Comment arrêter et empêcher une attaque DDoS dans WordPress

WordPress est l’un des constructeurs de sites Web les plus populaires au monde car il offre des fonctionnalités puissantes et une base de code sécurisée. Cependant, cela ne protège pas WordPress ou tout autre logiciel contre les attaques DDoS malveillantes, qui sont courantes sur Internet.

Les attaques DDoS peuvent ralentir les sites Web et éventuellement les rendre inaccessibles aux utilisateurs. Ces attaques peuvent cibler des sites Web de grande et de petite taille.

Maintenant, vous vous demandez peut-être comment un site Web de petite entreprise utilisant WordPress peut empêcher de telles attaques DDoS avec des ressources limitées.

Dans ce guide, nous vous montrerons comment arrêter et empêcher efficacement une attaque DDoS dans WordPress. Notre objectif est de vous aider à apprendre à gérer la sécurité de votre site Web contre une attaque DDoS comme un professionnel total.

Qu’est-ce qu’une attaque DDoS?

L’attaque DDoS, abréviation de Distributed Denial of Service Attack, est un type de cyberattaque qui utilise des ordinateurs et des appareils compromis pour envoyer ou demander des données à partir d’un serveur d’hébergement WordPress. Le but de ces requêtes est de ralentir et éventuellement de planter le serveur de destination.

Les attaques DDoS sont une forme évoluée d’attaques DoS (déni de service). Contrairement à une attaque DoS, ils profitent de plusieurs machines ou serveurs compromis répartis dans différentes régions.

Ces machines compromises forment un réseau, parfois appelé botnet. Chaque machine affectée agit comme un bot et lance des attaques contre le système ou le serveur cible.

Cela leur permet de passer inaperçu pendant un certain temps et de causer un maximum de dégâts avant d’être bloqués.

Même les plus grandes sociétés Internet sont vulnérables aux attaques DDoS.

En 2018, GitHub, une plateforme d’hébergement de code populaire, a été témoin d’une attaque DDoS massive qui a envoyé 1,3 téraoctets par seconde de trafic vers ses serveurs.

Vous vous souvenez peut-être également de la célèbre attaque de 2016 contre DYN (un fournisseur de services DNS). Cette attaque a fait l’objet d’une couverture médiatique mondiale car elle a touché de nombreux sites Web populaires tels qu’Amazon, Netflix, PayPal, Visa, AirBnB, The New York Times, Reddit et des milliers d’autres sites Web.

Pourquoi les attaques DDoS se produisent-elles?

Il existe plusieurs motivations derrière les attaques DDoS. Voici quelques exemples courants:

• Des gens férus de technologie qui sont tout simplement ennuyés et aventureux
• Personnes et groupes essayant de faire valoir un point politique
• Groupes ciblant des sites Web et des services dans un pays ou une région en particulier
• Attaques ciblant une entreprise ou un fournisseur de services spécifique pour leur causer un préjudice financier
• Faire chanter et collecter des rançons

Quelle est la différence entre une attaque par force brute et une attaque DDoS?

Les attaques par force brute tentent généralement de s’introduire dans un système en devinant des mots de passe ou en essayant des combinaisons aléatoires pour obtenir un accès non autorisé à un système.

Les attaques DDoS sont simplement utilisées pour bloquer le système cible, le rendant inaccessible ou le ralentir.

Pour plus d’informations, consultez notre guide sur la façon de bloquer les attaques par force brute dans WordPress avec des instructions étape par étape.

Quels dommages une attaque DDoS peut-elle causer?

Les attaques DDoS peuvent rendre un site Web inaccessible ou réduire les performances. Cela peut entraîner une mauvaise expérience utilisateur, une perte d’activité et les coûts d’atténuation de l’attaque peuvent atteindre des milliers de dollars.

Voici une ventilation de ces coûts:

• Perte d’activité due à l’inaccessibilité du site.
• Coût du service client pour répondre aux questions liées à l’interruption de service
• Coût de l’atténuation de l’attaque en engageant des services de sécurité ou de support
• Le plus gros coût est la mauvaise expérience utilisateur et la réputation de la marque.

Comment arrêter et empêcher les attaques DDoS dans WordPress

Les attaques DDoS peuvent être intelligemment déguisées et difficiles à gérer. Cependant, avec certaines meilleures pratiques de sécurité de base, vous pouvez facilement empêcher et empêcher les attaques DDoS d’affecter votre site Web WordPress.

