSH par clé uniquement, sans connexion root
- Correctifs de sécurité système appliqués automatiquement
- Aucun port de base de données publié sur l'hôte
Supervision et sauvegardes
Uptime Kuma surveille la disponibilité des services et remonte une alerte dès qu'un point de contrôle tombe — l'objectif étant d'être prévenu avant les utilisateurs.
Les sauvegardes reposent sur restic : dumps PostgreSQL et volumes applicatifs chiffrés côté serveur avant envoi vers un stockage distant, ce qui rend le dépôt illisible pour son hébergeur. La déduplication permet un historique profond à coût réduit, avec une rétention en escalier.
Les restaurations sont testées : une sauvegarde jamais restaurée n'est pas une sauvegarde.
Résultat
Plusieurs services en production, un déploiement reproductible et un temps de reprise mesuré en dizaines de minutes. Des compétences directement transposables aux besoins clients : durcissement système, réseau, conteneurisation, supervision et stratégie de sauvegarde.