varlog/_cache/similar/e1b3c1f5-273b-4179-94cf-1d6cbf0dab32.json

[{"uuid":"0bba1ad7-e4cb-49a6-9467-fcfac2e09a93","slug":"deuxiemes-pas-devops-durcir-et-fiabiliser-un-serveur-debian","title":"Deuxièmes pas DevOps : durcir et fiabiliser un serveur Debian","category":"informatique","author":"cedric@abonnel.fr","cover":"cover.jpg","published":true,"published_at":"2026-06-08 07:00","created_at":"2026-05-12 23:01:34","updated_at":"2026-05-13 22:53:46","tags":{"logiciels":["Fail2ban","Debian"]},"plain":"Une fois le système de base configuré (dépôts, mises à jour, , identification — sujets traités dans l'article précédent), la machine est fonctionnelle mais encore vulnérable et un peu fragile pour un usage sérieux. Ce deuxième article s'attaque aux gestes qui transforment un serveur « qui marche » en un serveur sur lequel on peut raisonnablement faire tourner quelque chose : sécuriser l'accès SSH, mettre en place un pare-feu, automatiser les correctifs de sécurité et soigner quelques détails opérationnels.\r\n\r\nSécuriser l'accès SSH\r\n\r\nSSH est la porte d'entrée principale d'un serveur Linux. C'est aussi, statistiquement, la cible la plus attaquée : n'importe quelle IP publique reçoit en permanence des tentatives de connexion automatisées. Deux gestes simples changent radicalement la donne.\r\n\r\nPasser à l'authentification par clé\r\n\r\nLes mots de passe, même longs, restent vulnérables aux attaques par force brute et au phishing. Une paire de clés cryptographiques est à la fois plus sûre et plus pratique au quotidien.\r\n\r\nCôté poste de travail, on génère une paire de clés modernes :\r\n\r\n\r\n\r\nL'algorithme  est aujourd'hui le choix par défaut recommandé : clés courtes, signatures rapides, sécurité solide. Le commentaire () facilite l'identification de la clé quand on en gère plusieurs.\r\n\r\nOn copie ensuite la clé publique sur le serveur :\r\n\r\n\r\n\r\nCette commande dépose la clé publique dans  côté serveur avec les bonnes permissions. À partir de là, la connexion se fait sans saisir de mot de passe — il faut tester depuis une nouvelle session avant de passer à l'étape suivante, sous peine de risquer de se retrouver enfermé dehors.\r\n\r\nDésactiver la connexion root et les mots de passe\r\n\r\nUne fois la connexion par clé validée, on durcit la configuration SSH. Le fichier à modifier est  :\r\n\r\n\r\n\r\nLes directives importantes à positionner (ou décommenter) sont :\r\n\r\n\r\n\r\nLa première interdit toute connexion directe en  via SSH : on devra obligatoirement se connecter avec un utilisateur normal puis élever ses droits via . La deuxième supprime complètement l'authentification par mot de passe, ne laissant plus que les clés. La troisième confirme explicitement que l'authentification par clé est active.\r\n\r\nOn recharge ensuite le service pour appliquer les changements :\r\n\r\n\r\n\r\nImportant : garder la session SSH actuelle ouverte et tester la nouvelle configuration depuis un autre terminal avant de fermer la première. En cas de problème, on peut encore corriger le tir.\r\n\r\nPour aller un cran plus loin, changer le port SSH par défaut (22) vers un port moins évident réduit considérablement le bruit dans les logs. Ce n'est pas de la sécurité au sens strict (un scan le retrouvera), mais c'est un filtre efficace contre les attaques automatisées.\r\n\r\nMettre en place un pare-feu\r\n\r\nPar défaut, Debian n'a aucun pare-feu actif. Tout port ouvert par un service installé sera donc directement exposé. Deux outils standards existent :  (le successeur officiel d', bas niveau et puissant) et  (une surcouche pensée pour la simplicité). Pour démarrer,  est le bon compromis.\r\n\r\n\r\n\r\nLa logique consiste à tout bloquer en entrée par défaut, puis à n'ouvrir explicitement que ce qui doit l'être :\r\n\r\n\r\n\r\nSi SSH écoute sur un port non standard, remplacer  par  (ou le port choisi). Oublier cette étape avant un  est un grand classique du verrouillage involontaire.\r\n\r\nPour les services web, on ouvrira typiquement les ports 80 et 443 :\r\n\r\n\r\n\r\nL'état du pare-feu se vérifie avec :\r\n\r\n\r\n\r\nSur une architecture où la machine est derrière un reverse proxy (cas fréquent quand on expose plusieurs services sur un même domaine), seuls les ports utiles côté proxy doivent être ouverts au monde extérieur. Les services applicatifs eux-mêmes restent accessibles uniquement depuis le réseau interne.