Niveau đą dĂ©butant
Durée estimée : 20 min · Prérequis : La ligne de commande
rwxr-xr-x)sudo correctement, et éviter le piÚge NOPASSWDUn systÚme Linux multi-utilisateurs, c'est un immeuble à appartements. Chacun a sa propre clé
(son compte), son propre appartement (son dossier personnel), et l'accĂšs Ă certaines piĂšces
communes selon les clubs auxquels il appartient (les groupes). Le gardien de l'immeuble (root)
a un passe universel â mais on ne lui demande d'intervenir qu'au cas par cas, jamais en lui
laissant un double de son passe sous le paillasson de chacun.
Linux est un systĂšme multi-utilisateurs dĂšs sa conception : plusieurs comptes peuvent
coexister, chacun avec ses propres fichiers et droits, isolés les uns des autres par le noyau.
root est le super-utilisateur : il peut tout faire, sans restriction â lire, modifier,
supprimer n'importe quel fichier, arrĂȘter n'importe quel processus. PrĂ©cisĂ©ment pour cette
raison, on Ă©vite de travailler directement en tant que root au quotidien : une erreur de
frappe a un potentiel de dégùt maximal. La pratique courante est d'avoir un compte utilisateur
normal, et de demander ponctuellement les droits root via sudo â commande par commande,
pas en session permanente.
Les groupes rassemblent des utilisateurs pour leur accorder collectivement des droits â par
exemple, le groupe docker donne le droit d'utiliser Docker sans passer par sudo Ă chaque
commande, sudo (le groupe, homonyme de la commande) donne le droit d'utiliser la commande
sudo elle-mĂȘme.
Les permissions d'un fichier se lisent en trois blocs de trois caractĂšres :
-rwxr-xr-x
ââŹâââŹâââŹâ
â â âââ autres utilisateurs : r-x (lecture, exĂ©cution)
â ââââââ groupe propriĂ©taire : r-x (lecture, exĂ©cution)
âââââââââ propriĂ©taire : rwx (lecture, Ă©criture, exĂ©cution)
r (read), w (write), x (execute) â prĂ©sent ou remplacĂ© par - si absent. Un fichier peut
donc avoir des droits différents pour son propriétaire, son groupe, et tout le reste du monde.
sudo (substitute user, do / superuser do) permet à un utilisateur autorisé d'exécuter
une commande précise avec les droits de root, aprÚs avoir retapé son propre mot de passe.
Ce mot de passe redemandĂ© est une protection dĂ©libĂ©rĂ©e : mĂȘme si une session est laissĂ©e
ouverte, ou qu'un script malveillant s'exécute avec le compte utilisateur, il ne peut pas agir
en root sans cette confirmation.
â ïž Le piĂšge
NOPASSWD. Le fichier/etc/sudoerspermet de configurersudopour qu'il
n'exige plus ce mot de passe (optionNOPASSWD). SĂ©duisant pour gagner du temps â en
particulier en administration Ă distance par script â mais cela revient Ă donner un accĂšs
rootcomplet et immédiat à quiconque contrÎle ce compte, sans confirmation possible. Sur
une machine accessible en SSH par clé (page suivante), ça veut dire que la clé SSH seule
suffit alors à devenir root, sans étape intermédiaire. Le choix par défaut, et celui retenu
sur notre exemple, est de ne jamais configurerNOPASSWD: chaquesudose tape
manuellement, en session interactive, avec confirmation par mot de passe Ă chaque fois.
L'utilisateur normal n'a jamais les droits de root en permanence â il y accĂšde ponctuellement,
commande par commande, via sudo, avec confirmation par mot de passe Ă chaque fois (sauf
configuration NOPASSWD, déconseillée).
whoami
# Affiche l'utilisateur courant
groups
# Liste les groupes dont l'utilisateur courant est membre
ls -la /etc/docker
# -rw-r----- 1 root docker ... : lecture/Ă©criture pour root,
# lecture seule pour le groupe docker, rien pour le reste
sudo apt update
# Exécute "apt update" avec les droits root -- redemande le mot de passe
# de l'utilisateur courant (pas celui de root) la premiĂšre fois, puis le
# retient quelques minutes
sudo cat /etc/sudoers | grep NOPASSWD
# VĂ©rifie qu'aucune rĂšgle NOPASSWD n'est active -- ne doit rien retourner
whoami && groups && sudo -v
sudo -v (validate) redemande le mot de passe sans exĂ©cuter de commande â juste pour
confirmer que le compte a bien le droit d'utiliser sudo.
| SymptĂŽme | Cause probable | Solution |
|---|---|---|
Travailler connecté en root en permanence |
SimplicitĂ© apparente, habitude d'un OS mono-utilisateur | Utiliser un compte normal + sudo au cas par cas â limite le dĂ©gĂąt d'une erreur de frappe |
Configurer NOPASSWD « pour aller plus vite » |
Gain de confort en administration Ă distance/scriptĂ©e | Ne jamais l'activer sur un compte accessible en SSH par clĂ© â la clĂ© seule deviendrait Ă©quivalente Ă root |
Permission denied sur un fichier qu'on croit pouvoir modifier |
Mauvaise lecture des permissions (rwxr-xr-x) |
Vérifier avec ls -la qui est propriétaire, quel groupe, et ce que chaque bloc autorise |
root a tous les droits, on ne travaille pas connecté ensudo accorde les droits root commande par commande, avec confirmation par mot de passe.NOPASSWD est un piÚge de confort : il transforme n'importe quel accÚs au compte (y comprisParce que root a tous les droits sans restriction : une erreur de frappe ou une commande mal
comprise a un potentiel de dégùt maximal, sans garde-fou.
Le propriétaire a lecture/écriture/exécution (rwx), le groupe propriétaire et les autres
utilisateurs ont seulement lecture/exécution (r-x), sans droit d'écriture.
Parce qu'il supprime la confirmation par mot de passe avant tout sudo : la seule clé SSH
suffirait alors à obtenir un accÚs root complet, sans étape intermédiaire de vérification.
Sur une machine Linux à disposition, exécute ls -la sur ton dossier personnel et choisis un
fichier. Décompose sa ligne de permissions en trois blocs (propriétaire, groupe, autres) et
explique, en une phrase, ce que chaque bloc autorise.
root ·
sudo ·
permissions ·
groupe (Linux)
Cette formation est proposĂ©e par Deladev, studio web de LoĂŻc D. â crĂ©ation de sites et d'applications, accompagnement et formation sur mesure.
Les projets réalisés · Prestations et tarifs · Le blog tech · Me contacter
Ăcrite par LoĂŻc D. avec l'assistance de Claude (Anthropic) â un travail Ă deux.
© 2026 Deladev â publiĂ©e sous licence CC BY-NC-ND 4.0. Vous pouvez la lire, y renvoyer par un lien, la partager et la citer en crĂ©ditant la source. La revendre, l'utiliser dans une prestation ou une formation payante, la republier mĂȘme partiellement ailleurs, en diffuser une version modifiĂ©e ou l'exploiter pour entraĂźner un modĂšle d'IA nĂ©cessitent une autorisation Ă©crite â pour un usage interne en entreprise, c'est souvent oui, il suffit de demander.