Déployer une application Django sur un VPS

Dans cet article, je vous explique étape par étape comment mettre en production un projet Django sur un serveur privé virtuel (VPS) sur Hostinger.

Un VPS est une solution d'hébergement qui permet une grande flexibilité à vos projets à un coût raisonnable. Il existe plusieurs types d'hébergements :

• L'hébergement mutualisé, peu cher, mais ses ressources (CPU, bande passante, etc.) sont partagées et vous avez peu de contrôle sur l'environnement. Vous pouvez voir cela comme une colocation où tout est partagé

• Le serveur dédié, assez cher, demande beaucoup de gestion, mais c'est comme avoir sa propre maison (voire son propre immeuble)

• Le VPS (notre choix), coût raisonnable, vous avez des ressources dédiées, vous êtes libre de le gérer avec votre OS et de configurer votre environnement. Si un serveur dédié est un immeuble, e VPS, c'est comme avoir son propre appartement

Pour ce guide, nous utiliserons un VPS sur Hostinger. Cependant, les compétences que vous allez acquérir sont universelles, car un VPS reste un VPS, peu importe le fournisseur.

Vous êtes prêt ?

Projet Django et Git/GitHub

Création du projet Django

Commençons par créer notre projet Django avec son environnement virtuel :

Nous allons créer un projet simple, qui va utiliser une base de données MySQL en production et SQLite en développement, ainsi que des fichiers médias et statiques :

• Création d'une application avec un modèle Post qui permet de publier du texte avec un fichier média (penser à l'enregistrer dans admin.py)

• Création d'une vue pour afficher les articles, avec son template associé dans blog/templates/blog/index.html

• Insertion d'un fichier statique dans le template, en l'ajoutant dans l'application blog à l'emplacement suivant : static/blog/logo/logo.png

• Configurer les paramètres pour les fichiers statiques et médias

STATIC_URL = 'static/'
STATIC_ROOT = BASE_DIR / 'staticfiles'


MEDIA_URL = "/media/"
MEDIA_ROOT = BASE_DIR / "mediafiles"

• Configurer le fichier d'URL du projet pour gérer les médias en local et ajouter la vue d'index

from django.contrib import admin
from django.urls import path
from django.conf import settings
from django.conf.urls.static import static
from blog.views import index

urlpatterns = [
    path('admin/', admin.site.urls),
    path('', index, name='index'),
]

if settings.DEBUG:
    urlpatterns += static(settings.MEDIA_URL, document_root=settings.MEDIA_ROOT)

• Utilisation d'un fichier .env pour plus de flexibilité et ne pas inclure dans Git les données sensibles

Pour cette partie, j'utilise django-environ qui permet de récupérer des variables d'environnement. Nous allons créer le fichier .env, y insérer des variables, et les récupérer depuis les paramètres.

Dans la capture d'écran ci-dessus, la clé Django n'est pas sécurisée, pensez à en générer une via le shell :

Nous ajouterons les lignes de code pour utiliser MySQL et des mesures de sécurité plus tard dans le guide.

Il est maintenant temps de faire les migrations :

Testez votre application pour voir si tout fonctionne bien en local.

Il reste une dernière chose à faire avant de versionner notre projet sur GitHub : lister les dépendances en générant le fichier requirements.txt. Ce fichier garantit que nous aurons les mêmes dépendances sur le VPS en les installant toutes en même temps.

Voici la commande pour générer le fichier :

Versionner votre projet avec Git et GitHub

Assurez-vous que Git soit bien installé sur votre système : git --version.

Créons le fichier .gitignore qui permet de spécifier à Git les fichiers et dossiers à ignorer. Par exemple, on ne voudrait pas versionner le fichier .env avec nos clés secrètes et nos mots de passe, et le dossier venv avec notre environnement virtuel qui n'a d'intérêt que localement.

Voici un exemple de fichier .gitignore basique :

Maintenant, il est temps de versionner notre code avec Git et GitHub :

• Créez un dépôt GitHub

Vous pouvez choisir de créer un projet public ou privé, comme vous le souhaitez, dans mon cas, je laisse toutes les options par défaut.

• Ensuite, sur la page suivante vous n'avez plus qu'à copier dans le terminal de votre projet le code donné par GitHub

• Vous n'avez plus qu'à faire un commit de vos fichiers puis un push vers GitHub, si besoin, voici un bref rappel des commandes de base :

Personnellement, j'utilise l'interface graphique de VS Code pour mon cas 😊.