\r\n\r\nAutomatiser les correctifs de sécurité\r\n\r\nLes failles de sécurité ne préviennent pas, et personne n'a envie de lancer manuellement  chaque matin sur dix machines. Le paquet  applique automatiquement les mises à jour du dépôt .\r\n\r\n\r\n\r\nLa configuration se trouve ensuite dans . Par défaut, seuls les correctifs de sécurité sont appliqués automatiquement, ce qui est généralement le bon compromis : on profite des patches critiques sans risquer qu'une mise à jour fonctionnelle introduise une régression sur un service en production.\r\n\r\nQuelques options qui méritent l'attention dans ce fichier :\r\n: à régler sur  si l'on accepte les redémarrages automatiques après une mise à jour de noyau, ou  si l'on préfère les piloter à la main. La directive  permet alors de choisir l'horaire.\r\n: pour recevoir un rapport par mail des mises à jour appliquées, à condition d'avoir un MTA configuré sur la machine.\r\n\r\nLe bon réflexe consiste à vérifier de temps en temps les logs dans  pour s'assurer que tout se déroule sans heurts.\r\n\r\nSoigner les détails opérationnels\r\n\r\nQuelques outils complémentaires améliorent significativement le confort et la résilience d'un serveur.\r\n\r\nFail2ban surveille les logs d'authentification et bannit temporairement les IP qui tentent trop de connexions échouées. Même avec SSH par clé uniquement, le service réduit considérablement le bruit dans les journaux :\r\n\r\n\r\n\r\nLa configuration par défaut surveille déjà SSH ; elle peut être étendue à d'autres services (nginx, Postfix, etc.) via des fichiers dans .\r\n\r\nLogwatch ou journalctl méritent qu'on s'y attarde. Sur une Debian récente,  est l'outil central pour consulter les logs systemd :\r\n\r\n\r\n\r\nPrendre l'habitude de jeter un œil aux logs régulièrement — ou de mettre en place une remontée centralisée si l'on gère plusieurs machines — change beaucoup de choses en exploitation.\r\n\r\nUn swap raisonnable, sur une VM ou un serveur dédié, évite que la machine ne devienne complètement injoignable en cas de pic de consommation mémoire. Sur un conteneur LXC en revanche, c'est généralement géré au niveau de l'hyperviseur.\r\n\r\nEt après ?\r\n\r\nAvec ces réglages, le serveur est dans un état correct pour accueillir des services réels : la surface d'attaque est réduite, les correctifs s'appliquent tout seuls, et les logs racontent ce qui se passe. La suite logique est l'installation de la pile applicative proprement dite (serveur web, base de données, runtime) et la mise en place d'un reverse proxy pour exposer plusieurs services derrière un même point d'entrée.\r\n\r\nComme évoqué dans le premier article, le moment où l'on commence à enchaîner ces étapes sur plusieurs machines est exactement celui où il faut basculer vers de l'automatisation : un script shell bien rangé pour commencer, puis Ansible ou un équivalent quand le parc grossit. Une bonne pratique consiste à versionner ces scripts dans un dépôt Git dédié à l'infrastructure, au même titre que le code applicatif."},{"uuid":"586c5ab7-e960-465b-b499-83e0209890fe","slug":"quand-alt-ne-repond-plus-anatomie-d-un-bug-clavier-sous-gnome-wayland","title":"Quand Alt ne répond plus : anatomie d'un bug clavier sous GNOME/Wayland","category":"informatique","author":"cedric@abonnel.fr","cover":"cover.png","published":true,"published_at":"2026-05-25 07:27","created_at":"2026-05-12 13:35:47","updated_at":"2026-05-12 13:40:34","tags":[],"plain":"Comment une option de clavier a priori anodine peut désactiver Alt+Tab, Alt+F4 et tous les raccourcis Alt — et comment diagnostiquer ce genre de problème de façon méthodique.\r\n\r\nLe symptôme\r\n\r\nUn beau matin, les raccourcis clavier ne répondent plus. Pas tous : seulement ceux qui utilisent la touche Alt gauche.\r\nne change plus de fenêtre\r\nne ferme plus l'application active\r\nDans un terminal, les raccourcis  (édition de ligne readline, raccourcis dans une applicaiton, navigation tmux…) restent sans effet\r\nLa touche AltGr (Alt droite), elle, fonctionne toujours : on peut taper , , , les caractères normalement obtenus via Alt droite sur un clavier français azerty\r\n\r\nPremier réflexe naturel : « Le clavier est cassé ». Sauf que la touche physique répond bien — elle ne déclenche simplement plus ce qu'on attend d'elle.