Portainerest souvent déployé rapidement à l'aide des scripts d'installation standards. Une fois l'outil opérationnel, de nombreux utilisateurs souhaitent le rendre accessible depuis Internet, généralement de deux façons :
- en redirigeant les ports
9000(HTTP) ou9443(HTTPS) d'une IP publique vers l'hôte Portainer ; - en déployant un reverse proxy et en exposant Portainer via un sous-domaine.
Portainerpossède un contrôle quasi total (niveau root) sur votre infrastructure de conteneurs. L'exposer sur Internet doit se faire avec prudence et des mesures de sécurité adaptées.
Ce guide présente les étapes recommandées pour exposer Portainerà l'extérieur en toute sécurité.
1.Privilégier un VPN plutôt qu'une exposition directe
Avant d'exposer Portainer publiquement, demandez-vous d'abord si un accès externe est réellement nécessaire.
Une approche basée sur un VPN permet aux administrateurs d'accéder à Portainerde façon sécurisée, sans exposer le service à Internet. Cette méthode réduit considérablement la surface d'attaque et constitue généralement l'approche à privilégier pour les environnements de production.
Si vous décidez malgré tout d'exposer Portainerpubliquement, les bonnes pratiques suivantes sont fortement recommandées.
2.Sécuriser le compte administrateur
Le compte administrateur créé lors du déploiement initial est le compte le plus privilégié de Portainer. S'il est compromis, un attaquant pourrait obtenir un contrôle total de votre infrastructure de conteneurs.
Assurez-vous que le mot de passe administrateur :
- est long et complexe ;
- ne contient aucun mot du dictionnaire ;
- est stocké de manière sécurisée dans un gestionnaire de mots de passe.
Si le mot de passe actuel ne respecte pas ces critères, changez-le immédiatement.
3.Configurer une authentification externe
Lorsque Portainerest exposé sur Internet, l'authentification doit être gérée par un fournisseur d'identité externe sécurisé, plutôt que par le système d'authentification interne de Portainer.
Les méthodes d'authentification prises en charge incluent :
- LDAP
- OAuth (recommandé lorsque la MFA/2FA est requise)
Consultez la documentation officielle pour la configuration LDAP et la configuration OAuth. Si vous êtes client de Portainer Business Edition, le support Portainer peut vous accompagner.
4.Éviter l'authentification interne pour un accès public
Le système d'authentification interne de Portainerest conçu pour des environnements de démonstration ou hors production.
Si Portainerest accessible depuis Internet et que l'authentification interne est utilisée, chaque utilisateur doit disposer d'un mot de passe fort, sans mot du dictionnaire — les mots de passe faibles peuvent finir par être compromis via des tentatives de force brute.
Portainerintègre une limitation du taux de connexion (rate limiting) pour réduire les attaques par force brute, mais des mots de passe robustes restent indispensables.
5.Utiliser exclusivement HTTPS
Portainerprend en charge nativement HTTPS depuis 2021. Configuration recommandée :
✔ HTTPS sur le port 9443
✘ Port 9000 (HTTP) non exposé
Si votre déploiement utilise encore le port 9000, mettez à jour Portainer vers une version plus récente et basculez vers HTTPS. Exécutez toujours la dernière version disponible afin de bénéficier des correctifs de sécurité les plus récents.
6. Restreindre l'accès réseau
Si Portainerest accessible depuis Internet, des restrictions de pare-feu doivent systématiquement être appliquées :
- autoriser l'accès uniquement depuis des adresses IP de confiance ;
- utiliser des règles de pare-feu (ACL) pour restreindre l'accès entrant ;
- envisager un géoblocagedes régions où l'accès n'est pas nécessaire.
Évitez d'autoriser un accès non restreint tel que 0.0.0.0/0 : cette configuration expose Portaineraux scans automatisés et aux attaques par force brute.
7.Vérifier la configuration du stockage persistant
Portainer stocke ses données de configuration sur un volume persistant. Si vous exécutez Portainerdans un environnement en cluster, assurez-vous que le volume :
- est partagé entre les nœuds ;
- reste accessible si Portainerest réordonnancé sur un autre nœud.
Si le volume persistant est indisponible lors d'un redémarrage, Portainerpeut démarrer dans un état non configuré, ce qui peut introduire des risques de sécurité.
Résumé
Pour sécuriser Portaineravant de l'exposer sur Internet, retenez ces bonnes pratiques essentielles :
- Privilégiez un accès via VPN plutôt qu'une exposition publique
- Utilisez un mot de passe administrateur fort
- Configurez une authentification LDAPou OAuth( recommandé lorsque la MFA/2FAest requise )
- Évitez de vous appuyer sur l'authentification interne
- Utilisez HTTPS( sur le port 9443 par exemple)
- Restreignez l'accès via des règles de pare-feu
- Vérifiez que le stockage persistant est correctement configuré
Ces précautions réduisent considérablement le risque d'accès non autorisé et contribuent à protéger votre infrastructure de conteneurs.
Pour plus d'informations, consultez la documentation officielle de Portainer.