Une attaque DDoS est l'une des causes les plus courantes de mise hors ligne d'un site sans aucun avertissement. Chaque serveur a une limite au nombre de requêtes qu'il peut traiter en même temps. Une attaque DDoS fait déborder cette limite en envoyant un nombre énorme de requêtes depuis des milliers d'appareils différents au même moment, jusqu'à ce que le serveur n'ait plus de capacité et que les vrais visiteurs ne puissent plus passer.
Contrairement à la plupart des autres attaques web, une attaque DDoS n'essaie pas de s'introduire dans un site ni d'y voler quoi que ce soit. Elle essaie de le faire tomber. Comprendre son fonctionnement explique pourquoi s'en protéger ne ressemble pas aux autres mesures de sécurité.
DDoS signifie Distributed Denial of Service, ou déni de service distribué. « Déni de service » veut dire que le but est de rendre le site inutilisable. « Distribué » veut dire que l'attaque vient de milliers d'endroits à la fois, pas d'une seule source. C'est cette dispersion qui la rend difficile à arrêter. Vous ne pouvez pas bloquer une adresse IP et y mettre fin. Pour la vue d'ensemble des menaces auxquelles les sites sont exposés et pourquoi la protection compte pour chaque site, lisez l'article sur pourquoi la sécurité d'un site web est importante.
Comment fonctionne une attaque DDoS
L'attaquant n'envoie pas tout ce trafic lui-même. Il utilise un grand réseau d'appareils discrètement pris en main par un logiciel nuisible : ordinateurs domestiques, routeurs, caméras et tout autre objet connecté à internet. Les propriétaires de ces appareils ne se doutent généralement de rien.
La mécanique de l'attaque
- L'attaquant ordonne à tous ces appareils d'envoyer des requêtes au site visé en même temps
- Comme les requêtes viennent de milliers d'endroits différents, le serveur voit un pic massif de ce qui ressemble à du vrai trafic
- Le serveur essaie de gérer la charge et manque de capacité avant de pouvoir suivre
- Les requêtes des vrais visiteurs se perdent dans le flot et ne reçoivent jamais de réponse
- Le site paraît hors ligne pendant toute la durée de l'attaque
Ce qui la rend difficile à arrêter
La partie distribuée d'une attaque DDoS est ce qui la distingue d'une simple saturation depuis une seule source. Si un seul appareil envoyait tout le trafic, le bloquer mettrait fin à l'attaque. Quand des milliers d'appareils sont impliqués, chacun envoyant une petite quantité de trafic, en bloquer un seul ne change presque rien. C'est le volume total qui pose problème, et l'arrêter demande un filtrage à un niveau supérieur à celui du site.
Ce qu'une attaque DDoS fait à un site web
Le site tombe
Quand le serveur est submergé, il cesse de répondre. Toute personne qui essaie de charger une page obtient un message d'erreur ou un délai de connexion dépassé. Le site n'est pas cassé et rien n'a été supprimé. Il ne peut simplement pas répondre aux requêtes parce qu'il traite un volume impossible de fausses requêtes.
Pour le propriétaire du site, cela se traduit par des alertes qui se déclenchent dans les outils de surveillance, des messages du service client qui arrivent et un tableau de bord inaccessible parce que le serveur ne répond plus à rien.
Les vrais visiteurs ne peuvent pas passer
Le serveur ne peut pas distinguer un vrai visiteur d'une requête d'attaque. Il essaie de les traiter toutes et finit par n'en traiter aucune efficacement. Une personne qui veut vraiment lire une page, passer une commande ou prendre contact est bloquée aussi complètement que le flot de fausses requêtes. Le site devient inaccessible pour tout le monde jusqu'à ce que l'attaque s'arrête ou soit filtrée.
Combien de temps durent les attaques
Certaines attaques sont terminées en quelques minutes. D'autres durent des heures, et dans les cas plus graves elles se prolongent des jours. C'est l'attaquant qui décide quand elle s'arrête. Plus elle dure, plus elle coûte au propriétaire du site en trafic perdu, en commandes manquées et en dégâts sur les performances de recherche causés par une indisponibilité prolongée.