\r\n\r\nComprendre ce qui se passe (sans connaître Linux par cœur)\r\n\r\nPour saisir le bug, il faut comprendre un détail qu'on ignore généralement : une touche physique du clavier et la fonction qu'elle déclenche sont deux choses différentes.\r\n\r\nQuand on appuie sur la touche marquée « Alt » à gauche du clavier, le système reçoit d'abord un signal matériel — un code brut,  sous Linux. Ce signal est ensuite traduit en une fonction logique par une couche logicielle appelée xkb (X Keyboard Extension). C'est xkb qui décide que  signifie « modificateur Alt gauche » (le fameux ).\r\n\r\nMais xkb peut être configuré pour faire autre chose de ce même signal. Et c'est exactement ce qui s'était passé ici. Une option xkb nommée  indiquait à la couche de traduction :\r\n« Quand tu reçois , ne génère pas . Génère  à la place. »\r\n\r\n, c'est le nom technique de AltGr : la touche modificatrice qui permet d'accéder au « troisième niveau » d'une touche (le  au-dessus du , le  au-dessus du , etc.). En clair, l'option transformait Alt gauche en un deuxième AltGr.\r\n\r\nConséquence : du point de vue des applications, personne n'appuie jamais sur Alt. Le gestionnaire de fenêtres (mutter, dans GNOME) attend un événement  qui ne vient jamais ; le terminal attend un préfixe Alt qui ne vient jamais non plus ; AltGr fonctionne toujours parce que c'est lui le « vrai » Level 3 Shift sur azerty, par défaut.\r\n\r\nC'est l'analogie d'un interrupteur dont on aurait inversé deux fils dans le mur : l'interrupteur marche, mais il commande une autre lampe.\r\n\r\nLa cause exacte\r\n\r\nSous GNOME, les options xkb sont stockées dans la base de configuration dconf, accessible via la commande . La clé concernée :\r\n\r\n\r\n\r\nSur le système concerné, la commande retournait :\r\n\r\n\r\n\r\nD'où venait cette option ? Plusieurs hypothèses plausibles :\r\nSélectionnée par erreur dans Paramètres → Clavier → Options de disposition lors d'une configuration ancienne\r\nImportée depuis une ancienne machine via la synchronisation du profil\r\nActivée par un script ou un outil de personnalisation (GNOME Tweaks, dconf-editor)\r\nHéritée d'une habitude QWERTY où certains préfèrent un second AltGr à gauche\r\n\r\nSur un clavier français azerty, cette option n'a aucun intérêt pratique : AltGr est déjà sur la touche Alt droite, là où l'index droit peut l'atteindre naturellement. Ajouter un second AltGr sur la touche Alt gauche revient à perdre Alt sans gagner quoi que ce soit.\r\n\r\nLe diagnostic, étape par étape\r\n\r\nVoici la séquence de commandes pour confirmer le problème — utile à mémoriser parce qu'elle s'applique à tout symptôme similaire sur GNOME/Wayland.\r\n\r\n1. Confirmer l'environnement de session. Les commandes qui suivent supposent GNOME sous Wayland ; sous X11 ou KDE, le diagnostic diffère.\r\n\r\n\r\n\r\n2. Inspecter les options xkb. C'est le test diagnostic principal pour ce genre de panne.\r\n\r\n\r\n\r\nSi la sortie n'est pas  (liste vide) ou une option clairement intentionnelle, on tient probablement le coupable. Les options les plus susceptibles de casser des raccourcis :\r\n— transforme Alt gauche en AltGr (le cas présent)\r\n— échange Alt et Super (la touche Windows)\r\n— échange Caps Lock et Échap (anodin pour Alt, mais peut surprendre)\r\n,  — transforment Caps Lock en Ctrl\r\n\r\n3. Vérifier que les raccourcis WM sont bien définis. Cela permet d'éliminer une mauvaise piste : si  ne marchait pas parce que le raccourci avait été effacé, ce serait visible ici.\r\n\r\n\r\n\r\nLa sortie attendue est  ou équivalent. Si  y figure, le gestionnaire de fenêtres est correctement configuré — la panne est ailleurs.\r\n\r\n4. Vérifier les options d'accessibilité. Les touches rémanentes (StickyKeys), touches lentes (SlowKeys) ou touches rebonds (BounceKeys) peuvent provoquer des comportements clavier surprenants quand elles sont activées par erreur.\r\n\r\n\r\n\r\nToutes les trois doivent normalement renvoyer  sauf besoin spécifique.\r\n\r\n5. Tester au niveau matériel si rien d'autre n'explique. Si toutes les vérifications logicielles sont propres, on vérifie que la touche envoie bien un signal au noyau :\r\n\r\n\r\n\r\nL'outil demande de choisir un périphérique (le clavier), puis affiche en direct chaque événement reçu. En appuyant sur Alt gauche, une ligne contenant  doit apparaître. Si rien ne s'affiche, le problème est matériel ou dans le pilote — ce qui sort du cadre de cette fiche.