RÉSEAU & DOMAINES

Anti-DDoS et limitation de débit

Absorbez les pics, freinez les clients abusifs et gardez une application publique joignable sous charge.

Deux jeux de contrôles distincts, visant deux choses différentes. La protection par application appartient à l’équipe du projet et protège une application. La console anti-DDoS appartient à l’administrateur de la plateforme et protège toute l’installation. Les confondre est la cause habituelle du « je l’ai activé et rien n’a changé ».

	Par application	Console plateforme
Protège	Le trafic d’une application.	L’API et toutes les applications de l’installation.
Piloté par	L’équipe du projet (`protection:manage`).	Un ADMIN plateforme avec `config:manage`.
Appliqué au	Reverse proxy, par application.	Noyau et frontière de l’API.
Licence	Inclus.	Fonctionnalité Pro — la surface renvoie 403 sans elle.

La séparation est délibérée. Les contrôles plateforme sont globaux : un locataire qui en actionnerait un toucherait tous les autres. Les contrôles par application sont limités à une seule application : ses propres membres en sont donc responsables.

Protéger une application

Dans l’onglet Protection de l’application :

Liste d’autorisation et de blocage: Des plages CIDR, écrites directement dans la configuration du reverse proxy. Appliquées au niveau du proxy à coût d’exécution quasi nul — la requête n’atteint jamais votre conteneur.
Limitation de débit: Un nombre de requêtes sur une fenêtre, et une durée de bannissement pour qui la dépasse. Par exemple 300 requêtes par minute, banni cinq minutes.
Mode « Under Attack »: Chaque visiteur résout un CAPTCHA une fois, puis porte un cookie de clearance signé. Pour une attaque en cours, pas pour l’usage quotidien.

Le mode « Under Attack » exige un fournisseur CAPTCHA configuré. L’armer sans en avoir un signifie que personne ne passe le défi — vous avez bloqué vos propres utilisateurs aussi efficacement que n’importe quel attaquant.

L’onglet affiche aussi qui est actuellement banni, avec un bouton pour lever chaque bannissement. Des compteurs qui signalent l’existence d’un bannissement sans le nommer, et sans offrir le moyen de le lever, ne constituent pas un outil d’exploitation.

Ajoutez d’abord votre propre IP à la liste d’autorisation — un bouton l’ajoute en un clic depuis l’adresse d’où vous appelez. Se limiter soi-même hors de son propre panneau pendant un incident est une manière réellement fréquente de perdre une heure.

Chaque changement de protection est consigné dans le journal d’audit. Bloquer une plage ou armer le mode « Under Attack » sur une application de production est une action à conséquences réelles sur un projet partagé : elle laisse une trace comme toute autre écriture sensible.

La console plateforme

Sous Admin → Sécurité, et protégée par trois barrières simultanées : le rôle ADMIN, la permission plateforme config:view / config:manage, et une licence Pro portant la fonctionnalité anti-ddos.

Télémétrie en direct : débits de requêtes, adresses suivies, bannissements actifs.
Règles globales d’autorisation / blocage et bannissements manuels, chacun avec un motif consigné.
Un interrupteur « Under Attack » global — local, plus le niveau de sécurité de Cloudflare lorsqu’un jeton Cloudflare est connecté.
Durcissement noyau appliqué à un serveur agent distant : backlog SYN, limite de connexions par IP, débit SYN.
Propagation des bannissements : une adresse bannie sur une machine l’est sur toute la flotte.

Fenêtres, seuils et durées de bannissement sont tous configurables, chacun contrôlé en plage à l’écriture — une fenêtre nulle comme un bannissement d’un an sont refusés plutôt qu’acceptés dans une configuration qui se comporterait ensuite bizarrement.

Ce que cela ne fait pas

Une attaque volumétrique qui sature votre lien réseau ne se résout pas sur l’hôte. Si le tuyau est plein, aucune règle exécutée derrière lui n’y changera quoi que ce soit — les paquets sont déjà arrivés. Pour cette couche, il faut quelque chose en amont : Cloudflare, le nettoyage de votre hébergeur, ou un service dédié.

Ce que ces contrôles traitent bien : les pics applicatifs, les aspirateurs, les campagnes de bourrage d’identifiants, et le client unique dont le comportement ralentit votre base pour tout le monde.