• Une fois cela fait, vous pourrez voir votre projet sur GitHub

Déployer sur un VPS

Acheter un VPS

Créez-vous un compte sur Hostinger, puis cliquez sur VPS dans le panel :

Ensuite, vous pouvez suivre la procédure (voir les captures d'écran ci-dessous) :

• Choisir un serveur KVM

• Choisir la localisation du serveur (dans mon cas, la France)

• Choisir l'OS (pour ce guide, je vais opter pour Ubuntu, la dernière version LTS)

• Créer le mot de passe (ignorez l'option de clé SSH)

• Cliquer sur suivant. Le scanner de logiciels est gratuit

• Choisir la formule KVM1

• Passer à la caisse

Après toutes ces étapes, il suffit de patienter quelques minutes et le VPS est créé.

Après toutes ces étapes, votre VPS est disponible depuis votre panel (ne faites pas attention, pour ma part j'ai deux KVM2) :

Cliquez sur Gérer pour afficher les informations de votre VPS :

Pour ce guide, nous allons nous concentrer sur deux éléments principaux :

• L'adresse IP (1)

• Le bouton pour accéder au terminal (2)

En cliquant sur Terminal du navigateur, vous êtes directement connecté en tant que l'utilisateur root :

Mettre à jour et installer les éléments essentiels sur le VPS

Une fois dans le terminal du VPS, mettons-le à jour :

Il faut ensuite installer tous les outils nécessaires :

Créer un utilisateur administrateur

À ce stade nous allons créer un utilisateur avec les droits sudo (super utilisateur), ce qui est plus sécurisé que de tout faire avec l'utilisateur root.

Voici la procédure à suivre :

• Ajouter l'utilisateur avec adduser tonnom (1)

• Choisir un mot de passe (2)

• Vous pouvez renseigner vos informations ... ou non (3)

• Acceptez (4)

• Donnez les droits sudo à l'utilisateur avec usermod -aG sudo tonnom (5)

Donner les droits sur le répertoire et cloner le projet

Maintenant, en tant que root, donnons les droits à l'utilisateur que nous venons de créer (pour ma part je l'ai appelé gabriel) :

Nous devons mettre en place le code de notre application. La première étape consiste à configurer les permissions du répertoire /var/www/ avec la commande chown, afin que votre utilisateur (gabriel) puisse y écrire et que le groupe du serveur web (www-data) puisse y lire. Par mesure de sécurité, basculez ensuite sur votre utilisateur non-privilégié avec su - gabriel. Une fois dans le bon répertoire (cd /var/www/), clonez votre projet depuis votre dépôt Git. Un rapide ls -la vous permettra de vérifier que le code source est bien en place avant de passer à la suite.

Le projet est cloné, mais il appartient uniquement à vous. Le problème est que le serveur nginx tourne sous l'utilisateur www-data. Changeons le groupe propriétaire :

Pourquoi utiliser sudo ?
L'action de changer le groupe propriétaire pour un groupe système comme www-data nécessite d'être administrateur. Utiliser sudo, c'est comme mettre notre casquette d'administrateur 🧢.

Désactiver la connexion directe de root

Une fois que notre utilisateur est créé, et qu'il fonctionne avec les droits sudo, nous allons interdire la connexion SSH à l'utilisateur root.

Éditons le fichier de configuration SSH :

• sudo nano /etc/ssh/sshd_config

• Défilez tout en bas avec la flèche du bas pour modifier la ligne : PermitRootLogin yes en PermitRootLogin no puis ctrl + x, y et Entrée

• Redémarrez le service ssh : sudo systemctl restart ssh

Utiliser la connexion ssh

Maintenant, utilisons une méthode de travail standard : la connexion ssh.

Commençons par créer une clé ssh sur votre ordinateur

ssh-keygen c'est l'outil de création, et l’algorithme utilisé est géré par ed. L'adresse mail sert d'étiquette. Appuyez sur Entrée pour l'emplacement par défaut, et créez un mot de passe pour plus de sécurité.

Voir la clé publique
Vous pouvez visualiser la clé publique avec la commande :

Coller la clé sur le vps

• Retournez sur votre vps, connectez-vous avec votre utilisateur (pas en root !), et faites mkdir -p ~/.ssh pour créer le dossier .ssh s'il n'existe pas

• Ouvrez le fichier nano ~/.ssh/authorized_keys et copiez l'intégralité de votre clé publique (adresse mail comprise). ctrl + x et y puis Entrée pour sauvegarder

• Lancez ces deux commandes : chmod 700 ~/.ssh et chmod 600 ~/.ssh/authorized_keys.

