Des outils d'attaque automatisés frappent les sites toute la journée, et ils ne s'arrêtent pas pour vérifier si un site est grand, petit, populaire ou confidentiel. Un pare-feu applicatif web est la couche qui lit chaque requête entrante avant votre site et empêche les requêtes nuisibles de passer. Ce qui le distingue des autres outils de sécurité, c'est le niveau auquel il agit et ce qu'il lit réellement.
La plupart du trafic qui tente de s'introduire dans un site ne vient pas d'une personne devant un clavier. Il vient d'outils automatisés qui parcourent des listes de points faibles connus et envoient des requêtes nuisibles à des milliers de sites à la fois. Un pare-feu applicatif web est conçu précisément pour les repérer. Pour comprendre pourquoi les sites sont visés quelle que soit leur taille ou leur objet, lisez l'article sur pourquoi la sécurité d'un site web est importante.
Qu'est-ce qu'un pare-feu applicatif web ?
Un pare-feu applicatif web, souvent appelé WAF, est une couche de protection placée entre internet et votre site. Chaque requête qui arrive sur votre site passe d'abord par le pare-feu. Il vérifie chaque requête à partir d'un ensemble de règles et décide de la laisser passer ou de la bloquer.
La différence essentielle entre un pare-feu applicatif web et un pare-feu réseau classique tient à ce qu'ils examinent. Un pare-feu réseau agit au niveau de la connexion et contrôle quels serveurs peuvent se parler. Un pare-feu applicatif web examine le contenu de la requête elle-même, là où se cachent les attaques web. Il lit ce qui est envoyé, pas seulement d'où cela vient.
Comment fonctionne un pare-feu applicatif web ?
Ce qu'il lit
- Chaque requête entrante porte des informations : l'adresse demandée, les données envoyées par des formulaires et les détails que le navigateur envoie avec la requête
- Le pare-feu lit tout cela à l'aide d'un ensemble de règles qui décrivent à quoi ressemblent les requêtes nuisibles
- Les requêtes qui correspondent à un schéma nuisible sont bloquées avant même d'atteindre le serveur ou le code de votre site
Comment il décide quoi bloquer
- Les pare-feu utilisent des jeux de règles qui décrivent des schémas d'attaque connus. Ils sont mis à jour régulièrement à mesure que de nouvelles méthodes d'attaque sont découvertes
- Certains pare-feu observent aussi le comportement dans le temps. Une source qui envoie des centaines de requêtes par seconde, ou qui sonde le site selon un schéma d'outil d'analyse, peut être bloquée même si aucune requête isolée n'enfreint une règle précise
- Les services de pare-feu gérés s'occupent automatiquement de la mise à jour des règles. Un pare-feu qui fonctionne avec d'anciennes règles est bien moins efficace contre les attaques d'aujourd'hui
Quels types d'attaques un pare-feu applicatif web arrête-t-il ?
L'injection SQL
- L'injection SQL est l'une des attaques web les plus courantes. Elle consiste à glisser des commandes de base de données nuisibles dans un champ de formulaire ou une adresse, pour que le site les exécute comme de vraies instructions
- Une injection SQL réussie peut permettre à un attaquant d'extraire tous les enregistrements de la base de données, de modifier le contenu ou de le supprimer entièrement
- Un pare-feu applicatif web reconnaît les schémas utilisés par ces attaques et les bloque avant qu'elles atteignent le site
Le cross-site scripting
- Le cross-site scripting, souvent appelé XSS, consiste à placer des scripts nuisibles dans une page que d'autres visiteurs chargent ensuite dans leur navigateur
- Ces scripts peuvent voler des sessions de connexion, rediriger des visiteurs vers d'autres sites ou récupérer des informations saisies dans des formulaires sans que personne s'en rende compte
- Un pare-feu bloque les requêtes qui portent ces schémas d'attaque avant que du code nuisible puisse atteindre la page
Le trafic de mauvais robots
- Les robots automatisés représentent une grande part du trafic des sites. Certains sont inoffensifs, comme les robots d'exploration des moteurs de recherche. D'autres sont conçus pour chercher des points faibles, tester de grandes quantités de mots de passe sur la page de connexion ou copier du contenu
- Un pare-feu applicatif web peut identifier et bloquer les robots qui correspondent à des schémas nuisibles connus, ce qui limite ce qu'ils peuvent trouver et réduit la charge qu'ils imposent au serveur
Les outils d'attaque connus
- Les attaquants utilisent des outils qui envoient des requêtes selon des schémas étudiés et documentés. Leurs signatures sont intégrées aux jeux de règles des pare-feu
- Un pare-feu applicatif web aux règles à jour bloque automatiquement les requêtes qui correspondent à ces schémas, sans aucune action nécessaire
Ce qu'un pare-feu applicatif web ne peut pas arrêter seul
Un pare-feu est une couche d'un dispositif de sécurité, pas une réponse complète à lui seul.