Pourquoi les sites sont visés par des attaques DDoS
Les attaques ciblées
Certaines attaques DDoS visent un site précis. Un concurrent qui cherche à mettre un rival hors ligne pendant une période de fort trafic. Quelqu'un qui en veut à une entreprise ou à une personnalité. Une action coordonnée contre une organisation très en vue. Ces attaques sont délibérées et choisies.
Les attaques automatisées aléatoires
Une grande part des attaques DDoS n'a rien à voir avec le site précis qui est touché. Des outils automatisés testent des sites et attaquent ceux qui peuvent être submergés. Le site n'a pas besoin d'être une cible choisie. Il lui suffit d'être trouvable et de tourner sur un serveur incapable d'absorber la charge que l'outil génère.
Les demandes de rançon
Dans certains cas, les attaquants contactent une entreprise avant de lancer une attaque et exigent un paiement pour s'en abstenir. Si aucun paiement ne vient, l'attaque commence. Ce type d'attaque, parfois appelé DDoS avec rançon, est une vraie menace pour les boutiques en ligne et les services en ligne, où l'indisponibilité a un coût financier clair et immédiat.
Comment les sites sont protégés des attaques DDoS
Le filtrage du trafic au niveau du réseau
La protection DDoS la plus efficace se fait au niveau du réseau, avant que le trafic d'attaque atteigne le serveur du site. Les hébergeurs et les réseaux de diffusion de contenu surveillent les schémas de trafic inhabituels, repèrent qu'un site est attaqué et commencent à filtrer le flot entrant avant qu'il fasse tomber le serveur.
Cela fonctionne parce que l'action se situe au-dessus du site. Un serveur qui serait submergé par tout ce trafic voit à la place le volume intercepté et écarté au niveau du réseau, avant son arrivée.
La limitation de débit
La limitation de débit plafonne le nombre de requêtes qu'une même source peut envoyer sur une courte période. Un vrai visiteur qui charge une page envoie un petit nombre de requêtes. Un outil d'attaque peut en envoyer des milliers depuis la même source en une seconde. La limitation de débit repère et ralentit ou bloque les sources dont le comportement ne ressemble à celui d'aucun vrai visiteur.
La limitation de débit n'est pas à elle seule une défense complète contre les grandes attaques distribuées, car celles-ci répartissent les requêtes sur tant de sources qu'aucune n'atteint la limite. Mais elle réduit la charge des attaques plus grandes et règle entièrement les tentatives de saturation à plus petite échelle.
La répartition du trafic entre des serveurs
Les réseaux de diffusion de contenu répartissent le contenu d'un site sur de nombreux serveurs situés à différents endroits. Quand une attaque vise un site, le trafic est réparti sur tous ces serveurs au lieu d'en frapper un seul. Un volume d'attaque qui ferait tomber un serveur doit être assez grand pour en submerger beaucoup à la fois pour avoir le même effet.
Un pare-feu applicatif web qui fonctionne avec un CDN ajoute une couche supplémentaire et filtre les requêtes nuisibles avant même qu'elles atteignent les serveurs. Pour en savoir plus, lisez l'article sur ce qu'est un pare-feu applicatif web et comment il protège votre site.
Que faire pendant une attaque DDoS
- Contactez tout de suite votre hébergeur. Il dispose d'outils au niveau du réseau capables de détecter et de filtrer le trafic d'attaque bien plus vite que tout ce qui peut se faire depuis le tableau de bord du site
- Notez le moment où l'attaque a commencé et ce que vous observez. Cela aide l'équipe d'hébergement à comprendre à quoi elle a affaire et d'où vient le trafic
- Ne faites pas de grands changements de configuration du site pendant que l'attaque est active. Attendez que la situation se stabilise avant d'ajuster quoi que ce soit
- Vérifiez que les copies de sauvegarde du site sont intactes. Une attaque DDoS ne modifie ni ne supprime le contenu, mais savoir que les sauvegardes sont en sécurité est utile
Pour mettre en place des sauvegardes prêtes quand on en a besoin, lisez l'article sur comment sauvegarder votre site web. Pour le guide complet de protection de votre site contre les types d'attaques courants, lisez l'article sur comment protéger votre site web des pirates.
