Attaque DDoS : comprendre et se protéger

Une attaque DDoS rend un site ou un service indisponible en l’inondant de trafic factice venu de nombreuses sources. Pour s’en protéger, combinez filtrage en amont, CDN ou protection spécialisée, seuils de débit, supervision et procédure de crise testée avant l’incident.

Ce qui se passe pendant une attaque DDoS

Une attaque par déni de service distribué ne commence pas toujours par un vol de données. Elle attaque d’abord la disponibilité : saturer la bande passante, épuiser les équipements réseau ou forcer l’application à traiter trop de requêtes coûteuses.

Le mot décisif est distribué. Le trafic arrive de nombreuses machines compromises, de relais ouverts ou de services détournés. Bloquer une seule adresse ne suffit donc presque jamais, surtout lorsque les sources changent au fil des minutes.

Pour un site marchand, un média local ou une API métier, le symptôme public est brutal : les vrais visiteurs n’entrent plus. Côté exploitation, on voit plutôt des files d’attente, des erreurs de passerelle, des délais qui grimpent et des journaux remplis de requêtes répétitives.

Trois familles de DDoS à distinguer

Une bonne défense commence par le type de pression observé. Le même mot DDoS couvre des attaques très différentes, et le bon réflexe dépend de l’endroit où la saturation apparaît.

La différence compte au moment de choisir l’hébergeur. Un VPS bien dimensionné tient mieux une charge légitime, mais il ne remplace pas une protection placée avant l’origine lorsque le lien d’accès ou le pare-feu frontal est saturé.

Pourquoi l’hébergement seul ne suffit pas toujours

Un serveur plus puissant aide si le problème vient d’une page lente, d’une base de données trop juste ou d’un pic normal de visiteurs. Face à un DDoS, le danger se situe avant cela : le trafic peut atteindre l’infrastructure avant que votre application réponde.

C’est pour cela que les architectures sérieuses séparent plusieurs couches :

• DNS et routage : faire arriver le trafic vers une couche capable de filtrer, pas directement vers l’origine.
• CDN ou protection en bordure : absorber les requêtes courantes et masquer l’adresse réelle du serveur.
• WAF et règles applicatives : limiter les formulaires, connexions, recherches et endpoints coûteux.
• Journalisation : garder assez de traces pour distinguer incident applicatif, robot agressif et attaque distribuée.

Cette séparation évite une erreur fréquente : changer d’offre VPS après chaque incident, alors que le vrai manque se trouve dans le filtrage ou dans la procédure de crise. Le support local a une valeur, surtout quand l’affluence n’attend pas une réponse automatique.

Options visibles dans les données HostScout

Les offres ci-dessous ne désignent pas un vainqueur universel. Elles montrent plutôt les formes de tarification à vérifier avant de protéger un site francophone, une API ou un serveur de jeu.

Pour un projet hébergé en France, Belgique, Suisse ou Canada francophone, le critère pratique n’est pas seulement le prix affiché. Vérifiez la facture complète : localisation de la couche de bordure, langue du support, masquage de l’origine et délais de réaction pendant l’incident.

Quand choisir une protection DDoS dédiée

Une protection dédiée devient raisonnable si l’indisponibilité coûte plus cher que la défense, si votre activité subit des pics publics, ou si vous exploitez un service difficile à cacher derrière du cache.

Choisissez une couche spécialisée si vous reconnaissez plusieurs signaux :

• Revenus dépendants de la disponibilité : boutique, réservation, billetterie, SaaS ou API client.
• Origine exposée : adresse du serveur facile à retrouver, ancien DNS, serveur de jeu ou service TCP direct.
• Charge applicative coûteuse : recherche interne, connexion, panier, génération de pages ou endpoints non cachables.
• Équipe réduite : personne ne peut analyser les journaux et modifier les règles pendant une attaque.

À l’inverse, ne surachetez pas une protection complexe si vous lancez un site vitrine peu exposé. Commencez par DNS propre, sauvegardes, cache, supervision et un fournisseur capable d’escalader.

Comment comparer les fournisseurs sans se tromper

Le bon comparatif ne part pas d’un classement général. Il part de votre surface d’exposition : domaine, origine, CDN, API, serveur de jeu, messagerie transactionnelle et dépendances externes.

OVHcloud, Scaleway ou Infomaniak peuvent être pertinents pour l’hébergement ou l’infrastructure régionale. Mais une défense DDoS efficace demande de vérifier ce qui filtre réellement avant l’origine, pas seulement le pays du centre de données.

Posez les questions dans cet ordre :

• Où le trafic est-il filtré ? Avant le serveur, au niveau CDN, au niveau réseau ou seulement dans l’application.
• Que se passe-t-il pour les protocoles non HTTP ? Un site web, une API et un serveur de jeu ne se défendent pas de la même façon.
• Qui intervient pendant l’incident ? Support inclus, option payante, tableau de bord autonome ou procédure manuelle.
• Quelles limites déclenchent une facture ? Requêtes, bande passante, règles WAF, journaux, sièges, domaines ou assistance.

Plan d’action avant le premier incident

Méthode HostScout

Nous séparons les faits observables des conseils éditoriaux. Les prix cités ici viennent des données fournisseur intégrées à HostScout et datées dans nos contrôles. Les formulations de choix restent volontairement prudentes, car la protection DDoS dépend du protocole, du trafic normal et du coût réel d’une interruption.