Installer et sécuriser MariaDB sur Debian 12

Préparer la machine

Avant d’installer un service, on vérifie toujours l’identité et la connectivité du serveur. Une erreur à cette étape (mauvais nom, pas de DNS) provoque des problèmes difficiles à diagnostiquer plus tard.

Nom de la machine

hostname        # nom court
hostname -f     # nom complet (FQDN)
cat /etc/hosts

Le fichier /etc/hosts doit associer l’adresse IP du serveur à son nom complet, par exemple :

127.0.0.1       localhost
192.168.10.20   srv-bdd.sio.local   srv-bdd

Réseau et mises à jour

ip -br a                 # adresses IP, format court
ip route                 # passerelle par défaut
ping -c 2 deb.debian.org # résolution DNS + accès Internet
sudo apt update && sudo apt full-upgrade -y

Installer MariaDB

sudo apt install -y mariadb-server
sudo systemctl status mariadb --no-pager

Le service doit être active (running). Vérifiez la version et le port d’écoute :

mariadb --version
sudo ss -tlnp | grep 3306

Sécuriser l’installation

Le script de sécurisation

sudo mariadb-secure-installation

Question posée	Réponse conseillée	Pourquoi
Switch to unix_socket authentication	n (déjà actif sous Debian)	root se connecte via le compte système
Change the root password	n	inutile avec unix_socket
Remove anonymous users	Y	comptes sans mot de passe
Disallow root login remotely	Y	root uniquement en local
Remove test database	Y	base accessible à tous
Reload privilege tables	Y	applique les changements

Limiter l’écoute réseau

Dans /etc/mysql/mariadb.conf.d/50-server.cnf, vérifiez la ligne :

bind-address = 127.0.0.1

Si une application installée sur une autre machine doit se connecter, on remplace par l’IP du serveur et on filtre le port 3306 au pare-feu pour n’autoriser que cette machine.

Créer une base et un utilisateur applicatif

sudo mariadb

CREATE DATABASE gsb CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;
CREATE USER 'gsb_app'@'localhost' IDENTIFIED BY 'Un-Mot-De-Passe-Long-Et-Unique!';
GRANT SELECT, INSERT, UPDATE, DELETE ON gsb.* TO 'gsb_app'@'localhost';
FLUSH PRIVILEGES;
SHOW GRANTS FOR 'gsb_app'@'localhost';