\r\n\r\nLa correction\r\n\r\nUne seule commande suffit dans le cas présent :\r\n\r\n\r\n\r\nL'effet est immédiat : mutter recharge la configuration clavier à la volée, sans qu'on ait besoin de fermer sa session. Si pour une raison ou une autre l'effet ne se voit pas (vieux processus qui a mis en cache la configuration, terminal récalcitrant…), une déconnexion/reconnexion de la session GNOME suffit à tout réinitialiser.\r\n\r\nPour vérifier que la valeur est bien revenue à vide :\r\n\r\n\r\n\r\nEt si on voulait vraiment garder l'option ?\r\n\r\nPour information, la commande inverse est :\r\n\r\n\r\n\r\nÀ réserver aux cas où l'on tape énormément de caractères de troisième niveau de la main gauche et où on accepte de perdre Alt+Tab.\r\n\r\nLa méthode à retenir, au-delà de ce bug précis\r\n\r\nL'intérêt de cette fiche n'est pas tant la solution — une ligne de commande — que la logique de diagnostic. Quand une touche cesse de fonctionner sous Linux, on remonte la chaîne des responsabilités, du plus haut niveau au plus bas :\r\n\r\n1. Le gestionnaire de fenêtres a-t-il bien le raccourci ? ()\r\n2. Les options d'accessibilité ne brouillent-elles pas la frappe ? ()\r\n3. La couche xkb traduit-elle correctement la touche en modificateur ? ()\r\n4. Le noyau reçoit-il un signal matériel quand on appuie ? ()\r\n\r\nÀ chaque étage, une commande, une sortie attendue, et un verdict clair. La grande force de Linux dans ce genre de situation, c'est que chaque couche est inspectable séparément. Le réflexe à acquérir n'est pas « ça ne marche pas, je redémarre » mais « ça ne marche pas, je trouve quelle couche ment ».\r\n\r\nChecklist mémo\r\n\r\nModificateur (Alt / Super / Ctrl) qui ne répond plus sous GNOME/Wayland :\r\n\r\n1.  — surveiller , , , \r\n2.  — confirmer que le raccourci existe\r\n3.  (puis , )\r\n4.  → choisir le clavier → presser la touche → doit afficher le bon code (, , etc.)\r\n\r\nQuatre commandes, quatre couches, et 95 % des bugs clavier de session graphique sont localisés."},{"uuid":"75bf96ba-e110-4a9e-8163-95890562aecf","slug":"souverainete-numerique-le-paradoxe-d-orange-face-aux-clouds-americains","title":"Orange dans les bras d'Amazon : l'aveu d'un échec européen","category":"actualité","author":"cedric@abonnel.fr","cover":"cover.jpg","published":true,"published_at":"2026-01-16 11:17","created_at":"2026-01-16 11:17:19","updated_at":"2026-05-11 21:44:15","tags":[],"plain":"Orange utilise massivement AWS, Azure et Google Cloud. Dit comme ça, c'est presque une blague. L'ancien France Télécom, opérateur historique, fleuron des télécoms français, héritier du service public, branché sur les serveurs de la Silicon Valley. À l'heure où on ne parle que de souveraineté numérique, on pourrait croire à une trahison. C'est plus compliqué que ça.\r\n\r\nLa raison principale est bête : les Américains ont gagné la course. En quinze ans, AWS, Microsoft et Google ont construit une avance que personne ne sait combler aujourd'hui. Et ils ne vendent plus seulement du stockage ou de la puissance de calcul. Ils vendent un écosystème entier : de l'IA prête à l'emploi, des outils d'analyse de données, de l'automatisation, de la cybersécurité, des garanties de disponibilité à neuf chiffres. Pour Orange, qui doit faire tourner ses services dans une vingtaine de pays sans tomber en panne, ce niveau de maturité pèse lourd dans la balance.\r\n\r\nSauf que ce choix rationnel a un prix politique. En confiant ses infrastructures à des entreprises soumises au droit américain, Orange entre dans une zone de dépendance dont on ne sort pas facilement. Le Cloud Act permet aux autorités américaines de réclamer des données hébergées par ces sociétés, même quand ces données sont physiquement en Europe. On peut chiffrer, cloisonner, négocier des clauses dans tous les sens, le fait reste que la décision finale échappe au juge européen. Pour un opérateur télécoms qui manipule des données de millions d'abonnés, ce n'est pas un détail.\r\n\r\nLe plus rageant, c'est qu'on a des alternatives. OVHcloud, Scaleway, Outscale, IONOS en Allemagne, sans parler des projets autour de Deutsche Telekom. Ces acteurs existent, ils sont sérieux, ils savent faire. Alors pourquoi Orange ne s'allie pas avec eux pour construire quelque chose de crédible à l'échelle européenne ?