Attaques DDoS : comprendre et se protéger

Auteur : Rédaction Domeny.ForSale Publié le 23.09.2026

En bref : une attaque DDoS vise à surcharger un site, un serveur ou un autre service internet par du trafic provenant de nombreuses sources, afin d’en rendre l’utilisation difficile ou impossible. Elle n’implique pas nécessairement une intrusion ou un vol de données : son objectif principal est de rendre le service indisponible. La protection consiste à repérer et à filtrer le trafic malveillant, de préférence avant qu’il n’atteigne l’infrastructure surchargée.

En quoi consiste une attaque DDoS ?

DDoS signifie Distributed Denial of Service, soit « déni de service distribué ». Un serveur dispose d’une bande passante, d’une puissance de calcul et d’un nombre de connexions simultanées limités. L’attaquant tente d’épuiser au moins l’une de ces ressources. Les utilisateurs légitimes reçoivent alors des messages d’erreur, attendent une réponse ou ne parviennent pas à se connecter.

On peut comparer cette situation à un magasin dont l’entrée et les caisses sont bloquées par une foule de personnes qui n’ont aucune intention d’acheter. Le magasin existe toujours, mais les clients ordinaires ne peuvent plus faire leurs achats normalement. Sur internet, le blocage peut toucher aussi bien un site isolé qu’un serveur de jeu, un service de messagerie ou l’infrastructure d’un opérateur.

Le mot « distribué » signifie que l’attaque utilise de nombreuses sources de trafic. Elle s’appuie souvent sur un botnet : un réseau d’appareils contrôlés par des criminels, par exemple des ordinateurs, des routeurs et des caméras. Elle peut aussi exploiter des serveurs externes amenés à envoyer leurs réponses à l’adresse de la victime. Les appareils participant à ce trafic ne sont donc pas nécessairement tous infectés.

DoS désigne plus largement les attaques provoquant un déni de service ; DDoS en est la variante distribuée. Bloquer une seule adresse IP, c’est-à-dire l’adresse d’un appareil ou d’un point du réseau, ne suffit généralement pas à arrêter une attaque provenant de multiples sources.

Quelles ressources peuvent être surchargées ?

Une attaque DDoS ne consiste pas toujours à envoyer une quantité énorme de données. On distingue généralement trois types d’attaques :

Les attaques volumétriques saturent la connexion avec un volume important de trafic. Même un serveur performant ne sert à rien si les connexions légitimes ne peuvent pas l’atteindre.
Les attaques contre les mécanismes réseau épuisent les ressources nécessaires à la gestion des connexions, par exemple celles d’un serveur ou d’un équipement de sécurité réseau.
Les attaques applicatives surchargent des fonctions précises du site, comme la recherche de produits ou la génération de rapports. Elles peuvent ressembler à des visites ordinaires et ne nécessitent pas une bande passante aussi importante.

Par exemple, une boutique en ligne peut afficher rapidement des images déjà disponibles, mais traiter beaucoup plus lentement une recherche complexe dans son catalogue. Solliciter massivement cette fonction peut surcharger la base de données sans pour autant saturer la connexion. Il faut donc adapter la protection à la ressource qui constitue réellement le goulot d’étranglement.

Comment distinguer une attaque DDoS d’une panne ou d’un afflux de visiteurs ?

La lenteur d’un site ne prouve pas qu’il subit une attaque. Une campagne publicitaire réussie, un bug de l’application, des problèmes de base de données ou une panne de l’hébergement peuvent produire des symptômes similaires. D’autres indices viennent renforcer les soupçons d’une attaque DDoS : une hausse inhabituelle du nombre de connexions, des requêtes répétées visant une même fonction ou des alertes du prestataire de protection.

Consultez les données de surveillance de la disponibilité, les statistiques de trafic et les journaux, qui enregistrent les événements et les requêtes traitées par le serveur. Comparez le moment où le service s’est dégradé avec la diffusion d’une publicité, une modification de configuration et les communications de l’opérateur. Le nombre de pages vues dans un outil d’analyse peut ne pas refléter toute l’attaque, car une partie du trafic malveillant n’exécute pas le code d’analyse du site.

Une attaque DDoS ne confirme pas à elle seule une fuite de données, mais ne l’exclut pas non plus. Si vous constatez en parallèle des connexions à des comptes que vous ne reconnaissez pas ou des modifications de fichiers, considérez-les comme des indices distincts d’une possible compromission.

Comment réduire le risque et choisir une protection ?

L’essentiel est de disposer d’une protection qui intervient en amont du serveur, dans le réseau de l’opérateur ou au sein d’un service spécialisé dans le filtrage du trafic. Un pare-feu local peut rejeter des requêtes, mais il ne peut pas libérer la bande passante d’une connexion déjà saturée par l’attaque.

Un CDN, c’est-à-dire un réseau de serveurs qui servent d’intermédiaires pour distribuer les contenus, peut alléger la charge du site et proposer des fonctions de protection contre les attaques DDoS. Un WAF, ou pare-feu applicatif web, aide à filtrer les requêtes suspectes adressées au site. Ces protections ne sont toutefois ni interchangeables ni une garantie de résistance : l’étendue du service, sa configuration et le type d’attaque jouent un rôle déterminant.

Avant de choisir un hébergement ou une protection supplémentaire, vérifiez dans la documentation à jour du prestataire :

si la protection couvre uniquement les sites WWW ou également les autres services que vous utilisez ;
si elle s’active automatiquement et comment signaler une attaque en cours ;
quels sont les limites, les exclusions et les éventuels frais applicables ;
si, pendant une attaque, l’opérateur peut couper le trafic vers l’adresse protégée pour préserver son réseau.

Si vous utilisez un service de protection intermédiaire, l’accès direct au serveur d’origine doit être restreint conformément à ses recommandations. Sinon, l’attaquant peut contourner le filtre. Les sauvegardes permettent de récupérer les données après d’autres incidents, mais elles n’arrêtent pas, à elles seules, une attaque DDoS.

Que faire lorsque le service cesse de fonctionner ?

Contactez d’abord votre hébergeur ou votre prestataire de protection. Indiquez l’heure d’apparition du problème, les services touchés, les symptômes et les mesures disponibles. Demandez-lui de confirmer la cause et de mettre en place un filtrage adapté.

En cas d’attaque applicative, limiter temporairement le nombre de requêtes ou désactiver une fonction particulièrement gourmande en ressources peut être utile. Ces mesures risquent toutefois de gêner également les clients légitimes. Par exemple, restreindre la recherche de produits peut alléger la charge de la boutique, mais un filtre trop strict bloquera une partie des acheteurs.

Ne considérez pas le redémarrage du serveur ou l’achat de ressources supplémentaires comme une solution garantie. Conservez les journaux, consignez les modifications effectuées et informez les utilisateurs par un canal indépendant. Si le service fonctionne correctement pour le moment, préparez dès maintenant un élément concret de votre plan : les coordonnées du contact d’urgence chez l’opérateur, accompagnées de la procédure de signalement d’une attaque.

À lire aussi : Que signifie www ?