Une attaque par déni de service distribué consiste à mobiliser un grand nombre de machines pour submerger une cible. L'objectif n'est pas de pénétrer votre système mais de le rendre indisponible. Deux familles d'attaques coexistent, et elles ne se contrent pas de la même manière.

Les attaques volumétriques (L3/L4)

Ce sont les plus répandues. Elles inondent votre lien réseau de paquets jusqu'à le saturer, souvent par amplification : l'attaquant exploite des services tiers mal configurés pour multiplier le volume envoyé. Face à ce type d'attaque, seule compte la capacité d'absorption du réseau : si la capacité de filtrage est inférieure au volume de l'attaque, rien ne passe.

Les attaques applicatives (L7)

Plus fines et plus difficiles à détecter, elles envoient un volume modeste de requêtes qui imitent un trafic légitime mais coûtent cher à traiter. Le lien réseau n'est pas saturé, c'est le serveur qui s'épuise. La contre-mesure repose ici sur l'analyse comportementale plutôt que sur la capacité brute.

Reconnaître une attaque, et ne pas la confondre avec une panne

Tous les ralentissements ne sont pas des attaques, et se tromper de diagnostic fait perdre un temps précieux. Quelques signes permettent de trancher rapidement.

  • Service injoignable alors que le processeur et la mémoire du serveur restent à des niveaux normaux : le problème est réseau.
  • Déconnexions massives et simultanées, sans corrélation avec un déploiement ou une mise à jour.
  • Trafic entrant sans rapport avec votre audience habituelle, souvent depuis des origines inhabituelles.
  • À l'inverse, une montée progressive avec un processeur saturé traduit plutôt un sous-dimensionnement ou un code trop gourmand.

Ce que signifie réellement une capacité de 200 Tbps

Ce chiffre désigne la capacité totale d'absorption du réseau de mitigation, pas la bande passante de votre serveur. C'est un indicateur de marge : plus la capacité disponible dépasse le volume des attaques observées, plus le filtrage peut se permettre d'être sélectif sans dégrader le trafic légitime. Une solution dotée d'un excellent algorithme mais d'une capacité insuffisante s'effondre face à une attaque volumétrique, tout simplement parce que le tuyau est plein avant même l'analyse.

Les pièges classiques des offres Anti-DDoS

Toutes les protections annoncées ne se valent pas, et la différence apparaît généralement au pire moment.

  • La protection en option : facturée en supplément, elle n'est souvent activée qu'après la première attaque, donc après les dégâts.
  • Le blackhole : votre adresse IP est simplement rendue inaccessible pour préserver le réseau de l'hébergeur. Techniquement l'attaque cesse, mais votre service est hors ligne, ce qui revient au résultat que cherchait l'attaquant.
  • Les plafonds silencieux : une capacité annoncée qui ne s'applique qu'à certains types de trafic, ou au-delà de laquelle la mitigation s'arrête.
  • La latence ajoutée : une protection mal dimensionnée qui dégrade l'expérience en permanence pour parer une attaque occasionnelle.

Que faire pendant une attaque

Le réflexe le plus courant, changer d'adresse IP dans l'urgence, est rarement le bon : l'attaquant suit généralement la nouvelle adresse en quelques minutes, et vous perdez du temps de service. Commencez par vérifier la charge de votre serveur pour confirmer qu'il s'agit bien d'une attaque réseau, conservez les traces disponibles, puis contactez le support. Avec une mitigation permanente, l'essentiel se règle en amont sans intervention de votre part.

Si vous hébergez un serveur de jeu, notre reverse proxy Anti-DDoS FiveM ajoute une couche dédiée aux serveurs gaming, y compris si vous êtes hébergé ailleurs. Pour les autres services, la protection est incluse sur l'ensemble de nos VPS et serveurs dédiés.