Ces deux dernières commandes appliquent des permissions restrictives pour protéger les clés SSH. Même si je suis le seul utilisateur humain du serveur, de nombreux processus système tournent avec leurs propres comptes utilisateurs. De plus, SSH lui-même pourrait refuser de fonctionner si les permissions ne sont pas suffisamment restrictives, c'est un mécanisme de sécurité intégré et une bonne pratique.

Se connecter via ssh
Vous pouvez maintenant fermer le terminal du navigateur et utiliser votre terminal pour vous connecter via SSH :

• Ouvrez un terminal sur votre ordinateur

• Puis exécutez ssh monutilisateur@adresseip, pour ma part : ssh [email protected] (voir les captures ci-dessous)

• Si vous avez créé un mot de passe au moment de la création de la clé ssh, celui-ci vous sera demandé

Nous allons pouvoir entrer dans le vif du sujet, et faire tourner notre projet Django !

Installation et configuration de MySQL

Installation et configuration

Une fois connecté en ssh sur votre terminal avec votre utilisateur, installez MySQL :

Une fois installé, exécutez la commande :

Le script va vous poser une série de questions :

1. Le script vous demande d'activer ou non un composant qui force la création de mots de passe pour les utilisateurs MySQL
   y est une bonne pratique pour empêcher de créer un utilisateur de base de données avec un mot de passe faible. Même s'il n'y a que vous sur le VPS, c'est une bonne pratique.

2. Le niveau de politique du mot de passe
   2 (fort) est le meilleur choix, ça va de soi.

3. Supprimer les utilisateurs anonymes
   y pour supprimer l'utilisateur anonyme, important pour éviter les attaques.

4. Interdire la connexion root à distance
   Dans la capture d'écran ci-dessous, j'ai mis n par erreur, mais mettez y (j'ai recommencé la configuration de mon côté). On n'a pas besoin de se connecter à la base de données en tant que root depuis l'extérieur.

1. Supprimer la base de données de test
   y, tout comme l'utilisateur anonyme, elle n'a pas sa place en production

2. Recharger les tables de privilèges maintenant
   y pour appliquer les règles de sécurité maintenant

1. Maintenant connectons-nous à MySQL : sudo mysql. Nous sommes directement connectés, et aucun mot de passe n'a été demandé

2. Attribuons un mot de passe à notre utilisateur root : ALTER USER 'root'@'localhost' IDENTIFIED WITH mysql_native_password BY 'MonMotDePasse';

3. Appliquons les changements : FLUSH PRIVILEGES;

4. Quittons MySQL avec exit;

5. Essayons de se connecter comme avant : sudo mysql. Ce qui ne fonctionne plus

6. Connectez-vous avec sudo mysql -u root -p

7. Renseignez votre mot de passe

Création de la base de données

Une fois MySQL lancé, lancez cette commande pour créer la base de données : CREATE DATABASE docvps CHARACTER SET utf8mb4 COLLATE utf8mb4_unicode_ci;

• docvps correspond au nom de la base de données

• CHARACTER SET et COLLATE permettent de dire à la base qu'elle peut stocker tous les types de caractères (accents, symboles, emojis...). C'est l'option qui est normalement par défaut mais ça ne coûte rien d'être explicite 😊

Ensuite, vous pouvez exécuter la commande SHOW DATABASES; pour voir s'afficher votre nouvelle base de données.

Maintenant, créons un utilisateur que Django utilisera. Appelons-le docvps_user :

L'utilisateur est créé, mais il n'a aucun droit. Attribuons-lui les droits de gérer notre nouvelle base de données :

Pourquoi docvps.* ? On spécifie le nom de la base, puis après le . le nom de la table. Comme je veux donner les droits à l'utilisateur de gérer toutes les tables, on utilise *.

Il n'y a plus qu'à recharger les tables de privilèges, et nous pouvons quitter MySQL :

• FLUSH PRIVILEGES;

• EXIT;

Notre base de données est fin prête !

Finaliser le projet Django

Il est temps de finaliser le projet Django. En production, nous utilisons toujours DEBUG=False. En sachant cela, modifions la partie base de données de notre fichier settings.py :

De cette manière, en développement, nous utiliserons une base SQlite, et en production la base MySQL.

