Bonnes pratiques de sécurité avant l'installation
Avant d'installer Hermes Agent sur un VPS, adoptez les bonnes pratiques de sécurité fondamentales pour un serveur exposé à Internet. Travaillez avec un utilisateur non-root dédié plutôt qu'avec le compte root : cela limite la surface d'attaque en cas de compromission d'un composant. Configurez l'authentification par clés SSH plutôt que par mot de passe pour sécuriser l'accès au serveur.
Appliquez le principe du moindre privilège : l'utilisateur qui fait tourner Hermes Agent ne doit avoir accès qu'aux ressources strictement nécessaires. Planifiez une stratégie de sauvegarde pour votre configuration Hermes, notamment le fichier `~/.hermes/config.yaml` et le fichier de variables d'environnement. Ces fichiers contiennent des informations de configuration importantes et doivent être sauvegardés régulièrement dans un emplacement sécurisé.
- Utiliser un utilisateur non-root dédié
- Authentification SSH par clés, pas par mot de passe
- Principe du moindre privilège pour l'utilisateur Hermes
- Sauvegarder régulièrement `~/.hermes/config.yaml`
- Sauvegarder le fichier d'environnement (`hermes config env-path`)
Connexion SSH et préparation du serveur
Connectez-vous à votre VPS via SSH avec votre utilisateur non-root. Avant de lancer l'installation, vérifiez que le serveur dispose d'une connexion Internet active et que Python 3.9 ou supérieur est disponible avec `python3 --version`. Sur la plupart des distributions Linux serveur récentes, Python 3 est présent ou facilement installable via le gestionnaire de paquets de la distribution.
Assurez-vous que curl est disponible sur le serveur. Sur les distributions minimalistes, il peut être nécessaire de l'installer via le gestionnaire de paquets avant de procéder. Vérifiez également que les connexions HTTPS sortantes sont autorisées par les règles de pare-feu du serveur, car l'installateur et Hermes Agent ont besoin d'accéder aux fournisseurs de modèles via HTTPS.
- Connexion SSH avec utilisateur non-root
- Vérifier Python 3.9+ : `python3 --version`
- Vérifier curl disponible sur le serveur
- Connexions HTTPS sortantes autorisées par le pare-feu
Installation via l'installateur officiel
Depuis votre session SSH, lancez l'installateur officiel : `curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash`. L'installation se déroule dans le répertoire personnel de l'utilisateur courant, sans nécessiter de droits root. Suivez les messages affichés pour confirmer que chaque étape s'est bien déroulée.
Après l'installation, rechargez votre profil shell avec `source ~/.bashrc` ou `source ~/.zshrc` selon votre shell, puis vérifiez que la commande est disponible avec `which hermes`. Lancez ensuite `hermes setup` pour configurer le fournisseur de modèle et les paramètres de base. Sur un VPS, cette étape est identique à une installation locale.
- `curl -fsSL https://hermes-agent.nousresearch.com/install.sh | bash`
- Recharger le shell après installation
- Vérifier : `which hermes`
- `hermes setup` pour la configuration initiale
Gérer les secrets et les clés API
Sur un VPS, la gestion des secrets est particulièrement importante. Stockez vos clés API dans le fichier d'environnement dédié d'Hermes, dont vous pouvez trouver l'emplacement avec `hermes config env-path`. Ce fichier est distinct du fichier de configuration principal et est conçu pour contenir des informations sensibles. Assurez-vous que ses permissions sont restrictives : seul l'utilisateur propriétaire doit pouvoir le lire.
N'intégrez jamais de clés API directement dans des scripts, des fichiers de configuration versionnés ou des variables d'environnement système accessibles à d'autres utilisateurs. Si vous utilisez un système de gestion de secrets externe, consultez la documentation officielle sur https://hermes-agent.nousresearch.com/docs pour les méthodes d'intégration supportées. Renouvelez régulièrement vos clés API et révoquez immédiatement celles qui pourraient avoir été exposées.
- Stocker les clés API dans le fichier d'environnement Hermes
- Localiser avec `hermes config env-path`
- Permissions restrictives sur le fichier de secrets
- Ne jamais versionner les clés API
- Renouveler les clés régulièrement
Utiliser le gateway officiel si nécessaire
Le gateway Hermes est une passerelle destinée à l'intégration avec des plateformes de messagerie. Si votre cas d'usage sur le VPS implique ce type d'intégration, vous pouvez le configurer avec `hermes gateway setup`, l'installer avec `hermes gateway install`, puis le démarrer avec `hermes gateway start`. Les commandes `hermes gateway stop`, `hermes gateway status` permettent de gérer son cycle de vie.
Si votre usage du VPS ne nécessite pas d'intégration avec des plateformes de messagerie, le gateway n'est pas nécessaire. N'installez pas de composants supplémentaires sans raison fonctionnelle claire : chaque composant actif représente une surface d'attaque potentielle supplémentaire. Consultez la documentation officielle pour comprendre précisément le rôle du gateway avant de décider de l'activer.
- `hermes gateway setup` — configuration du gateway
- `hermes gateway install` — installation
- `hermes gateway start` / `stop` — démarrage et arrêt
- `hermes gateway status` — état du gateway
- N'activer le gateway que si l'intégration messagerie est nécessaire
Vérification et maintenance sur VPS
Lancez `hermes doctor` pour vérifier l'état complet de l'installation sur votre VPS. Cette commande est particulièrement utile sur un serveur pour s'assurer que tous les composants fonctionnent correctement dans l'environnement de production. Consultez les logs dans `~/.hermes/logs/` pour surveiller le comportement de l'agent et détecter d'éventuelles anomalies.
Pour les mises à jour, utilisez `hermes update` depuis votre session SSH. Planifiez les mises à jour pendant des fenêtres de maintenance pour minimiser les interruptions. Après chaque mise à jour, relancez `hermes doctor` pour confirmer que l'environnement est cohérent. Maintenez également des sauvegardes à jour de votre configuration pour pouvoir restaurer rapidement en cas de problème.
- `hermes doctor` — vérification en production
- Surveiller `~/.hermes/logs/` régulièrement
- `hermes update` pour les mises à jour
- Sauvegarder la configuration avant chaque mise à jour
- Planifier les mises à jour en fenêtre de maintenance
Sources et méthode
Cette page est une synthèse éditoriale indépendante. Les capacités et commandes doivent être vérifiées dans les sources officielles avant une utilisation en production.