Piensa un momento en qué pasaría si mañana no pudieras entrar en una de tus máquinas. La clave SSH estaba en el portátil de alguien que ya no está. La contraseña de Administrator la cambió un técnico "temporalmente" y nadie la apuntó. Un cambio en la configuración de SSH salió mal y la puerta se cerró contigo fuera. La máquina sigue funcionando y la web sigue abierta, pero ya no mandas en ella, y en AWS no hay un "he olvidado la contraseña" ni un soporte que entre por ti.
Las salidas que quedan no son cómodas. En Linux, Lightsail te deja su consola web; en Windows, solo si nadie cambió nunca la contraseña. Cuando eso no sirve, toca parar la máquina, hacer una instantánea y levantar otra: horas de trabajo y de parada, en el peor momento, con la aplicación de un cliente dando servicio. Y si tampoco hay instantánea, se pierde todo lo que había dentro: no hay a quién llamar. La llave de repuesto de Simplio es exactamente lo que su nombre dice: una copia de la llave que dejas guardada antes de necesitarla. Se crea con un botón en la tarjeta de la máquina y, a partir de ahí, Simplio comprueba cada día que sigue abriendo. El día que te quedes fuera, desde esa misma tarjeta pones una contraseña nueva al administrador, le añades tu clave pública o lo desbloqueas. Con tu código del doble factor, en un minuto, sin parar nada.
Comment ça marche
Vous appuyez sur « Créer une clé de secours » sur la carte de la machine
En una máquina Linux, Simplio entra una sola vez con la clave temporal que da Lightsail y deja preparado el usuario
simplio-rescate. En Windows, Simplio te da un guion de PowerShell para pegar una vez por Escritorio remoto: activa el servidor OpenSSH que ya trae Windows, crea el usuario y abre el puerto 22 solo para la IP de Simplio. No se instala nada de Simplio en la máquina.L'utilisateur reste sans mot de passe utilisable et n'admet que des certificats de cinq minutes
simplio-rescateno tiene una contraseña que se pueda adivinar ni robar: en Linux no tiene ninguna; en Windows lleva una aleatoria de 40 caracteres que se genera, se aplica y se descarta en el mismo instante, sin guardarse ni mostrarse. La única forma de entrar es un certificado SSH firmado por Simplio, que caduca a los cinco minutos y que la máquina solo acepta si viene desde la IP del servidor de Simplio.Simplio vérifie chaque jour que la clé ouvre toujours
Una conexión de prueba diaria. Si alguien borra el usuario, cambia la configuración de SSH o cierra el puerto, lo ves en la tarjeta (la pastilla pasa a "Llave de repuesto perdida") y recibes un aviso, mientras todavía tienes acceso normal para rehacerla. Puedes comprobarlo a mano cuando quieras con "Comprobar ahora".
Le jour où vous êtes enfermé dehors : « Secourir avec la clé de secours »
Escribes el usuario que quieres recuperar (bitnami, ubuntu, ec2-user, Administrator…) o, si no lo sabes, eliges "Ver qué usuarios hay en la máquina" y Simplio te los lista con su carpeta, si son administradores y cuándo entraron por última vez. Después eliges qué hacer:
- Ponerle una contraseña nueva. Simplio genera una, la aplica y te la muestra una sola vez. No se guarda en ningún sitio. En Linux puedes marcar que SSH admita además entrar con contraseña, porque muchas máquinas solo aceptan clave.
- Añadirle tu clave pública SSH. Pegas la pública de tu clave nueva y vuelves a entrar como siempre.
- Desbloquearlo. Para cuentas bloqueadas por intentos fallidos o caducadas.
- Consola como simplio-rescate. Para el técnico: una terminal con permisos de administrador, en el navegador, para arreglar lo que haga falta a mano. En Windows es una consola PowerShell, y es la que abre el botón Terminal de la tarjeta cuando Lightsail ya no puede dar la contraseña de administrador.
Todo pide el código del doble factor, también si eres administrador de Simplio, y todo queda en el registro de actividad: quién, qué, cuándo y desde qué IP.
Si un jour vous n'en voulez plus, vous la retirez
"Quitar la llave de repuesto" borra el usuario, sus ficheros y las líneas de configuración que Simplio dejó. La máquina queda como antes.
Quelle sécurité offre-t-il
Aucun mot de passe à voler
L'utilisateur de la clé n'a pas de mot de passe utilisable. Même si quelqu'un connaît le nom simplio-rescate, il n'y a rien à tester : ni force brute, ni dictionnaire, ni mot de passe volé.
Des certificats qui expirent seuls
Chaque connexion utilise un certificat SSH signé par Simplio qui vaut cinq minutes. Il n'y a rien à révoquer ni à nettoyer ensuite : passé ce délai, il cesse de valoir tout seul.
Uniquement depuis l'IP de Simplio
Le certificat n'est accepté par la machine que si la connexion vient du serveur de Simplio. Un certificat copié ou l'autorité de signature elle-même, hors de ce serveur, ne servent pas à entrer.
L'autorité de signature, en dehors de la base de données
La clé avec laquelle Simplio signe les certificats vit dans le fichier de secrets du serveur, en dehors de la base de données et des sauvegardes, tout comme la clé maître qui chiffre les autres secrets.
Simplio ne conserve aucune clé de votre machine
Ni la clé SSH de Lightsail, ni le mot de passe Administrator, ni le nouveau mot de passe qu'il génère : celui-ci est affiché une fois puis oublié. La seule chose qui reste dans Simplio est l'empreinte du serveur SSH de la machine, pour vérifier à chaque connexion qu'il parle à la bonne machine.