\r\n\r\nParce que l'écart de moyens est vertigineux. AWS et Microsoft investissent chacun plus de cinquante milliards de dollars par an dans leurs infrastructures. Ils ont leurs propres câbles sous-marins, leurs propres réseaux mondiaux, et ils raflent une bonne partie des ingénieurs qui sortent des écoles. Un OVH, même bien géré, ne joue pas dans la même catégorie financière. Il faudrait une alliance européenne soutenue politiquement, financée sur vingt ou trente ans, pour espérer rattraper. On a essayé avec Gaia-X. Le résultat parle de lui-même.\r\n\r\nDu coup, Orange est coincé. Tout miser sur l'européen aujourd'hui, ça veut dire accepter des services moins performants, moins riches, et perdre du terrain face à ses concurrents qui, eux, n'auront pas ces scrupules. Dans un marché où les marges fondent et où chaque innovation compte, c'est un pari risqué. Continuer avec les Américains, c'est rester dans la course mais accepter une dépendance qui peut, du jour au lendemain, devenir un problème géopolitique.\r\n\r\nD'où la solution batarde que tout le monde adopte : l'hybride. On met chez Amazon ou Microsoft ce qui doit aller vite, innover, scaler. On garde en Europe, parfois sur des clouds \"de confiance\" labellisés SecNumCloud, ce qui touche aux données sensibles, aux clients régulés, à l'État. Ce n'est pas glorieux, mais ça permet de tenir les deux bouts.\r\n\r\nPour les défenseurs de la souveraineté numérique, ce compromis a un goût amer. On a l'impression d'une Europe qui se résigne, qui joue le match sur le terrain de l'adversaire avec ses règles. Mais en pointant Orange du doigt, on rate la cible. Le vrai problème n'est pas dans les choix d'une entreprise, il est en amont. Tant qu'on traitera le cloud comme un simple marché et pas comme une infrastructure critique, au même titre que l'électricité ou les chemins de fer, les industriels feront ce qu'ils ont toujours fait : choisir ce qui marche, là, maintenant.\r\n\r\nLa bonne question n'est donc pas \"pourquoi Orange utilise AWS\". Elle est \"pourquoi, vingt ans après l'arrivée du cloud, l'Europe n'a toujours pas mis sur la table de quoi rendre ce choix évitable\". La souveraineté ne se décrète pas dans des communiqués. Elle se paie. En milliards, en années, en décisions politiques qui survivent aux changements de gouvernement. Tant qu'on ne sera pas prêts à ce niveau d'engagement, on continuera à tenir un discours sur l'indépendance numérique en signant des contrats avec Seattle et Redmond."},{"uuid":"7cf4eff3-2bab-4f2e-8982-247c89f7ca16","slug":"installer-webmin-l-outil-d-administration-en-mode-web","title":"Mettre en place un serveur Debian administrable avec Webmin","category":"linux","author":"cedric@abonnel.fr","cover":"cover.svg","published":true,"published_at":"2025-11-13 11:57","created_at":"2025-11-13 11:57:05","updated_at":"2026-05-12 10:48:26","tags":[],"plain":"Quand on monte un nouveau serveur, les premières heures sont toujours les mêmes : on durcit la machine, on crée un utilisateur correct, on coupe ce qui traîne, et on met en place de quoi l'administrer sans avoir à ouvrir un terminal pour chaque détail. Cet article décrit la procédure que j'utilise sur mes Debian fraîches : préparation via mes scripts, installation de Webmin, et activation de  pour ne laisser passer que ce qui doit l'être. L'idée n'est pas de transformer le serveur en sapin de Noël, mais d'avoir une base saine sur laquelle bâtir, qu'il s'agisse d'expérimenter dans un LXC ou de préparer une VM destinée à recevoir une vraie charge. Étape 1 — Préparer la machine Sur une Debian neuve, on commence par récupérer un petit script qui en télécharge d'autres. C'est juste un point d'entrée : il va chercher dans mon dépôt Forgejo un ensemble de scripts d'initialisation que je maintiens à jour. À ce stade, un dossier  apparaît à côté du script. C'est là que se trouve le vrai travail :  fait ce qu'on a tous fini par écrire un jour : mise à jour des paquets, installation des outils de base, création d'un utilisateur non-root avec les bons droits sudo, durcissement minimal de SSH. Rien de magique, mais c'est répétable et c'est ce qui compte quand on provisionne souvent. Important : une fois le script terminé, il faut se déconnecter de la session  et se reconnecter avec l'utilisateur que le script vient de créer. Tout ce qui suit se fait avec cet utilisateur, en passant par  quand nécessaire. Continuer en root est une mauvaise habitude qui finit toujours par se payer. Étape 2 — Installer Webmin Webmin est une interface web d'administration