Pare-feu et Anti-DDoS : Comment on empêche Internet de casser notre infrastructure
Pare-feu et Anti-DDoS : Comment on empêche Internet de casser notre infrastructure
À une époque où la moindre panne de serveur de 5 minutes provoque des crises de panique sur les réseaux sociaux et des pertes financières immédiates, garder un site en ligne est devenu un sport de combat. Chez The Seed, on sait bien que la sécurité n'est pas une option de luxe, c'est juste ce qui nous évite de passer le week-end à éteindre des incendies numériques les yeux pleins de larmes.
Comme internet est globalement peuplé de gens charmants mais aussi d'un bon paquet de robots malveillants codés avec les pieds, on a récemment blindé notre réseau. Voici un petit résumé garanti sans jargon de dictionnaire de la façon dont on protège vos données contre les rageux du web.
1. La technique du videur : Les règles Cloudflare et le blocage par ASN
La première ligne de défense de nos serveurs ne se trouve même pas chez nous. Elle est chez Cloudflare, qui nous sert de bouclier mondial.
Plutôt que d'attendre que les vagues d'attaques arrivent sur nos machines pour faire le tri, on a configuré des règles strictes basées sur les ASN. Pour faire simple, un ASN, c'est un peu le code postal d'un fournisseur internet ou d'un hébergeur.
Si un pirate loue 500 serveurs pas chers chez un hébergeur low-cost à l'autre bout du monde pour essayer de saturer notre site, notre système repère que tout ce petit monde vient du même quartier numérique et bloque l'intégralité de l'hébergeur en un clic. Les vrais humains passent, les usines à robots restent sur le trottoir.
2. L'IP fantôme : On n'attaque pas ce qu'on ne voit pas
La règle de base pour ne pas se faire pirater sa machine, c'est de faire en sorte que personne ne sache où elle habite.
- Une IP publique ? Quelle IP ? : L'adresse IP réelle (l'adresse postale numérique) de notre serveur est totalement secrète, planquée derrière le rideau de Cloudflare. Pour le reste du monde, notre site habite « chez Cloudflare ». Bonne chance pour jeter des cailloux sur la fenêtre d'un appartement dont vous ignorez l'adresse.
- La politique du silence radio (No Ping) : Même si, par un miracle incroyable ou une fuite de l'espace, un hacker découvrait l'IP de notre machine et tentait de lui envoyer un petit signal (un « ping ») pour voir s'il y a quelqu'un, le serveur ignorerait royalement la demande. À moins que votre IP personnelle ne soit explicitement autorisée et écrite sur notre liste d'invités VIP, le serveur fera le mort. Vous pouvez toquer, il n'y a personne.
3. Des serrures invisibles et des clés qui changent toutes seules
La plupart des pirates informatiques sont de grands feignants : ils programment des robots pour tester en boucle les serrures standards de millions de serveurs à la fois. Chez The Seed, on a juste décidé de changer l'emplacement des serrures.
- Des ports qui jouent à cache-cache : Les serveurs ont des portes virtuelles standardisées (les « ports »). Par exemple, pour se connecter à la machine et la configurer, on utilise d'habitude le port
22. Nous, on a banni toutes ces configurations par défaut. Nos services tournent sur des numéros de ports totalement inhabituels et modifiés. Un robot qui cherche la porte classique se cassera le nez sur un mur de briques. - Zéro gestion humaine pour les certificats : Le fameux petit cadenas vert (SSL) qui vous prouve que la connexion est sécurisée est entièrement automatisé. Pas de renouvellement manuel qui foire un dimanche matin à 4h parce qu'on a oublié de cliquer sur un bouton ou de payer une facture. Les clés de chiffrement se régénèrent et se déploient toutes seules comme des grandes. On a des choses plus importantes à faire, comme dormir.
Conclusion
La cybersécurité est une course sans fin entre des hackers malins et des ingénieurs fatigués. En combinant le bouclier de Cloudflare, des serveurs invisibles pour le grand public et une automatisation totale de nos certificats, The Seed s'assure que vos applications restent en ligne, rapides, et surtout parfaitement hermétiques aux humeurs du web.