Activez et démarrez le service en exécutant les commandes suivantes :<\/li>\n<\/ol>sudo systemctl enable fail2ban<\/pre>sudo systemctl start fail2ban<\/pre>Debian :<\/h3> Voici comment installer Fail2Ban sur Debian :<\/p>
\nMettez à jour et mettez à niveau le référentiel de votre système en tapant la commande ci-dessous et en appuyant sur Entrée<\/strong> :<\/li>\n<\/ol>apt-get update && apt-get upgrade -y<\/pre>\nProcédez à l’installation de Fail2Ban à l’aide de la commande suivante :<\/li>\n<\/ol>apt-get install fail2ban<\/pre>\nSi vous souhaitez ajouter la prise en charge du courrier électronique, installez Sendmail en exécutant la commande suivante :<\/li>\n<\/ol>apt-get install sendmail-bin sendmail<\/pre>\nVoici comment vérifier le statut de Fail2Ban :<\/li>\n<\/ol>systemctl status fail2ban<\/pre>Fedora :<\/h3> Suivez ces instructions pour installer Fail2Ban sur Fedora :<\/p>
\nMettez à jour le référentiel de votre système en insérant la commande ci-dessous et en appuyant sur Entrée<\/strong> :<\/li>\n<\/ol>dnf update<\/pre>\nInstallez Fail2Ban à l’aide de cette commande :<\/li>\n<\/ol>dnf install fail2ban<\/pre>\nSi vous souhaitez installer Sendmail, tapez la commande suivante et appuyez sur Entrée<\/strong> :<\/li>\n<\/ol>dnf install sendmail<\/pre>\nDémarrez et activez le service Fail2Ban en exécutant les commandes suivantes :<\/li>\n<\/ol>systemctl start fail2ban<\/pre>systemctl enable fail2ban<\/pre>\nSi vous avez ajouté Sendmail, exécutez la commande suivante pour le démarrer et l’activer :<\/li>\n<\/ol>systemctl start sendmail<\/pre>systemctl enable sendmail<\/pre>Comment configurer Fail2Ban<\/h2> Après avoir installé Fail2Ban, pensez à le configurer. Dans cette section, nous allons voir comment le faire en utilisant les fichiers fail2ban.local<\/strong> et jail.local<\/strong>.<\/p>Modifier les paramètres par défaut avec fail2ban.local (Facultatif)<\/h3> Le fichier fail2ban.conf<\/strong> contient la configuration de base de Fail2Ban. Il contient les paramètres globaux qui ne doivent pas être modifiés.<\/p>Si vous souhaitez apporter des modifications, nous vous recommandons de créer un fichier local. Faites une copie de fail2ban.conf<\/strong> et renommez-le en fail2ban.local<\/strong> pour remplacer le profil de configuration par défaut.<\/p>Voici comment changer le nom de la copie et définir les paramètres du fichier fail2ban.local :<\/p>
\nRenommez le fichier en fail2ban.local<\/strong> en exécutant la commande ci-dessous. Gardez à l’esprit qu’il ne produira aucun résultat :<\/li>\n<\/ol>cp \/etc\/fail2ban\/fail2ban.conf \/etc\/fail2ban\/fail2ban.local<\/pre>\nTapez la commande suivante et appuyez sur Entrée<\/strong> pour ouvrir le fichier :<\/li>\n<\/ol>sudo nano \/etc\/fail2ban\/fail2ban.local<\/pre>\nVous pouvez maintenant modifier les définitions contenues dans le fichier.<\/li>\n<\/ol>Passons en revue les options et les valeurs qu’elles peuvent prendre.<\/p>
loglevel = INFO<\/pre>Définissez le niveau de sortie du journal comme suit :<\/p>
\nCRITICAL<\/strong> <\/strong> – conditions d’urgence qui doivent être examinées immédiatement.<\/li>\n\n\n\nERROR<\/strong> <\/strong> – quelque chose ne va pas mais n’est pas critique.<\/li>\n\n\n\nWARNING<\/strong> <\/strong> – une condition potentiellement dangereuse.<\/li>\n\n\n\nNOTICE<\/strong> <\/strong> – une condition normale mais significative.<\/li>\n\n\n\nINFO <\/strong> – messages d’information qui peuvent être ignorés.<\/li>\n\n\n\nDEBUG <\/strong> – messages de niveau débogage.<\/li>\n<\/ul>\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>logtarget = STDERR<\/pre>Enregistrez les actions dans un socket cible spécifique, qui peut être :<\/p>