Voici les étapes à suivre pour prévenir et arrêter les attaques DDoS sur votre site WordPress.

Éliminer les attaques DDoS / verticales Brute Force Attack

La meilleure chose à propos de WordPress est qu’il est très flexible. WordPress permet aux plugins et outils tiers d’être intégrés à votre site Web et d’ajouter de nouvelles fonctionnalités.

Pour ce faire, WordPress met plusieurs API à la disposition des développeurs. Ces API sont des méthodes permettant aux plugins et services WordPress tiers d’interagir avec WordPress.

Cependant, certaines de ces API peuvent également être exploitées lors d’une attaque DDoS en envoyant une tonne de demandes. Vous pouvez les désactiver en toute sécurité pour réduire ces demandes.

Désactiver XML RPC dans WordPress

XML-RPC permet aux applications tierces d’interagir avec votre site Web WordPress. Par exemple, vous avez besoin de XML-RPC pour utiliser l’application WordPress sur votre appareil mobile.

Si vous êtes comme la grande majorité des utilisateurs qui n’utilisent pas l’application mobile, vous pouvez désactiver XML-RPC en ajoutant simplement le code suivant au fichier .htaccess de votre site Web.

# Block WordPress xmlrpc.php requests

order deny,allow
deny from all

Pour des méthodes alternatives, consultez notre guide sur la façon de désactiver facilement XML-RPC dans WordPress.

Désactiver l’API REST dans WordPress

L’API WordPress REST JSON permet aux plugins et aux outils d’accéder aux données WordPress, de mettre à jour le contenu et / ou même de les supprimer. Voici comment désactiver l’API REST dans WordPress.

La première chose à faire est d’installer et d’activer le plugin Disable API WP Rest. Pour plus de détails, consultez notre guide étape par étape sur la façon d’installer un plugin WordPress.

Le plugin fonctionne immédiatement et désactivera simplement l’API REST pour tous les utilisateurs qui ne sont pas connectés.

Activer WAF (pare-feu d’application de site Web)

La désactivation des vecteurs d’attaque comme l’API REST et XML-RPC offre une protection limitée contre les attaques DDoS. Votre site Web est toujours vulnérable aux requêtes HTTP normales.

Bien que vous puissiez atténuer une petite attaque DOS en essayant de détecter les adresses IP de la mauvaise machine et de les bloquer manuellement, cette approche n’est pas très efficace lorsqu’il s’agit d’une attaque DDoS importante.

Le moyen le plus simple de bloquer les demandes suspectes consiste à activer le pare-feu des applications du site Web.

Le pare-feu d’application de site Web agit comme un proxy entre votre site Web et tout le trafic entrant. Il utilise un algorithme intelligent pour détecter toutes les demandes suspectes et les bloquer avant qu’elles n’atteignent le serveur de votre site Web.

Nous vous recommandons d’utiliser Sucuri car c’est le meilleur plugin de sécurité WordPress et pare-feu de site Web. Il s’exécute au niveau DNS, ce qui signifie qu’ils peuvent détecter une attaque DDoS avant de pouvoir faire une demande à votre site Web.

Le prix de Sucuri commence à partir de 20 $ par mois (payé annuellement).

Nous utilisons Sucuri dans WPBeginner. Consultez notre étude de cas sur la façon dont ils aident à bloquer des centaines de milliers d’attaques sur notre site Web.

Alternativement, vous pouvez également utiliser Cloudflare. Cependant, le service gratuit de Cloudflare n’offre qu’une protection DDoS limitée. Vous devrez au moins vous inscrire à votre plan d’affaires pour la protection DDoS de couche 7, qui coûte environ 200 $ par mois.

Consultez notre article sur Sucuri vs Cloudflare pour une comparaison détaillée côte à côte.

Remarque: Les pare-feu d’applications Web (WAF) qui s’exécutent au niveau de l’application sont moins efficaces lors d’une attaque DDoS. Ils bloquent le trafic une fois qu’il a déjà atteint votre serveur Web, ce qui affecte toujours les performances globales de votre site Web.