Les connexions avec des mots de passe volés
- Un pare-feu applicatif web ne peut pas savoir si une connexion vient du vrai titulaire du compte ou de quelqu'un qui a obtenu le mot de passe ailleurs
- Une connexion avec le bon nom d'utilisateur et le bon mot de passe ressemble à une requête normale. Le pare-feu la laisse passer
- C'est pourquoi des mots de passe solides et l'authentification à deux facteurs restent nécessaires en plus d'un pare-feu. Pour voir comment ces protections se combinent, lisez l'article sur comment protéger votre site web des pirates
Les nouvelles méthodes d'attaque que les règles n'ont pas encore rattrapées
- Quand un nouveau point faible est découvert dans un logiciel de site, il s'écoule un délai entre le moment où les attaques commencent à l'exploiter et celui où les règles du pare-feu sont mises à jour pour le bloquer
- Pendant ce délai, le pare-feu peut laisser passer ces attaques précises
- Garder les logiciels du site à jour en plus d'utiliser un pare-feu réduit nettement ce délai
Le code nuisible déjà présent sur le site
- Un pare-feu applicatif web filtre les requêtes entrantes. Il n'analyse pas les fichiers du site à la recherche de code nuisible qui s'y trouverait déjà après une attaque antérieure
- Si quelque chose est arrivé sur le site avant la mise en place du pare-feu, ou par une méthode que le pare-feu n'a pas détectée, il ne sera pas repéré
- Pour savoir à quoi ressemble du code nuisible sur un site et comment le traiter, lisez l'article sur ce qu'est un malware de site web et comment il affecte votre site
Pare-feu au niveau du réseau et pare-feu au niveau du site
Les pare-feu au niveau du réseau
- Un pare-feu au niveau du réseau agit au niveau de l'hébergement et filtre le trafic avant qu'il atteigne chaque site
- Ils sont généralement fournis par l'hébergeur ou le CDN. Ils sont conçus pour bloquer les attaques à grande échelle, dont les attaques par saturation qui tentent de mettre des serveurs hors service en envoyant d'énormes volumes de trafic en une fois
- Ils agissent à un niveau large et filtrent mieux le volume de trafic et les schémas de connexion que le contenu précis de chaque requête
Les pare-feu au niveau du site
- Un pare-feu applicatif web au niveau du site agit plus près du site et lit le contenu réel de chaque requête, ce qui détecte des schémas d'attaque qu'un pare-feu au niveau du réseau peut manquer
- Ils peuvent être mis en place au niveau de la plateforme sur les services d'hébergement gérés, ou ajoutés par un plugin ou un service de sécurité sur les sites gérés par leurs propriétaires
- Les deux types couvrent des domaines différents et se complètent bien. Un hébergeur qui inclut une protection par pare-feu au niveau du réseau traite déjà une grande part des attaques automatisées avant toute configuration au niveau du site
La place d'un pare-feu applicatif web dans une sécurité complète
Un pare-feu agit avec d'autres protections, chacune couvrant un type de risque différent.
- Un pare-feu filtre les requêtes nuisibles. Garder les logiciels à jour ferme les points faibles que ces requêtes visent. Ensemble, ils couvrent les deux voies d'entrée les plus courantes des attaques
- Des mots de passe solides et l'authentification à deux facteurs arrêtent l'accès par des identifiants volés, ce qu'aucun pare-feu ne peut bloquer seul
- Les sauvegardes permettent à un site de se rétablir vite quand quelque chose passe malgré tout. Lisez l'article sur comment sauvegarder votre site web pour le guide complet
Comment WEMASY gère la protection par pare-feu
L'hébergement de WEMASY comprend un pare-feu et un filtrage du trafic au niveau du réseau. Les requêtes nuisibles et les attaques par saturation sont filtrées avant d'atteindre chaque site de la plateforme. Cela est intégré à chaque offre et ne demande aucune installation ni configuration de la part des propriétaires de sites.
