Hébergement des agents

Où faire tourner un agent IA actif en permanence : taille du serveur, Hetzner, Azure, AWS, Google Cloud et crédits pour associations en octobre 2026, verrouillage du serveur avec Tailscale et UFW, Slack Socket Mode, et comment éviter la facture d’API qui a surpris un chalia’h.

Sur cette page

Quelle taille de serveur
Où le faire tourner
Verrouiller le serveur
Slack sans ouvrir de port
Payer le modèle
Jeton d’abonnement ou facturation à l’API
Le piège Bedrock
Basculer entre fournisseurs
Passer à un nouveau serveur
À lire aussi

Un agent auto-hébergé comme GabAI, NanoClaw ou Hermes Agent doit tourner quelque part où rien ne s’éteint. Pour la plupart des chlou’him, cela veut dire un petit serveur Linux loué dans le cloud, appelé VM ou VPS. Cette page rassemble ce que le groupe GabAI a appris pour en choisir un, le payer et le garder en sécurité. Les prix ont été vérifiés le 2026-10-21 et changent souvent.

Quelle taille de serveur

Recommandé : 2 vCPU, 8 Go de RAM, 80 Go de disque ou plus, Ubuntu 22.04 ou 24.04. C’est ce que font tourner les administrateurs du groupe, et ce qu’ils recommandent.
Minimum : l’installateur de NanoClaw demande 4 Go de RAM et avertit en dessous d’environ 3 700 Mo (documentation d’installation). Le e2-micro toujours gratuit de Google est trop petit.
Signe d’un serveur trop petit : le terminal se fige et les agents ne répondent plus. Vérifiez avec free -h. La plupart des hébergeurs permettent de redimensionner sur place en gardant la même adresse.

Où le faire tourner

Option	Ce que cela coûte	Remarques
Microsoft Azure avec la subvention pour associations	$0, jusqu’à $2,000, de crédit Azure par an pour les associations éligibles (Microsoft)	Le choix le plus courant parmi les gros utilisateurs en 2026. Des membres ont utilisé une Standard_B2ms (2 vCPU, 8 Go), qu’ils estiment à environ $60, par mois, plus environ $20, pour un disque premium de 150 Go, de sorte que la subvention couvre le tout. Certains chlou’him ont été acceptés, d’autres refusés. Les crédits ont mis un jour ou deux à apparaître.
AWS avec crédits pour associations	Jusqu’à $5,000, de crédit promotionnel, demandé via TechSoup aux États-Unis, pour au moins un an (AWS)	TechSoup facture des frais de dossier et le crédit a une date de renouvellement à suivre. Le crédit ne couvre pas les achats sur AWS Marketplace, ce qui compte pour Claude (voir plus bas).
Google Cloud	$300, de crédit d’essai gratuit pendant 90 jours pour les nouveaux clients (Google Cloud)	Bien pour essayer, pas pour un plan à long terme. Un compte Google Workspace pour associations n’a pas débloqué de crédits Cloud pour l’un des membres.
DigitalOcean	Son programme pour associations a proposé un crédit unique de $2,500, (annonce de 2023) ; confirmez les conditions actuelles avant de postuler	Les bâtisseurs l’ont jugé le plus facile à mettre en place.
Hetzner	Le CX33 optimisé pour le coût (4 vCPU, 8 Go, 80 Go) est affiché à €8.99 par mois hors TVA (Hetzner)	Le moins cher au gigaoctet, mais le 2026-10-21 toutes les offres optimisées pour le coût étaient marquées indisponibles, et l’offre à performances classiques de 4 vCPU / 8 Go coûtait €35.99. Vérifiez avant de bâtir un plan dessus.
Hostinger	2 vCPU / 8 Go à $8.79 par mois en promotion prépayée, puis $14.99 au renouvellement (Hostinger)	Propose un modèle Hermes en un clic.
Un ordinateur de rechange à la maison	Gratuit, hors électricité	L’administrateur a qualifié un vieux PC sous Ubuntu Server de « excellente alternative » (environ une heure de mise en place). Il s’arrête quand le courant ou Internet s’arrête.
Votre propre portable (WSL sous Windows)	Gratuit	Convient pour tester. L’agent ne tourne que tant que le portable est allumé.

