Administrer un serveur privé virtuel avec un agent d'IA comme Claude Code, même sans compétences avancées

Tu peux demander à Claude Code de monter ton serveur d’une seule traite.

Le hic : tu ne vois plus ce qui s’installe, et un port ouvert par erreur reste ouvert tant que personne ne le remarque.

Dans cet article, on voit ce que l’agent gère seul, ce qui reste à toi et comment commencer sans être un pro.

Qu’est-ce qu’un agent d’IA peut vraiment faire sur ton VPS ?

Ton agent ne fait que ce que tu l’autorises à faire. En mode manuel, Claude Code peut lire des fichiers sans demander d’accord. Lire, ça passe tout seul. Le reste, non.

Avant de modifier un fichier, de lancer un test ou d’exécuter une commande, il te demande ton accord. Tu peux dire oui une seule fois, ou pour la suite. Lis chaque demande avant de répondre, ça prend dix secondes.

Le mode bypassPermissions saute toutes les demandes d’accord. Garde-le pour un conteneur ou une machine virtuelle isolés, où une erreur ne touche pas ton système principal.

Ton VPS, lui, n’est pas isolé : c’est une machine avec accès administrateur. Tu passes par sudo, et l’agent peut faire ce que tu peux faire.

Le panneau OVHcloud sert à gérer le VPS, par exemple à le redémarrer, à le réinstaller et à surveiller ses ressources.

Tu restes responsable de la configuration, des mises à jour et des sauvegardes. L’agent ne remplace ni ta compréhension ni tes vérifications, alors laisse le mode manuel activé sur ton VPS.

Agent IA ou console SSH classique : lequel te faut-il ?

L’agent branché sur l’API, pour aller vite

Une seule phrase suffit : l’agent peut créer un serveur avec ta clé SSH et son pare-feu, d’une traite. Ça va vite, et c’est là le piège : on a à peine le temps de lire ce qui tourne.

Après la création, tu peux toujours changer tes clés depuis la ligne de commande. C’est pratique, mais chaque commande lancée est une ligne de plus à relire, alors garde un œil dessus.

Le prix de la vitesse, c’est que tu ne lis plus ce qui part. Le pare-feu Hetzner accepte jusqu’à 500 règles effectives, et l’agent peut en ajouter sans te prévenir.

Si la règle SSH saute, tu perds l’accès : sans règle entrante, tout le trafic entrant est bloqué. Et la clé API ? Elle donne à l’agent le pouvoir d’agir sur tout ce qu’elle ouvre : limite-la, et garde-la secrète.

La console SSH et les scripts, pour tout comprendre

La console SSH est plus lente. Tu tapes chaque commande et tu attends le retour, à la main. Mais c’est justement ce qui te force à lire les erreurs et à comprendre ton serveur.

Les guides d’OVHcloud suivent ce chemin : démarrer, sécuriser, installer Docker. Vérifie chaque commande avant de la lancer. Fais le premier passage à la main, sinon tu ignoreras ce que l’agent a fait.

Regarde le tableau : la différence se voit tout de suite, et elle tient surtout au diagnostic.

Serveur installé ne veut pas dire serveur sécurisé

Un serveur qui répond en SSH n’est pas pour autant protégé. Il y a trois couches : qui se connecte, quelles portes restent ouvertes, ce qui tourne dessus. Soigner une seule ne suffit pas.

Pour les portes, UFW ferme les entrées par défaut et laisse sortir le reste. Active-le à distance sans SSH autorisé, et tu te coupes toi-même : lance sudo ufw allow OpenSSH avant. Ne fête pas avant d’avoir réglé les trois.

Avant chaque déploiement, et on va pas se mentir, c’est souvent ce qu’on oublie, fais ces trois vérifications :

• Regarde les ports publiés par chaque conteneur Docker. Docker passe par-dessus ton pare-feu, donc un port publié reste ouvert même si UFW bloque tout le reste.
• Lance sudo ss -lntup pour voir tous les ports en écoute et le processus derrière chacun. Si un port te paraît inconnu, cherche d’abord ce qui le fait tourner.
• Dans le pare-feu OVHcloud, n’ouvre que les ports dont tes services ont besoin. Et avant de toucher à une règle, vérifie que le port SSH reste autorisé, sinon tu peux perdre l’accès à ton serveur.

Ce que l’agent ne fera jamais à ta place

Un agent n’a aucun instinct de prudence. Si tu lui demandes de fermer un port, il le ferme, même s’il sert à ton site. Il ne sait pas ce qui tourne chez toi, sauf si tu le lui dis.

Alors avant une commande qui touche au pare-feu ou aux accès, dis-lui ce qui tourne déjà. Il ne le devinera pas, et il n’aura jamais ton petit moment d’hésitation. Ça, c’est ton travail.

Ajouter un compte au groupe docker lui donne des privilèges équivalents à ceux de root, alors regarde bien ce que ça veut dire avant de le faire :

• Ce compte peut prendre la main sur tout le serveur, sans mot de passe root.
• Si tu n’es pas sûr, garde-le hors du groupe et tape sudo devant chaque commande docker.
• Il existe un mode rootless, qui fait tourner Docker sans droits root.
• Pour l’activer, il faut installer newuidmap et newgidmap, et avoir au moins 65 536 identifiants dans /etc/subuid et /etc/subgid.

Sur les VPS vendus depuis le 7 août 2025, la sauvegarde automatique ne dure que 24 heures, et les disques supplémentaires n’y sont pas. Avec l’option Premium, tu gardes sept sauvegardes quotidiennes.

Un snapshot est une photo du VPS. Le restaurer remet tout dans cet état, et la photo disparaît au passage, ce qui surprend toujours quelqu’un. Avant chaque mise à jour, fais un snapshot neuf, sans exception.

Comment configurer ton agent pour administrer ton VPS ?

Avant de lancer quoi que ce soit, vérifie trois choses : un VPS sur lequel tu as les droits d’administrateur, un compte Doppler pour tes secrets, et Claude Code installé sur ton ordinateur.

Ça a l’air évident, et pourtant on zappe souvent cette étape. Pas encore installé ? Pour le mettre en place sans coder, suis le guide Claude Code pour non-développeurs.

Pour sécuriser ton serveur, suis cet ordre sans sauter d’étape :

• Crée ta clé avec ssh-keygen -t ed25519, puis envoie au serveur seulement le fichier public ~/.ssh/id_ed25519.pub.
• Teste la connexion dans un second terminal avant de fermer le premier.
• Ouvre le port SSH dans le pare-feu avant de l’activer, sinon tu te coupes l’accès.
• Installe Docker en dernier, après avoir ajouté le dépôt APT officiel.

Limite d’abord le jeton Doppler au dossier de l’application avec doppler configure set token --scope. Pour un conteneur, passe-le dans DOPPLER_TOKEN, sans le coller dans une consigne.

Monte le certificat .p12 dans le conteneur, puis indique son chemin et son mot de passe. Sans lui, Documenso démarre mais ne signe rien.

Le piège : l’appli a l’air en forme. Signe un document test avant de dire que c’est bon.

Un agent IA peut t’aider sur ton VPS, mais c’est toi qui décides de ce qu’il fait. Lis chaque demande avant de dire oui, et garde le mode manuel activé.

Ton prochain pas : installe Claude Code, puis fais le premier passage à la main, clés SSH en tête. Ça prend plus de temps, mais tu sauras ce qui tourne sur ton serveur.