Les mises à jour logicielles sont gérées au niveau de la plateforme et protègent les sites contre les points faibles connus sans aucune action de votre part. Les certificats SSL sont inclus et appliqués automatiquement sur chaque site.
Découvrez ce qui est inclus avec le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.
Questions fréquentes
Qu'est-ce qu'un pare-feu applicatif web ?
Un pare-feu applicatif web, ou WAF, est une couche de protection placée entre votre site et le trafic qui arrive d'internet. Il vérifie chaque requête entrante à partir d'un ensemble de règles qui décrivent à quoi ressemblent les requêtes nuisibles, et bloque celles qui correspondent avant qu'elles atteignent votre site. Il diffère d'un pare-feu réseau classique, qui contrôle les connexions à un niveau plus large. Un pare-feu applicatif web lit le contenu de chaque requête, là où se cachent les attaques web. Avec le créateur de site web de WEMASY, vous pouvez le mettre en place directement sur votre site.
Quelles attaques un pare-feu applicatif web bloque-t-il ?
Un pare-feu applicatif web bloque diverses attaques web courantes, dont l'injection SQL (glisser des commandes de base de données nuisibles dans un formulaire ou une adresse), le cross-site scripting (placer des scripts nuisibles dans des pages que d'autres visiteurs chargent ensuite) et le trafic de robots qui cherchent des points faibles sur le site. Il bloque aussi les requêtes d'outils d'attaque connus qui envoient des requêtes selon des schémas reconnaissables. Le pare-feu le fait automatiquement, à partir de règles mises à jour à mesure que de nouvelles méthodes d'attaque sont trouvées.
Un pare-feu applicatif web remplace-t-il les autres mesures de sécurité ?
Non. Un pare-feu applicatif web est un élément d'un dispositif de sécurité, pas une solution complète. Il filtre les requêtes entrantes nuisibles mais ne peut pas arrêter les attaques qui utilisent des mots de passe volés, car une connexion avec les bons identifiants ressemble à une requête normale. Il n'analyse pas non plus les fichiers du site à la recherche de code nuisible qui s'y trouverait déjà. Il fonctionne mieux avec des mots de passe solides, l'authentification à deux facteurs, des mises à jour logicielles et des sauvegardes régulières.
Quelle est la différence entre un pare-feu réseau et un pare-feu applicatif web ?
Un pare-feu réseau contrôle le trafic au niveau de la connexion et décide quels serveurs et réseaux peuvent communiquer entre eux. Un pare-feu applicatif web agit au niveau du contenu : il lit les détails de chaque requête entrante et bloque celles qui correspondent à des schémas nuisibles. Les deux agissent à des niveaux différents et ont des rôles différents. De nombreux hébergeurs incluent un pare-feu au niveau du réseau qui traite les attaques à grande échelle, tandis qu'un pare-feu applicatif web ajoute une protection plus précise pour le contenu et le code du site lui-même.
Ai-je besoin d'un pare-feu applicatif web si mon hébergement inclut déjà un pare-feu ?
La protection par pare-feu de l'hébergement agit en général au niveau du réseau et filtre les attaques à grande échelle et les saturations de trafic. Un pare-feu applicatif web agit plus près du site lui-même et peut lire le contenu de chaque requête, ce qui repère des schémas d'attaque qu'un pare-feu au niveau du réseau peut manquer. Avoir besoin des deux dépend de votre hébergement. Les plateformes d'hébergement gérées qui incluent un pare-feu au niveau de la plateforme couvrent souvent les types d'attaques les plus courants sans configuration supplémentaire. Pour un hébergement que vous gérez vous-même, il vaut la peine d'ajouter un pare-feu applicatif web.
À quelle fréquence les règles d'un pare-feu applicatif web sont-elles mises à jour ?
Les services de pare-feu applicatif web gérés mettent à jour leurs règles automatiquement à mesure que de nouvelles méthodes d'attaque sont trouvées et documentées. C'est l'une des principales raisons de préférer un service géré à une installation configurée à la main. Des règles obsolètes rendent un pare-feu bien moins efficace contre les attaques d'aujourd'hui. Avec un pare-feu ou un plugin que vous gérez vous-même, vérifier qu'il reçoit des mises à jour régulières est aussi important que de l'avoir installé.