Si des crédits couvrent déjà votre serveur, le conseil du groupe est de ne pas passer des heures à migrer vers un hébergeur moins cher pour économiser $10 ou $15 par mois. Réexaminez la question quand les crédits prendront fin.

Réglez une alerte de budget sur le cloud que vous choisissez. Sur Azure, une VM arrêtée (désallouée) continue de facturer son disque.

Verrouiller le serveur

La configuration standard du groupe en 2026, dont l’installateur de GabAI fait désormais l’essentiel pour vous :

Tailscale. Un réseau privé entre votre serveur, votre portable et votre téléphone, qui vous permet de fermer le serveur à l’Internet public tout en y accédant. L’offre gratuite Personal couvre jusqu’à 6 utilisateurs avec un nombre illimité d’appareils pour un usage non commercial ; les associations peuvent demander une réduction sur les offres payantes (tarifs Tailscale).
Fermer le SSH public. Une fois Tailscale en marche, supprimez la règle qui ouvre le port 22 dans le pare-feu du cloud (groupe de sécurité réseau d’Azure, groupe de sécurité d’AWS). Le serveur de l’un des membres avait enregistré environ 7 400 tentatives de connexion échouées sur le port ouvert avant qu’il ne le ferme.
UFW et fail2ban. UFW est le pare-feu simple d’Ubuntu (documentation Ubuntu) ; fail2ban bloque les adresses qui échouent sans cesse à se connecter.
Mises à jour de sécurité automatiques et une clé SSH au lieu d’un mot de passe.
Un service qui redémarre tout seul. Lancez l’agent comme service systemd pour qu’il revienne après un plantage ou un redémarrage. Pour un service au niveau utilisateur, exécutez loginctl enable-linger $USER, faute de quoi l’agent meurt quand vous fermez votre fenêtre SSH. C’était la cause du « l’agent n’arrête pas de mourir » d’un membre en mars 2026. Après une réinstallation, vérifiez qu’un ancien service ne tourne pas encore à côté du nouveau.
tmux pour les longues sessions Claude Code. Lancez Claude Code dans tmux pour qu’il continue quand votre portable se ferme ; reconnectez-vous plus tard avec tmux attach.
Remote Control. La commande /remote-control de Claude Code vous permet de piloter la session de votre serveur depuis l’appli mobile Claude ou un navigateur. Elle exige une offre Pro, Max, Team ou Enterprise, ne fonctionne pas avec des clés d’API, et sur les offres Team un propriétaire doit d’abord l’activer dans les paramètres d’administration (documentation).

Slack sans ouvrir de port

Utilisez Socket Mode. L’agent ouvre une connexion sortante vers Slack, donc vous n’avez besoin ni d’une adresse web publique ni d’un port ouvert. Il utilise un jeton d’application qui commence par xapp- (documentation Slack). Les applis en Socket Mode ne peuvent pas être listées dans le Slack Marketplace public, ce qui n’a aucune importance pour votre propre bot. La configuration Slack de NanoClaw utilise Socket Mode par défaut (documentation Slack de NanoClaw).

WhatsApp via l’adaptateur d’appareil lié se connecte lui aussi vers l’extérieur et n’a besoin d’aucun port ouvert.