Comment WEMASY gère la protection DDoS
L'hébergement de WEMASY comprend une protection DDoS et un filtrage du trafic au niveau du réseau. Les attaques sont détectées et filtrées avant d'atteindre chaque site de la plateforme. Cette protection est intégrée à chaque offre et ne demande aucune installation ni configuration de la part des propriétaires de sites.
Les sites sur WEMASY n'ont pas besoin d'acheter de service de protection DDoS séparé. Le filtrage au niveau du réseau gère les saturations de trafic à fort volume qui mettraient un site hors ligne sur un hébergement non protégé, et il est actif par défaut pour chaque site de la plateforme.
Découvrez ce qui est inclus avec le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.
Questions fréquentes
Qu'est-ce qu'une attaque DDoS ?
Une attaque DDoS, abréviation de Distributed Denial of Service, est une attaque qui inonde le serveur d'un site d'un si grand nombre de requêtes à la fois qu'il n'a plus de capacité et cesse de répondre aux vrais visiteurs. Les requêtes viennent de milliers d'appareils en même temps, ce qui les rend difficiles à bloquer à la source. Le site passe hors ligne ou devient très lent pendant toute la durée de l'attaque. Contrairement au piratage, une attaque DDoS n'essaie pas d'accéder au site ni d'y voler quoi que ce soit. Son but est simplement de le faire tomber. Avec le créateur de site web de WEMASY, vous pouvez le mettre en place directement sur votre site.
En quoi une attaque DDoS diffère-t-elle du piratage ?
Le piratage consiste à trouver un moyen de passer la sécurité d'un site pour accéder à quelque chose à l'intérieur, le modifier ou le voler. Une attaque DDoS ne fait rien de tout cela. Elle inonde le serveur de trafic jusqu'à ce que le site ne puisse plus répondre à personne. Le contenu, les fichiers et les données du site ne sont pas touchés. Les vrais visiteurs ne peuvent simplement pas atteindre le site pendant l'attaque. Les deux sont des menaces, mais elles fonctionnent de façons complètement différentes et demandent des protections différentes.
Un petit site peut-il être visé par une attaque DDoS ?
Oui. Une grande part des attaques DDoS est automatisée et ne choisit pas précisément ses cibles. Des outils cherchent des sites qui peuvent être submergés et frappent ce qu'ils trouvent. Un petit site à la capacité de serveur limitée peut même être mis hors ligne plus facilement qu'un grand site qui a plus de ressources pour absorber le trafic. La taille ne protège pas. Ce qui compte, ce sont les défenses en place au niveau de l'hébergement et du réseau.
Combien de temps dure une attaque DDoS ?
Cela dépend de l'attaquant. Certaines attaques durent quelques minutes. D'autres durent des heures, voire des jours. L'attaque continue tant que l'attaquant choisit de la maintenir. Avec une protection au niveau du réseau, le trafic d'attaque peut être filtré avant d'atteindre le site : le site reste en ligne même pendant l'attaque. Sans cette protection, le site est hors ligne pendant toute la durée.
Que dois-je faire si mon site subit une attaque DDoS ?
Contactez tout de suite votre hébergeur. Il dispose d'outils au niveau du réseau capables de détecter et de filtrer le trafic d'attaque bien plus vite que tout ce qui est disponible depuis le tableau de bord du site. Notez le moment où l'attaque a commencé et ce que vous voyez. Évitez de faire de grands changements de configuration pendant que l'attaque est active. Une fois la situation stabilisée, vérifiez si votre offre d'hébergement inclut une protection DDoS et si d'autres mesures valent la peine d'être mises en place.
La protection DDoS est-elle incluse dans mon hébergement ?
Cela dépend du fournisseur et de l'offre. Certains hébergeurs incluent une protection DDoS au niveau du réseau dans toutes leurs offres, comme fonction standard. D'autres la proposent en option ou seulement sur les niveaux supérieurs. Consultez la documentation de votre hébergeur ou contactez-le pour confirmer ce qui est inclus. Les réseaux de diffusion de contenu offrent aussi une protection DDoS par conception, car répartir le trafic sur de nombreux serveurs réduit l'impact d'une attaque sur un seul endroit.