Claude Code en SSH sur un serveur OVH : réglages sûrs

Peut‑on utiliser Claude Code en SSH sur un serveur OVH ?

Claude Code fonctionne en SSH sur un serveur OVH de type VPS, dédié ou Public Cloud, à condition d’avoir un Linux récent et 4 Go de RAM minimum. Pour limiter les risques, connecte‑toi par clé SSH, avec un utilisateur non root, dans un dossier de travail unique, et interdis les commandes destructrices.

Ce tutoriel prolonge notre guide pour se connecter en SSH sur OVH. Il suppose que la connexion de base fonctionne déjà.

Prérequis

• Un VPS, un serveur dédié ou une instance Public Cloud OVH sous Ubuntu 20.04+, Debian 10+ ou Alpine 3.19+, avec 4 Go de RAM, un processeur x64 ou ARM64 et un accès Internet source : Claude Code Docs, 2026.
• Un abonnement ou une clé API Anthropic pour authentifier Claude Code.
• Un terminal sur ta machine (Terminal, PowerShell ou WSL2).
• Un dépôt Git du projet, pour pouvoir annuler n’importe quelle modification.

Les hébergements mutualisés OVH n’offrent jamais d’accès root en SSH source : OVHcloud, 2026. Leurs ressources rendent l’installation de Claude Code improbable, mais aucune documentation ne la confirme : n’en fais pas ton plan de départ.

Étape 1 : créer un utilisateur dédié, sans root

À la première connexion à un VPS OVH, le compte fourni n’est pas root : OVHcloud crée un utilisateur lié à l’OS, dont le nom figure dans l’e‑mail de livraison source : OVHcloud, 2026. Ce compte sert à l’administration. Crée à côté un utilisateur réservé à Claude Code :

sudo adduser claudeuser
sudo mkdir -p /srv/projet && sudo chown claudeuser:claudeuser /srv/projet

Ne l’ajoute pas au groupe sudo. Les droits Unix de cet utilisateur forment ta vraie barrière : Claude Code ne pourra pas dépasser ce que le système lui autorise.

Étape 2 : se connecter par clé SSH

Une clé SSH est une paire de fichiers dont la partie publique est posée sur le serveur, tandis que la partie privée reste sur ta machine. OVH la présente comme « généralement le meilleur compromis entre sécurité et confort » source : OVHcloud, 2026.

Depuis ta machine :

ssh-keygen -t ed25519
ssh-copy-id claudeuser@IP_DU_VPS
ssh claudeuser@IP_DU_VPS

Protège la clé avec une passphrase. N’écris jamais de mot de passe ni de clé privée dans un prompt : Claude Code n’en a pas besoin. Le guide OVH montre RSA 4096, ed25519 reste notre choix par défaut.

Étape 3 : couper le mot de passe et le root

Teste d’abord la connexion par clé dans un second terminal. Modifie ensuite /etc/ssh/sshd_config avec les paramètres recommandés : PermitRootLogin no, PubkeyAuthentication yes, PasswordAuthentication no et KbdInteractiveAuthentication no source : Stéphane Robert. Recharge le service, puis vérifie qu’une nouvelle session s’ouvre encore. Ne recopie pas UsePAM no sans test : il peut verrouiller des comptes.

Étape 4 : installer et lancer Claude Code depuis le projet

Connecté en claudeuser, jamais en root, lance l’installeur natif recommandé pour Linux source : Claude Code Docs, 2026 :

curl -fsSL https://claude.ai/install.sh | bash
cd /srv/projet
claude

L’installation par npm reste possible avec Node.js 22 ou plus. Lance toujours claude depuis le dossier du projet : c’est ton dossier de travail. Active ensuite /sandbox : le sandbox est une limite au niveau du système d’exploitation sur le système de fichiers et le réseau (macOS, Linux, WSL2) source : Claude Code Docs, 2026.

Étape 5 : interdire des commandes dans settings.json

Les règles se déclarent en trois types : allow autorise sans validation, ask demande confirmation, deny interdit source : Claude Code Docs, 2026. Place ce fichier dans .claude/settings.json :

{
  "permissions": {
    "allow": ["Bash(git status)", "Bash(git diff *)"],
    "ask": ["Bash(git push *)"],
    "deny": [
      "Read(//**/.env)",
      "Read(./secrets/**)",
      "Bash(rm -rf *)",
      "Bash(sudo *)",
      "Bash(git push --force *)"
    ]
  }
}

Les règles deny tiennent dans tous les modes, y compris auto et bypassPermissions source : Claude Code Docs, 2026. Un fichier .claudeignore n’a aucun effet.

Une règle Bash porte sur le texte de la commande écrite par Claude. Elle ne couvre pas le même programme appelé sous une autre forme : c’est un garde‑fou, pas une frontière étanche. Cette liste de commandes à interdire est notre recommandation, pas une liste officielle.

Étape 6 : garder un journal des actions

Aucune source officielle consultée ne détaille un journal d’actions propre à Claude Code. Appuie‑toi sur des outils standards de Linux, en complément :

• journalctl -u ssh et /var/log/auth.log : qui s’est connecté, quand et d’où (sur Debian et Ubuntu).
• script -a ~/session-$(date +%F).log avant de lancer claude : enregistre le contenu du terminal.
• git log et git diff : l’historique exact des modifications du code.
• auditd : suivi fin des accès aux fichiers, pour un usage avancé.

Pièges courants

• Activer bypassPermissions en production. Ce mode désactive les contrôles source : Claude Code Docs, 2026. Réserve‑le à une machine jetable.
• Croire que le sandbox protège le projet. Une commande sandboxée peut encore supprimer le dossier de travail : commit et sauvegarde avant chaque session.
• Laisser le retry hors sandbox. Sans mode strict, une règle allow peut approuver ce retry sans invite.
• Lancer curl | bash en root. Utilise toujours l’utilisateur dédié.
• Couper le mot de passe avant d’avoir testé la clé. Tu risques de t’enfermer dehors.
• Prendre la liste deny pour une sécurité totale. Les droits Unix restent la vraie limite.

Avant d’aller plus loin, relis les bases de Claude Code et la revue de sécurité avec Claude Code.

FAQ

Avant de brancher Claude Code sur un serveur réel, crée l’utilisateur dédié, teste la clé, écris les règles deny et fais un commit. Ces quatre actions prennent moins d’une heure.