Payer le modèle

Jeton d’abonnement ou facturation à l’API

Jeton d’abonnement. claude setup-token crée un jeton de connexion valable un an pour un serveur sans écran (documentation Claude Code). L’agent puise alors dans les limites de votre offre Claude Pro, Max ou Team. Au 2026-10-07, Anthropic indique que l’Agent SDK et les applis tierces peuvent toujours utiliser les limites de l’abonnement (centre d’aide). C’est ainsi que fonctionne la majorité du groupe.
Clé d’API. Paiement au jeton. Prévisible seulement si vous fixez une limite de dépense. Un chalia’h a dépensé environ $40, la première semaine ; les agents des membres ont estimé leur propre consommation mensuelle entre $250, et $600, aux tarifs de l’API.
Crédits d’API inclus. Depuis le 2026-10-07, les offres Max et Team incluent des crédits mensuels sur la Claude Platform : $100, pour Max 5x, $200, pour Max 20x, et pour Team $20, par siège standard et $100, par siège premium, mis en commun et plafonnés à $500,. Les offres Team pour associations reçoivent la même chose. Les crédits couvrent l’API et l’Agent SDK, pas Claude Code ; ils expirent chaque mois ; et ils ne s’appliquent qu’à la Claude Console, pas à Bedrock, Google Cloud ni Microsoft Foundry (documentation Claude Platform).
Abonnement ChatGPT. Le fournisseur Codex de NanoClaw peut fonctionner avec une connexion ChatGPT au lieu d’une clé d’API OpenAI (documentation de connexion Codex). Plusieurs chlou’him y ont fait passer leurs agents à la mi-2026.

Pour les prix des offres pour associations, voir Réductions pour associations et Payant ou gratuit.

Le piège Bedrock

En juillet 2026, un chalia’h a découvert que son agent avait été configuré pour appeler Claude via Amazon Bedrock. Ses crédits AWS TechSoup couvraient le serveur, mais Claude sur Bedrock est facturé comme un achat AWS Marketplace, que ces crédits ne couvrent pas ; la partie Claude a donc tourné plein tarif : plusieurs centaines de dollars par mois, surtout sur Claude Sonnet. Les conditions des crédits AWS excluent expressément Marketplace (AWS), et un autre client d’AWS a accumulé une facture Bedrock de $30,000, de la même façon en mai 2026 (The Register).

Ce qui a réglé le problème : retirer les paramètres Bedrock du fichier .env de l’agent (CLAUDE_CODE_USE_BEDROCK et les lignes de clés AWS), exécuter claude setup-token dans une simple fenêtre SSH, redémarrer le service de l’agent, puis mettre à jour aussi le jeton stocké dans le coffre-fort d’identifiants, car le coffre avait gardé l’ancien et l’agent est resté muet jusqu’à son remplacement.

La leçon : les crédits gratuits suivent le produit, pas le modèle. Vérifiez à quelle ligne de la facture un crédit s’applique, et surveillez sa date d’expiration.

Basculer entre fournisseurs

L’administrateur de GabAI a esquissé en juin 2026 un plan de secours avec LiteLLM, un proxy capable de plafonner la dépense par fournisseur et de n’envoyer les requêtes qu’aux fournisseurs encore sous leur budget (documentation LiteLLM) : utiliser d’abord l’abonnement Claude, puis Codex, puis Bedrock ou Azure sur crédit pour associations. C’était un schéma, pas une installation fonctionnelle, en octobre 2026. Si vous installez LiteLLM, figez la version : deux versions de LiteLLM sur PyPI ont été piégées d’une porte dérobée le 2026-03-24 et ont volé des clés cloud et d’API sur les machines qui les avaient installées (Cloud Security Alliance).

Une parade plus simple utilisée par des membres : NanoClaw permet à chaque groupe d’agents d’utiliser un fournisseur différent, de sorte qu’un groupe peut passer à Codex quand les limites de Claude sont atteintes.

Passer à un nouveau serveur

Des membres l’ont fait avec Claude Code sur les deux machines : copier les données et le .env avec rsync, reconnecter les connexions, mettre à jour les adresses de webhook, et garder l’ancien serveur arrêté (pas supprimé) un jour ou deux. Les connexions OAuth du coffre-fort d’identifiants ne migrent pas proprement. Voir le guide Comment déplacer le coffre-fort d’identifiants d’un agent IA auto-hébergé vers un nouveau serveur ?.