Découvrir s’il s’agit d’une Brute Force ou d’une attaque DDoS

Les attaques par force brute et DDoS utilisent intensivement les ressources du serveur, ce qui signifie que leurs symptômes sont assez similaires. Votre site Web ralentira et pourrait se bloquer.

Vous pouvez facilement savoir s’il s’agit d’une attaque par force brute ou d’une attaque DDoS simplement en consultant les rapports de connexion du plugin Sucuri.

Il vous suffit d’installer et d’activer le plugin gratuit Sucuri, puis d’aller sur Sucuri Security »Dernières connexions page.

Si vous voyez beaucoup de demandes de connexion aléatoires, cela signifie que votre administrateur wp est soumis à une attaque par force brute. Pour l’atténuer, vous pouvez voir notre guide sur la façon de bloquer les attaques par force brute dans WordPress.

Choses à faire lors d’une attaque DDoS

Des attaques DDoS peuvent se produire même si vous disposez d’un pare-feu d’application Web et d’autres protections. Des entreprises comme CloudFlare et Sucuri traitent régulièrement ces attaques, et la plupart du temps vous ne le découvrirez jamais car elles peuvent facilement les atténuer.

Cependant, dans certains cas, lorsque ces attaques sont importantes, cela peut toujours vous affecter. Dans ce cas, il vaut mieux être prêt à atténuer les problèmes pouvant survenir pendant et après l’attaque DDoS.

Voici quelques mesures que vous pouvez prendre pour minimiser l’impact d’une attaque DDoS.

1. Alertez les membres de votre équipe

Si vous avez une équipe, vous devez en informer vos collègues. Cela les aidera à se préparer aux demandes de service client, à rechercher les problèmes potentiels et à les aider pendant ou après l’attaque.

2. Informez les clients des inconvénients.

Une attaque DDoS peut affecter l’expérience utilisateur sur votre site Web. Si vous gérez une boutique WooCommerce, vos clients peuvent ne pas être en mesure de passer une commande ou de se connecter à leur compte.

Vous pouvez annoncer par le biais de vos comptes de réseaux sociaux que votre site Web rencontre des difficultés techniques et que tout reviendra bientôt à la normale.

Si l’attaque est importante, vous pouvez également utiliser leur service de marketing par e-mail pour communiquer avec les clients et leur demander de suivre leurs mises à jour sur les réseaux sociaux.

Si vous avez des clients VIP, vous pouvez utiliser le service téléphonique de votre entreprise pour passer des appels téléphoniques individuels et leur faire savoir comment vous travaillez pour restaurer les services.

La communication pendant ces moments difficiles fait une grande différence pour maintenir la réputation de votre marque.

3. Contacter le service de sécurité et d’hébergement

Contactez votre hébergeur WordPress. L’attaque dont vous êtes peut-être témoin pourrait faire partie d’une attaque plus large ciblant vos systèmes. Dans ce cas, ils seront en mesure de vous fournir les dernières mises à jour sur la situation.

Contactez votre service de pare-feu et informez-le que votre site Web fait l’objet d’une attaque DDoS. Ils peuvent peut-être atténuer la situation encore plus rapidement et peuvent vous fournir plus d’informations.

Chez les fournisseurs de pare-feu comme Sucuri, vous pouvez également définir vos paramètres pour qu’ils soient en mode paranoïaque, ce qui aide à bloquer de nombreuses demandes et à rendre votre site Web accessible aux utilisateurs normaux.

Protégez votre site Web WordPress

WordPress est assez sûr hors de la boîte. Cependant, en tant que constructeur de sites Web le plus populaire au monde, il est souvent attaqué par des pirates.

Heureusement, il existe de nombreuses meilleures pratiques de sécurité que vous pouvez appliquer sur votre site Web pour le rendre encore plus sécurisé.

Nous avons compilé un guide de sécurité WordPress étape par étape complet pour les débutants. Il vous guidera à travers les meilleurs paramètres de sécurité WordPress pour protéger votre site Web et vos données contre les menaces courantes.

Nous espérons que cet article vous a aidé à apprendre à bloquer et à empêcher une attaque DDoS dans WordPress. Vous pouvez également consulter notre guide des erreurs WordPress les plus courantes et comment les corriger.

Si vous avez aimé cet article, abonnez-vous à notre chaîne YouTube pour regarder des vidéos de didacticiel WordPress. Vous pouvez également nous trouver sur Twitter et Facebook.