DDoS signifie Distributed Denial of Service, déni de service distribué. Un déni de service (DoS) cherche à épuiser une ressource : bande passante, connexions, processeur, mémoire, base de données. Quand l’attaque vient d’une seule machine, il suffit souvent de bloquer son adresse. Le « D » de distribué change tout : le trafic arrive de milliers d’adresses à la fois, souvent des ordinateurs, serveurs ou objets connectés piratés et réunis en botnet. Le MITRE classe ce mécanisme parmi les attaques par inondation (CAPEC-125), qui exploitent une limitation de débit insuffisante.
Les différents types d’attaque DDoS
- Volumétrique : un déluge de trafic sature le lien réseau du serveur ou de l’hébergeur. Le site tombe sans qu’une seule page soit réellement demandée.
- Protocolaire : l’attaque épuise les tables de connexions des serveurs, pare-feu ou répartiteurs de charge en abusant des protocoles réseau.
- Applicative : des requêtes HTTP d’apparence normale visent des pages coûteuses à produire, comme une recherche, un panier ou une page non mise en cache. Moins de trafic suffit, et il est plus difficile à distinguer des vrais visiteurs.
Les motivations sont variées. Cybermalveillance.gouv.fr cite les raisons idéologiques, le défi, le chantage, la vengeance ou la concurrence. Un DDoS peut aussi servir de diversion pendant une autre attaque, ou de moyen de pression lors d’un rançongiciel.
Comment s’en protéger
Un site ne se défend pas seul contre un DDoS : la protection se joue en amont, là où la capacité est la plus grande. L’ANSSI cite trois niveaux, que l’on combine selon l’enjeu : l’opérateur réseau, un service spécialisé anti-DDoS et un réseau de diffusion de contenu (CDN).
- Demandez à votre hébergeur quelle protection il inclut et ce qu’il fait en cas d’attaque : certains coupent le site pour protéger leurs autres clients.
- Placez le site derrière un proxy inverse ou un CDN, et ne laissez pas l’adresse IP réelle du serveur exposée, sinon l’attaquant le vise directement. Notre article Cloudflare devant WordPress détaille les réglages.
- Activez un pare-feu applicatif avec des règles de limitation de débit pour les attaques applicatives.
- Servez un maximum de pages depuis le cache : une page en cache coûte très peu à produire.
Pour WordPress
Certaines adresses de WordPress échappent au cache et deviennent des cibles faciles d’une attaque applicative : wp-login.php, xmlrpc.php, admin-ajax.php, la recherche ?s=, l’API REST. Désactiver XML-RPC quand il ne sert pas retire une porte coûteuse à servir. Une vague de connexions ratées sur wp-login.php ressemble d’ailleurs souvent à une petite attaque par déni de service.
WP Masquerade n’est pas une protection anti-DDoS. Sa limitation des connexions ne limite pas le trafic réseau ; derrière Cloudflare, la prise en compte de la vraie adresse des visiteurs évite seulement que tous les visiteurs partagent le compteur du proxy.
Que faire pendant une attaque
- Contactez votre hébergeur et, le cas échéant, votre service de protection pour filtrer le trafic.
- Ne payez pas de rançon : cela finance les attaquants sans garantir l’arrêt de l’attaque.
- Conservez les journaux du serveur, du pare-feu et du proxy pour une plainte.
- Vérifiez après coup qu’aucune autre intrusion n’a profité de la diversion, et changez les mots de passe au moindre doute.