\nFILE <\/strong> – sortie vers un fichier socket.<\/li>\n\n\n\nSYSLOG<\/strong> – sortie dans un fichier journal basé sur des messages.<\/li>\n\n\n\nSTDERR <\/strong> – sortie en tant qu’erreur standard.<\/li>\n\n\n\nSTDOUT <\/strong> – sortie standard.<\/li>\n<\/ul>syslogsocket = auto<\/pre>Définissez le fichier de socket syslog à auto<\/strong> ou file<\/strong> (si vous avez défini logtarget<\/strong> comme SYSLOG<\/strong>).<\/p>\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>socket = \/var\/run\/fail2ban\/fail2ban.sock<\/pre>Définit le fichier de socket pour communiquer avec le démon. L’emplacement par défaut est \/var\/run\/fail2ban\/fail2ban.sock<\/strong>.<\/p>\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>pidfile = \/var\/run\/fail2ban\/fail2ban.pid<\/pre>Définissez le fichier PID pour stocker l’ID du processus du serveur Fail2Ban. L’emplacement par défaut est \/var\/run\/fail2ban\/fail2ban.pid<\/strong>.<\/p>\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>Configuration du fichier de configuration jail.local<\/h3> Fail2Ban dispose d’un autre fichier de configuration nommé jail.conf<\/strong> qui comprend des jails<\/strong> – des filtres avec des actions. Cependant, les utilisateurs ne doivent pas modifier directement ce fichier, car il contient l’ensemble des règles de base du logiciel.<\/p>Au lieu de cela, faites une copie du fichier original et nommez-le jail.local<\/strong>. En l’utilisant, vous pourrez personnaliser et configurer des filtres et des actions, tels que ignoreip<\/strong>, bantime<\/strong>, findtime<\/strong>, maxretry<\/strong>, et backend<\/strong>.<\/p>ignorerip<\/strong> <\/p>Cette fonction vous permet de spécifier des adresses IP, des hôtes DNS ou des masques CIDR fiables que Fail2Ban doit ignorer<\/strong>. Ce paramètre autorise tout le trafic provenant des sources spécifiées. Vous pouvez ajouter plusieurs adresses et les séparer par un espace.<\/p>\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>bantime<\/strong> <\/p>Ce paramètre définit la durée pendant laquelle un client sera interdit après un échec d’authentification. La période d’interdiction est mesurée en secondes et le nombre par défaut est 600 ou 10 minutes.<\/p>
\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>findtime<\/strong><\/strong><\/p>Ce paramètre détermine la période de temps pour les tentatives de connexion qui échouent. Si un hôte échoue à l’authentification un certain nombre de fois (en fonction du paramètre maxretry<\/strong>) au cours de la période définie, son adresse IP sera bannie.<\/p>\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>maxretry<\/strong><\/strong><\/p>maxretry<\/strong> fonctionne avec findtime<\/strong> – il définit le nombre maximum de tentatives de connexion infructueuses dans la fenêtre de temps définie. La valeur par défaut est 5.<\/p>\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>backend<\/strong> <\/p>Cette fonctionnalité vous permet de spécifier la configuration du backend pour la modification des fichiers. La valeur par défaut est auto<\/strong>, mais si vous utilisez CentOS ou Fedora, il faut que ce soit systemd<\/strong>.<\/p>Voici les valeurs disponibles parmi lesquelles vous pouvez choisir :<\/p>
