Auditer et durcir nginx sur un VPS : la routine qui devance le prochain avis

# Le binaire
nginx -v

# Ce que croit le gestionnaire de paquets
apt list --installed 2>/dev/null | grep nginx || rpm -q nginx

# Ce qui tourne vraiment, et depuis quand
ps -eo pid,lstart,cmd | grep "[n]ginx: master"

# nginx dans les conteneurs en cours d'exécution
docker ps --format '{{.Names}}' | while read -r c; do
  v=$(docker exec "$c" nginx -v 2>&1 | grep -o 'nginx/[0-9.]*' || true)
  [ -n "$v" ] && echo "$c: $v"
done

# Tags épinglés dans vos fichiers compose
grep -rn "image:.*nginx" --include="*.yml" --include="*.yaml" . 2>/dev/null

# Configuration de compilation complète, modules compris
nginx -V 2>&1 | tr ' ' '\n' | grep -E "^--with|^--without"

# Blocs map fondés sur une regex
grep -rn "^\s*map\s" /etc/nginx/ -A 3 | grep -E "~\*?\s"

# Règles rewrite et captures de regex
grep -rnE "^\s*rewrite\s|\\\$[1-9]" /etc/nginx/

# Dans le bloc http
server_tokens off;

curl -sI https://example.com | grep -i "^server:"
# attendu : « Server: nginx » sans numéro de version

# Dans le bloc server
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

# Dans le bloc http
client_max_body_size 10m;
client_body_timeout 12s;
client_header_timeout 12s;

# Une zone de limitation modeste, appliquée là où c'est utile
limit_req_zone $binary_remote_addr zone=basic:10m rate=10r/s;

# Dans le location concerné — un point de connexion, par exemple
location /login {
    limit_req zone=basic burst=20 nodelay;
}

# Analyser et valider sans toucher au serveur en fonctionnement
sudo nginx -t

# Seulement si la commande précédente est passée
sudo systemctl reload nginx

#!/usr/bin/env bash
# nginx-audit.sh — à lancer chaque mois, ou après tout avis
set -u
echo "== version =="
nginx -v 2>&1
echo "== ancienneté du processus maître =="
ps -eo lstart,cmd | grep "[n]ginx: master" || echo "arrêté"
echo "== validité de la configuration =="
nginx -t 2>&1 | tail -2
echo "== fuite de version =="
grep -rq "server_tokens off" /etc/nginx/ && echo "server_tokens off" || echo "ALERTE : version exposée"
echo "== conteneurs =="
docker ps --format '{{.Names}}' 2>/dev/null | while read -r c; do
  v=$(docker exec "$c" nginx -v 2>&1 | grep -o 'nginx/[0-9.]*' || true)
  [ -n "$v" ] && echo "$c: $v"
done

chmod +x nginx-audit.sh && ./nginx-audit.sh