système. Pour quelqu'un qui débute, c'est une porte d'entrée appréciable : on voit les services qui tournent, les utilisateurs, les paquets installés, les logs, le tout depuis un navigateur. Pour quelqu'un d'expérimenté, c'est un complément pratique quand on veut donner un accès limité à un collègue moins à l'aise en ligne de commande. Webmin fournit son propre script pour configurer le dépôt apt : Ce script ajoute le dépôt officiel Webmin à la liste des sources apt et importe la clé GPG associée. Une fois fait, l'installation devient une commande apt classique : Petite précision sur les deux paquets : Webmin sert à l'administration système (root ou utilisateur sudo), Usermin est sa version pour les utilisateurs standards, qui leur permet de gérer leur propre compte, leurs mails, leurs fichiers, sans toucher au système. Sur une machine mono-utilisateur, on peut se passer d'Usermin, mais l'installer maintenant coûte trois mégaoctets et évite d'y revenir plus tard. Étape 3 — Se connecter à l'interface Webmin écoute par défaut sur le port 10000 en HTTPS. Depuis un navigateur :  est à remplacer par l'adresse de la machine. Le navigateur va râler à propos du certificat — c'est normal, Webmin génère un certificat auto-signé à l'installation. On peut accepter l'avertissement pour l'instant ; si la machine est destinée à un usage durable, on remplacera ça plus tard par un vrai certificat (Let's Encrypt via un reverse proxy, par exemple). Pour la connexion, on utilise les identifiants Linux de l'utilisateur sudo, pas un compte spécifique à Webmin. C'est l'utilisateur que  a créé à l'étape 1. Webmin s'appuie sur PAM, donc tout compte système autorisé à se connecter peut potentiellement entrer — d'où l'importance de l'étape suivante. Étape 4 — Activer le pare-feu Une machine accessible sur internet sans pare-feu, c'est une question de temps avant les premiers ennuis. Sur Debian, je préfère  à  ou à la configuration brute de  : la notion de zones est pratique, la syntaxe se retient, et l'intégration avec Webmin est correcte. Installation et activation :  rend le service persistant au redémarrage,  le lance immédiatement. Vérification : Le retour attendu est . Si c'est autre chose,  permet de comprendre ce qui coince — c'est souvent un conflit avec un autre service de filtrage déjà en place. À ce stade, le pare-feu tourne mais avec une configuration par défaut qui, selon la zone active, peut bloquer Webmin. Il faut donc explicitement autoriser le port 10000 : Le  écrit la règle dans la configuration ; sans ça, elle disparaît au prochain redémarrage. Le  recharge la configuration pour que la règle prenne effet immédiatement. C'est l'erreur classique : on ajoute une règle, on continue à ne pas pouvoir se connecter, on perd dix minutes avant de se rappeler du . Pour aller plus loin Une fois cette base en place, plusieurs directions s'offrent selon le rôle de la machine. Si elle est destinée à héberger un service web public, l'étape logique suivante consiste à placer Webmin derrière un reverse proxy plutôt que de l'exposer directement sur le port 10000. Le port 10000 est alors fermé vers l'extérieur, et l'interface devient accessible via un sous-domaine en HTTPS avec un vrai certificat. C'est plus propre, plus sûr, et ça évite l'avertissement de certificat à chaque connexion. Si la machine est un serveur d'applications, autant profiter du fait que  est en place pour réfléchir aux ports en amont. Mieux vaut décider tout de suite quelles applications écoutent où, plutôt que d'empiler les  au fil de l'eau et de finir avec une configuration que plus personne ne comprend. Et dans tous les cas, garder une trace écrite des choix faits : quels ports ouverts, quel utilisateur sudo, quelle convention de nommage. Un fichier  à la racine du home de l'admin, peu importe le support — l'important c'est que dans six mois, on puisse retrouver le fil sans avoir à tout rétro-ingénierer."},{"uuid":"7af79dd4-67d9-4516-a67b-06c2e569eaea","slug":"test-kobo-libra-colour","title":"Kobo Libra Colour : la liseuse qui voulait devenir un carnet","category":"loisirs","author":"cedric@abonnel.fr","cover":"cover.jpg","published":true,"published_at":"2025-11-09 12:03","created_at":"2025-11-09 12:03:56","updated_at":"2026-05-12 01:41:02","tags":[],"plain":"Prix indicatif : environ 229 €. Écran 7 pouces E-Ink Kaleido 3 couleur, stylet en option (Kobo Stylus 2).