# Géré par Ansible (rôle durcissement) — ne pas modifier à la main.
[DEFAULT]
bantime = 1h
findtime = 10m
# 10, pas 5 : nos propres vérifications de durcissement (tentative mot de passe
# refusée, tentative root refusée) comptent comme des échecs. À 5, on s'est
# banni nous-mêmes dès le 2e ou 3e passage du playbook en quelques minutes
# (voir docs/postmortems/2026-10-07-fail2ban-auto-ban.md). 10 reste largement
# suffisant contre un bruteforce réel.
maxretry = 10
backend = systemd
# Le serveur n'a pas iptables installé (seulement nftables) : il faut le dire
# explicitement à fail2ban, sinon son action par défaut échoue.
banaction = nftables-multiport
banaction_allports = nftables-allports

[sshd]
enabled = true