Enfin, générez le fichier qui liste vos dépendances si ce n'est pas encore fait :

Il est maintenant temps de faire un commit de nos changements et de faire un push vers GitHub :

Retour sur le VPS

Mettre à jour le projet Django

De retour sur le VPS, rendez-vous dans le dossier du projet Django :

Exécutez la commande git pull pour récupérer les changements sur le VPS afin d'intégrer la configuration pour la base de données. Il faut aussi penser à créer le fichier .env tout comme on l'a fait en développement, avec les configurations de production.

Tout d'abord, générez une clé secrète sécurisée pour Django depuis le shell si ça n'a pas été fait avant :

Ensuite, dans le dossier du projet Django, au même niveau que manage.py, nous allons créer le .env : nano .env.

Pour la SECRET_KEY, j'utilise la clé générée précédemment, DEBUG est bien à False, je laisse ALLOWED_HOSTS vide pour le moment, et j'ai renseigné le mot de passe pour l'utilisateur de la base de données.

ALLOWED_HOSTS est vide pour le moment, car nous allons acheter un nom de domaine 😎 ! En effet, on va faire les choses bien : nom de domaine, et sécurité SSL.

Le but est d'avoir une mise en production complète :

• Base de données solide

• Nom de domaine

• HTTPS

Allons acheter notre nom de domaine.

Acheter un nom de domaine

De retour sur votre panel Hostinger, allez dans Noms de domaine et Ajouter un nom de domaine.

Vous pouvez rechercher un nom de domaine disponible. Pour ma part, je tape pythonworkshop, vous pouvez mettre ce que vous voulez tant que c'est disponible. Pour vous entraîner, prenez l'extension la moins chère si vous le souhaitez.

Une fois l'achat terminé, il faut attendre une minute afin que le processus d'enregistrement se termine. Cliquez ensuite sur DNS/Serveurs de noms.

Tout en bas de la page, allez effacer la dernière ligne comme sur la capture ci-dessous :

Maintenant, revenez un peu plus haut pour ajouter l'adresse IP du VPS :

Nous en avons terminé avec le nom de domaine. Facile non ?

Revenons sur notre VPS pour finaliser la configuration et enfin voir notre application Django fonctionner !

Finaliser le .env

nano .env dans le dossier du projet Django, et ajoutez le domaine à ALLOWED_HOSTS.

Sécurisons le fichier pour que seul votre utilisateur puisse le lire et écrire : chmod 600 .env.

Installer les dépendances

Tout d'abord, il faut créer un environnement virtuel sur le VPS à la racine de votre projet : python3 -m venv venv.
Activez-le avec la commande source venv/bin/activate et installez les dépendances depuis le fichier requirements.txt :

Pour l'environnement de production, il reste deux dépendances supplémentaires à installer :

gunicorn est le serveur d'application et mysqlclient le connecteur qui permet à Django de communiquer avec la base MySQL.

Configuration de Gunicorn

Comme expliqué précédemment, Gunicorn est le serveur d'application. Nous allons devoir créer deux fichiers :

• Un fichier gunicorn.service qui définit comment lancer notre application

• Un fichier gunicorn.socket qui servira de canal de communication entre Gunicorn et Nginx

gunicorn.service

Pour créer le fichier au bon emplacement, lancez la commande :

Pour ma part, voici à quoi il ressemble :

Ce fichier explique à Linux comment gérer Gunicorn :

• Description=Gunicorn service for docvps project, une description simple

• Requires=gunicorn.socket, précise que ce fichier a besoin du fichier gunicorn.socket

• After=network.target, une sécurité banale pour que le service ne démarre qu'après que le réseau du serveur soit entièrement fonctionnel

• User=gabriel, le processus gunicorn sera lancé par l'utilisateur gabriel, ce qui est obligatoire pour lire les fichiers du projet

• Group=www-data, Nginx en aura besoin pour accéder aux fichiers (car Nginx est dans le groupe www-data)

• WorkingDirectory=/var/www/docvps, spécifie le dossier de notre projet

• ExecStart=/var/www/docvps/venv/bin/gunicorn, le chemin complet vers l'exécutable gunicorn qui est dans notre environnement virtuel

  • --workers 3 le nombre de processus Gunicorn à lancer, la règle générale c'est (2 * nombre de cœurs CPU) + 1