\r\n\r\nUne catégorie qui s'était endormie\r\n\r\nCela fait presque dix ans que les liseuses se ressemblent. Un écran noir et blanc, un éclairage frontal réglable, une autonomie de plusieurs semaines, et basta. Le progrès s'est concentré sur des détails : un peu plus de contraste, un peu moins de poids, un éclairage légèrement plus chaud le soir. Les constructeurs avaient apparemment décidé qu'un livre numérique devait imiter le plus fidèlement possible un livre de poche, et qu'il n'y avait pas grand-chose d'autre à inventer.\r\n\r\nLa Kobo Libra Colour prend l'exact contre-pied de cette prudence. Elle est la première Kobo de 7 pouces à embarquer le nouvel écran E-Ink Kaleido 3, qui affiche enfin de la couleur sans renoncer au confort de la lecture sur encre électronique. Et surtout, elle est compatible avec un stylet, le Kobo Stylus 2, vendu séparément. La promesse tient en trois verbes : lire, annoter, prendre des notes. Sans devenir une tablette, sans bouffer la batterie en quelques heures, sans bombarder l'utilisateur de notifications.\r\n\r\nEn main, l'objet inspire confiance. 199 grammes seulement, un poids très bien réparti, et cette poignée latérale typique de la gamme Libra qui change vraiment la prise — on tient la liseuse à une main pendant des heures sans crispation, le pouce posé sur les deux boutons physiques de tournage de page. Détail qui en dit long sur la philosophie du produit : ces boutons sont là pour qu'on n'ait pas besoin de toucher l'écran. La liseuse veut rester une liseuse.\r\n\r\nUn écran couleur qui sert enfin à quelque chose\r\n\r\nLa technologie Kaleido 3 mérite quelques mots d'explication, parce qu'elle est souvent mal comprise. Ce n'est pas un écran LCD comme sur une tablette : il n'y a pas de rétroéclairage direct, donc pas d'émission lumineuse agressive dans les yeux, et la lisibilité reste excellente en plein soleil — là où n'importe quel iPad devient inutilisable. Le principe est celui de l'encre électronique classique, surmonté d'une fine couche de filtres colorés qui restituent environ 4 000 couleurs.\r\n\r\nLa contrepartie, il faut la connaître avant d'acheter : la résolution en couleur est nettement plus basse qu'en noir et blanc, et on perçoit légèrement la trame des filtres si on cherche le défaut. Les rouges sont un peu ternes, les bleus corrects, les verts inégaux. Personne ne lira de bande dessinée Marvel sur cet écran en se disant \"c'est aussi beau qu'imprimé\".\r\n\r\nMais c'est passer à côté de l'essentiel. Pour la première fois, la couleur sur une liseuse n'est pas un gadget : c'est un outil. Les cartes deviennent vraiment lisibles, les schémas techniques retrouvent leur logique de codage couleur, les manuels gagnent en clarté. Et surtout, le surlignage — jaune, rose, vert, bleu — fonctionne comme sur papier. On peut enfin différencier ce qu'on veut retenir, ce qu'on conteste, ce qu'on veut creuser. C'est bête à dire, mais après des années à surligner en \"gris foncé\" sur fond gris clair, l'effet est libérateur.\r\n\r\nLe stylet, où la liseuse change de nature\r\n\r\nC'est avec le Kobo Stylus 2 que la Libra Colour révèle ce qu'elle a vraiment dans le ventre. Vendu en option (et c'est dommage, à ce prix-là), il transforme l'usage. On peut annoter directement dans les PDF et les ePub, surligner à la main plutôt qu'avec une sélection à deux doigts, écrire dans des carnets intégrés au système, et synchroniser tout ça via Dropbox ou par câble USB.\r\n\r\nLe point qui fait la différence, et qu'on cherche en vain sur la plupart des concurrents : les PDF annotés sont exportables tels quels. Quand on récupère son fichier, les coups de surligneur, les notes manuscrites dans la marge, les flèches griffonnées — tout est intégré à la page comme si on l'avait fait au stylo. On en sort un PDF qu'on peut imprimer, archiver, partager. Pour un étudiant qui annote ses cours, un enseignant qui corrige des copies au format numérique, un professionnel qui relit des dossiers : c'est exactement ce qu'on attendait depuis des années.\r\n\r\nFaut-il s'attendre à la sensation d'une tablette graphique haut de gamme ? Non. La latence est faible mais perceptible, le frottement du stylet sur le verre n'a pas la résistance d'un Remarkable 2 (qui reste la référence pour le ressenti \"crayon sur papier\"). Mais c'est crédible, fluide, suffisant pour écrire pendant une heure sans frustration.