Double authentification toujours, et deux autorisations distinctes
Créer la clé et l'utiliser sont des autorisations séparées : vous pouvez laisser un technicien la créer sur toutes les machines sans qu'il puisse l'utiliser, ou l'inverse. Et chaque utilisation exige le code du téléphone, sans exception pour les administrateurs.
Tout dans le journal d'activité
Chaque création, vérification, secours et suppression de la clé est consigné avec qui, quelle machine, quelle action, quand et depuis quelle IP. Le nouveau mot de passe, non : il n'est jamais écrit dans aucun journal.
Cohabite avec ce que la machine possède déjà
Sous Linux, la clé s'appuie sur le mécanisme standard d'OpenSSH (certificats utilisateur) sans toucher à la configuration globale de SSH, et cohabite donc avec l'autorité de certification que Lightsail utilise pour sa console web. Sous Windows, elle utilise le serveur OpenSSH de Microsoft fourni par le système lui-même.
La même chose, dans AWS et dans Simplio
| Par vous-même dans AWS | Dans Simplio | |
|---|---|---|
| Préparer la porte | Créer une autorité de certification, un utilisateur, sudo, des fichiers de principals et des directives SSH sur chaque machine, à la main ; sous Windows, installer et configurer OpenSSH | Un bouton sous Linux ; sous Windows, coller un script une fois |
| Conserver la clé | Vous, dans un gestionnaire de mots de passe, en vous souvenant où | Sur le serveur de Simplio, en dehors de la base de données ; la machine ne l'accepte que depuis l'IP de Simplio |
| Savoir qu'elle fonctionne toujours | Penser à la tester de temps en temps | Vérification quotidienne automatique et alerte si elle n'ouvre plus |
| Récupérer l'accès | Signer un certificat à la main, entrer en SSH, changer le mot de passe ou la clé en ligne de commande | Double authentification, choix de l'utilisateur et de l'action, et le nouveau mot de passe affiché une seule fois à l'écran |
| Ne pas connaître l'utilisateur | Entrer par n'importe quel moyen et regarder /home ou la liste des comptes | « Voir quels utilisateurs existent sur la machine » : liste avec dossier, administrateur et dernier accès |
| S'il n'y avait pas de porte | Linux : console web de Lightsail. Windows : seulement si personne n'a changé le mot de passe ; sinon, instantané et nouvelle machine | Pareil : la clé doit être laissée avant. C'est pourquoi Simplio vous prévient si une machine n'en a pas |
| S'il n'y a pas non plus d'instantané | Tout ce qu'il y avait sur la machine est perdu | Instantanés programmés chaque nuit, aussi dans une autre région, avec alerte en cas d'échec |
Essayer gratuitement 15 jours Voir comment fonctionne Simplio
Questions fréquentes
Simplio peut-il entrer dans ma machine quand il veut ?
Techniquement, la clé de secours est une porte que Simplio ouvre. C'est pourquoi elle est conçue pour que chaque utilisation laisse une trace et requière une personne : il faut un utilisateur de votre compte ayant l'autorisation de l'utiliser, son code de double authentification à ce moment-là, et tout est consigné dans votre journal d'activité. Personne chez Simplio ne peut l'utiliser sans cela, et vous pouvez la retirer de n'importe quelle machine quand vous voulez.
Cela fonctionne-t-il si la machine utilise déjà des certificats SSH pour autre chose ?
Oui. Sous Linux, la clé ne touche pas à la configuration globale de SSH : elle s'appuie sur le fichier de clés autorisées de l'utilisateur simplio-rescate lui-même, et cohabite donc avec l'autorité de certification de Lightsail ou toute autre. Sous Windows, si le serveur OpenSSH avait déjà une autre autorité configurée, le script s'arrête et vous le signale pour que vous le revoyiez à la main.
Et sous Windows, que faut-il ?
Windows Server 2019 et les versions suivantes fournissent le serveur OpenSSH de Microsoft comme fonctionnalité facultative (2025 l'a déjà installé). Le script l'active, crée l'utilisateur avec un mot de passe aléatoire non conservé, place l'autorité de Simplio dans la configuration d'OpenSSH et ouvre le port 22 dans le pare-feu Windows. Dans le firewall de Lightsail, vous ouvrez le 22 uniquement pour l'IP de Simplio. Pour vous, le Bureau à distance reste inchangé.
Que se passe-t-il si quelqu'un supprime l'utilisateur simplio-rescate ?
L'administrateur de la machine peut le faire, c'est inévitable. C'est pourquoi Simplio le vérifie chaque jour : la carte passe à « Clé de secours perdue » et vous recevez une alerte, de sorte que vous la refaites tant que vous avez encore l'accès.
Le nouveau mot de passe que génère Simplio est-il conservé ?
Non. Il est généré sur le moment, appliqué sur la machine et affiché une seule fois à l'écran. Il ne va ni dans la base de données, ni dans le journal d'activité, ni dans aucun e-mail. Si vous le perdez, vous en demandez un autre.
Est-ce valable pour EC2 ?
Aujourd'hui, la clé de secours est pensée pour les machines Lightsail, où Simplio peut entrer la première fois avec la clé temporaire fournie par AWS. Pour EC2, la voie officielle d'AWS est la procédure AWSSupport-ResetAccess de Systems Manager, que nous expliquons dans les guides.
Guides associés
- Lightsail Une clé de rechange pour ne pas rester à la porte de votre machine
- Lightsail Vous avez perdu le mot de passe Administrator d'un Windows sur AWS : que faire
- EC2 Certificats SSH expliqués de zéro : se connecter sans distribuer de clés
- Lightsail Que faire si vous avez perdu la clé SSH de votre machine
- Lightsail Ouvrir un terminal de votre machine AWS depuis le navigateur, sous Linux et Windows