  • --access-logfile - et --error-logfile - indiquent à gunicorn où écrire ses logs, tous les logs seront consultables dans sudo journalctl -u gunicorn.service

  • --bind unix:/run/gunicorn.sock, crée une écoute sur le fichier socket Unix /run/gunicorn.sock

  • project.wsgi:application, utilise le fichier wsgi.py

• WantedBy=multi-user.target, permet de lancer le service automatiquement à chaque démarrage du serveur

gunicorn.socket

Ce fichier, plus simple, sert à créer le point d'écoute. Créons-le :

• Description=gunicorn socket for docvps project, une description simple

• ListenStream=/run/gunicorn.sock, écoute les connexions qui arrivent à cet endroit

• WantedBy=sockets.target, active le socket au démarrage du serveur

Nous pouvons maintenant configurer Nginx.

Nginx

Nginx est en première ligne et reçoit toutes les requêtes. C'est aussi lui qui sera chargé de servir les fichiers statiques. Créons-le fichier :

• Le premier bloc sert uniquement à rediriger vers la version sans le www

• Le bloc serveur principal (dans le bloc 2) gère le trafic pour pythonworkshop.fr

• Ensuite, il faut spécifier les chemins vers les dossiers mediafiles et staticfiles

• On spécifie à la fin le chemin vers le socket

Activer les services

Maintenant, il est temps d'activer les services gunicorn et nginx :

Pour finir, activez le service Gunicorn via systemd. Rechargez la configuration avec sudo systemctl daemon-reload, puis démarrez et activez le socket avec sudo systemctl start gunicorn.socket et sudo systemctl enable gunicorn.socket pour le rendre opérationnel immédiatement et à chaque redémarrage du serveur

Pour gunicorn, tout est en ordre :

Pour nginx :

Pour finaliser la configuration du serveur web, activez votre site Nginx avec sudo ln -s. Validez la syntaxe de vos fichiers avec sudo nginx -t, et si tout est bon, redémarrez Nginx avec sudo systemctl restart nginx.

Activez votre environnement virtuel et exécutez la commande :

Ensuite, exécutez les migrations :

Tout fonctionne, créons un super utilisateur :

Lorsque je me rend sur le site (en http pour le moment), j'ai bien mon image statique :

Allons écrire un article via l'administration. Pour ma part, l'adresse est la suivante : http://pythonworkshop.fr/admin/.

Tout fonctionne comme prévu :

Activer les sécurités SSL/TLS avec Certbot et Django

Pour le moment, nous accédons à notre application via HTTP, mais ce que l'on veut c'est impérativement du HTTPS.

Ajoutons quelques sécurités pour la production. D'ailleurs, si vous faites cette commande : python manage.py check --deploy, vous aurez quelques avertissements 😅.

Pour la production, il faut donc ajouter ces lignes dans le fichier de settings :

Nous allons de nouveau faire un commit pour cette modification, pousser les changements sur GitHub, et sur notre VPS exécuter git pull :

Maintenant, installons et activons Certbot pour notre application. Désactivez votre environnement virtuel si ce n'est pas déjà fait.

Nous allons suivre cette partie de la documentation sur Hostinger : https://www.hostinger.com/fr/support/6865487-comment-installer-un-certificat-ssl-sur-un-vps-a-l-aide-de-certbot-chez-hostinger/.

Voici la liste des commandes :

• Entrez votre adresse email

• Acceptez les conditions

• Partagez (ou pas) votre adresse email

• Appuyez sur Entrée en laissant blanc afin de demander votre certificat SSL pour votre domaine

Le certificat SSL est active pendant 90 jours, mais vous pouvez le renouveller automatiquement avec cette commande :

Maintenant, si je retourne sur mon site http://pythonworkshop.fr/, automatiquement je suis redirigé vers la version sécurisé https://pythonworkshop.fr/.

Sécuriser le VPS avec un Pare-feu

Pour davantage de sécurité, activons le pare-feu UFW qui est déjà installé sur le VPS :

Pour sécuriser le serveur avec UFW, on établit d'abord une politique par défaut : on bloque tout ce qui tente d'entrer (deny incoming) et on laisse sortir ce qui doit sortir (allow outgoing). Puis, on crée des exceptions pour les services nécessaires (allow ssh, allow 'Nginx Full'). Un sudo ufw enable finalise et active la protection.

Vous pouvez ensuite vérifier le statut de votre pare-feu :

Bonne nouvelle, vous avez terminé ! 🧑‍💻😎