\r\n\r\nCe qui en fait toujours une excellente liseuse, par ailleurs\r\n\r\nOn l'oublierait presque tellement le stylet capte l'attention, mais la Libra Colour reste avant tout une liseuse Kobo, c'est-à-dire ce que la marque fait de mieux. Lecture native des fichiers ePub sans passer par une conversion absurde, intégration de Pocket pour envoyer en un clic les articles longs du web vers la liseuse, librairie intégrée qui inclut désormais les BD en couleur achetables directement.\r\n\r\nEt — point essentiel pour qui se méfie des écosystèmes fermés — aucun verrou Amazon. On charge ses propres fichiers sans gymnastique, on installe KOReader si on veut un lecteur alternatif, on lit ses bibliothèques publiques via Overdrive. La liseuse appartient à son propriétaire.\r\n\r\nLe contraste en noir et blanc reste très correct malgré la couche de filtres couleur — légèrement inférieur à une liseuse pure N&B comme la Clara BW, mais largement suffisant pour la lecture confortable. L'éclairage frontal est homogène, sans points chauds, et le ConfortLight PRO permet de glisser progressivement vers un ton ambré le soir, ce qui change réellement quelque chose pour la lecture nocturne.\r\n\r\nAutonomie : il faut être honnête\r\n\r\nC'est sans doute le point où il faut tempérer l'enthousiasme. Avec un usage mixte lecture et annotations, en gardant le Wi-Fi actif, on tient entre une et trois semaines selon l'intensité. C'est moins qu'une Clara classique qui peut atteindre six semaines, et bien plus qu'un iPad ou un Remarkable. La couleur et le stylet ont un coût énergétique, et la Libra ne fait pas de miracle. Cela reste totalement cohérent avec l'usage d'une liseuse — on ne la branche pas tous les soirs — mais ne tablez pas sur le mois entier en voyage si vous comptez prendre des notes copieuses.\r\n\r\nLe flux d'export, en pratique\r\n\r\nQuand on annote un PDF, le récupérer est simple : soit on connecte la Kobo à un ordinateur en USB et on copie le fichier exporté, soit on laisse la synchronisation Dropbox faire le travail en arrière-plan. Il n'y a pas d'impression directe depuis la liseuse — il faut passer par un ordinateur — mais aucune annotation n'est perdue dans la conversion. C'est un workflow qui demande deux clics, pas un projet en soi.\r\n\r\nComment elle se situe dans la gamme\r\n\r\nQuelques repères pour situer la Libra Colour face aux alternatives qu'on hésite souvent à comparer.\r\nModèle | Écran | Stylet | Export PDF annoté | À qui ça s'adresse |\r\n---|---|---|---|---|\r\nKobo Libra Colour | 7\" couleur Kaleido 3 | En option | Oui | Lecture quotidienne + annotations occasionnelles + couleur utile |\r\nKobo Sage | 8\" N&B | En option | Oui | Prise de notes plus sérieuse, format intermédiaire |\r\nKobo Elipsa 2E | 10,3\" N&B | Inclus | Oui | Remplacer un classeur A4, usage intensif des PDF techniques |\r\nKindle Scribe | 10,2\" N&B | Inclus | Export limité | Lecteurs déjà installés dans l'écosystème Kindle |\r\n\r\nPour qui veut une vraie planche à dessin numérique, l'Elipsa 2E reste plus indiquée — son grand format change la donne pour les schémas et les documents A4. Pour qui veut juste lire en N&B pour un budget contenu, la Clara BW suffit largement. Mais sur le créneau \"je lis beaucoup, j'aimerais annoter parfois, et la couleur me servirait pour mes manuels ou mes BD\", la Libra Colour est aujourd'hui la proposition la plus équilibrée du marché.\r\n\r\nMon avis\r\n\r\nLa Kobo Libra Colour n'est pas la meilleure liseuse possible dans chaque catégorie prise séparément. L'Elipsa 2E reste plus à l'aise sur les PDF complexes, la Clara BW pèse moins lourd dans la poche et coûte moins cher, le Remarkable 2 offre une meilleure sensation d'écriture. Mais c'est précisément ce qui fait sa force : c'est la liseuse qui en fait assez dans plusieurs domaines pour ne pas demander d'en posséder deux.\r\n\r\nPendant des années, on a dû choisir entre lire et annoter, entre voir des cartes en couleur et garder une bonne autonomie, entre payer 350 € pour une grande tablette E-Ink ou se contenter d'un noir et blanc rigide. La Libra Colour est le premier produit, à ma connaissance, à proposer un compromis qui ne ressemble pas à un compromis. À 229 €, ou autour de 290 € avec le stylet, c'est une vraie proposition de valeur pour qui lit beaucoup et travaille un peu sur ce qu'il lit.\r\n\r\nLa meilleure liseuse \"papier numérique\" polyvalente du moment, et de loin."}]