\npynotify<\/strong> – surveille les modifications du système de fichiers en temps réel et nécessite l’installation d’un moniteur d’altération de fichiers.<\/li>\n\n\n\ngamin<\/strong> – identique à pynotify<\/strong> mais nécessite un outil Gamin.<\/li>\n\n\n\npolling<\/strong> – utilise un algorithme de polling qui ne nécessite pas de bibliothèques externes.<\/li>\n\n\n\nsystemd<\/strong> – utilise la bibliothèque python systemd<\/strong> pour accéder au journal systemd<\/strong>.<\/li>\n\n\n\nauto<\/strong> – utilise les valeurs précédentes dans l’ordre suivant : pyinotify<\/strong>, gamin<\/strong> et polling<\/strong>.<\/li>\n<\/ul>\n
\n\t\t\t\n\t\t\t\t<\/path>\n\t\t\t<\/svg>\n\t\t<\/button><\/figure><\/div>Vous pouvez également définir des configurations supplémentaires dans le fichier jail.local<\/strong>, y compris les paramètres SSH<\/strong> et iptables<\/strong>. Les options disponibles sont les suivantes :<\/p>\nbanaction<\/strong> – définit l’action par défaut à utiliser lorsque le seuil maxretry<\/strong> est atteint. Si vous utilisez firewalld<\/strong>, définissez la valeur à firewallcmd-ipset<\/strong>. Cependant, si vous avez configuré UFW comme pare-feu, remplacez-le par ufw<\/strong>.<\/li>\n\n\n\nbanaction_allports<\/strong> – permet d’étiqueter et de bloquer les adresses IP sur chaque port. Si vous utilisez firewalld<\/strong>, définissez la valeur à firewallcmd-ipset<\/strong>.<\/li>\n\n\n\nport<\/strong> – la valeur doit correspondre au service défini. Si vous utilisez le port par défaut, remplacez la valeur par le nom du service. Si vous utilisez un port non traditionnel, entrez son numéro ici.<\/li>\n\n\n\nfilter<\/strong> – le nom du fichier situé dans \/etc\/fail2ban\/filter.d<\/strong> contient les informations failregex<\/strong> utilisées pour analyser les fichiers journaux.<\/li>\n<\/ul>Conclusion<\/h2> Fail2Ban est un logiciel d’analyse des journaux qui aide à protéger les serveurs web basés sur Linux contre les cyberattaques.<\/p>
Cet article a montré comment installer Fail2Ban sur les systèmes d’exploitation les plus courants, tels qu’Ubuntu, CentOS, Debian et Fedora. Nous avons également expliqué comment éditer fail2ban.local<\/strong> et jail.local<\/strong>, les fichiers de configuration du logiciel.<\/p>Nous espérons que cet article vous a aidé à configurer Fail2Ban sur votre serveur Linux. Si vous avez des questions ou des suggestions, n’hésitez pas à les partager dans la section des commentaires ci-dessous.<\/p>
Configuration de Fail2Ban – FAQ<\/h2>\n
\n
\n
Ai-je besoin de Fail2Ban ?<\/strong><\/h3>\n\n\n
![\"\"](\"https:\/\/imagedelivery.net\/LqiWLm-3MGbYHtFuUbcBtA\/wp-content\/uploads\/sites\/46\/2022\/12\/FR-VPS-hosting_in-text-banner-1024x300-1.png\/public\")
<\/a><\/figure>![\"Kodee](\"https:\/\/imagedelivery.net\/LqiWLm-3MGbYHtFuUbcBtA\/wp-content\/uploads\/sites\/46\/2026\/03\/Apercu-general-Hostinger-03-19-2026_05_34_PM.png\/public\")
<\/a><\/figure><\/div>![\"Un](\"https:\/\/imagedelivery.net\/LqiWLm-3MGbYHtFuUbcBtA\/wp-content\/uploads\/sites\/46\/2026\/03\/Un-extrait-du-fichier-de-configuration-fail2banlocal-parlant-de-loption-loglevel.png\/public\")