Hébergement VPS protégé contre les DDoS : le filtrage inclus, pas revendu en option
Le filtrage DDoS au niveau réseau est inclus dans les cinq offres KVM NVMe à partir de 9.99 $ par mois, sans surcoût. Cette page expose précisément ce que ce filtrage arrête, ce qu'il n'arrête pas, et comment déterminer si vous en avez réellement besoin.
La réponse courte
Oui, et c'est inclus dans toutes les offres, à partir de VPS-1G à 9.99 $ par mois. Il n'y a pas de palier de sécurité, pas de surcoût par attaque, pas de mise à niveau d'atténuation à acheter au pire moment, ni de facturation au trafic qui explose pendant un incident. Votre adresse IPv4 dédiée reste la vôtre avant, pendant et après une attaque.
Pourquoi cette page existe, et les chiffres qui la sous-tendent
Parce que « protection DDoS incluse » n'est pas la norme du secteur, et que la différence mérite d'être nommée.
DigitalOcean n'inclut pas du tout de protection DDoS avec ses droplets. Vultr ne la propose pas non plus en standard et facture environ 10 $ par mois en option, ce qui, sur une offre pouvant elle-même coûter moins de 6 $ par mois, représente un poste supérieur au prix du serveur. Quand l'atténuation est un extra payant, l'acheteur rationnel s'en passe, et la première fois qu'il découvre son erreur, c'est à l'heure où cela compte.
Nous l'incluons dans toutes les offres et nous tarifons l'offre, pas la protection. Toute la différence commerciale est là, et c'est pourquoi nous y consacrons une page plutôt qu'une puce dans une liste de fonctionnalités.
Ce que fait réellement l'atténuation au niveau réseau
En clair, et sans les adjectifs :
- Il inspecte le trafic avant qu'il n'atteigne votre serveur. Le filtrage s'opère en amont, à la périphérie du réseau, de notre côté de la connexion. Le trafic d'attaque est écarté avant de consommer votre bande passante ou vos vCPU.
- Il absorbe les inondations volumétriques. Inondations UDP, inondations SYN, amplification DNS et NTP, réflexion memcached, inondations à source usurpée : les attaques mesurées en gigabits par seconde dont tout l'objet est de saturer une liaison jusqu'à ce que plus rien n'y passe.
- Il maintient la circulation du trafic légitime. Les paquets légitimes continuent d'être acheminés tandis que les paquets malveillants sont écartés. L'objectif est que votre service reste en ligne, pas seulement que l'attaque soit enregistrée.
- Il fonctionne automatiquement. Personne n'a besoin de s'en apercevoir, d'astreindre un ingénieur ou d'activer un palier payant. Ce n'est pas un dispositif du type « appelez-nous et nous activerons l'atténuation ».
- Il ne change pas votre adresse. Votre IPv4 dédiée reste attribuée tout du long, de sorte que DNS, certificats, règles de pare-feu et listes d'autorisation client n'ont pas à être modifiés.
Ce qu'il ne protège pas
Être précis ici importe plus que de paraître ferme, car la plupart des dommages que nous constatons sur de petits serveurs ne sont pas des inondations.
- Les attaques au niveau applicatif. Une inondation HTTP composée de milliers de requêtes d'apparence ordinaire, issues de navigateurs d'apparence ordinaire, ne peut pas être distinguée d'une journée chargée par le seul filtrage réseau. Un pare-feu applicatif web, une limitation de débit dans nginx ou votre framework, de la mise en cache et un filtrage des bots sont les outils de cette couche, et ils résident sur votre serveur.
- Les identifiants compromis. Si quelqu'un se connecte avec un mot de passe valide, le filtrage n'a rien sur quoi agir. L'authentification par clé SSH, la désactivation de la connexion par mot de passe, la restriction des adresses source et des outils comme fail2ban sont la réponse, et c'est à vous de les configurer.
- Le code vulnérable et les logiciels non corrigés. La plupart des compromissions d'un petit VPS tiennent à une extension CMS obsolète, à un panneau d'administration exposé à internet ou à un service de base de données lié à la mauvaise interface. Aucun filtre réseau ne lit la logique de votre application.
- Les abus sortants depuis votre propre serveur. Si votre instance est détournée et utilisée pour attaquer quelqu'un d'autre, il s'agit de trafic sortant qui n'est pas filtré comme une attaque contre vous. C'est aussi le chemin le plus court vers une plainte pour abus et une suspension de service.
- La perte de données. Le filtrage ne récupère rien. Conservez des sauvegardes et testez leur restauration.
La frontière entre ce que nous filtrons et ce qui reste à votre charge
Chaque offre Open Vista est auto-administrée, et il s'agit d'un choix de produit assumé, non d'une économie de coûts. De notre côté : le matériel physique, le réseau, la couche de virtualisation KVM, le stockage, le filtrage DDoS en amont de votre adresse et une file de support qui répond 24 h/24.
De votre côté : tout ce qui se situe au-dessus du noyau. Nous ne nous connectons pas à votre serveur pour configurer votre pare-feu, mettre à jour votre CMS, régler PostgreSQL, écrire vos règles nginx ou renouveler vos clés SSH. Vous disposez d'un accès root SSH complet, ce qui signifie que la couche applicative vous appartient réellement.
Ce partage des rôles convient à un développeur, à une agence ou à une équipe techniquement autonome, et ne convient pas à une entreprise qui veut que quelqu'un d'autre administre le site. Si c'est la seconde option que vous recherchez, dites-le sur la page de contact et nous vous dirons honnêtement de quel côté de la ligne vous vous situez, plutôt que de vous vendre le mauvais produit.
Comment savoir si vous en avez besoin
Trois questions, dont les réponses honnêtes sont généralement évidentes dès qu'on se les pose.
1. Votre service attire-t-il l'attention ?
Serveurs de jeux, plateformes communautaires, API publiques, services à connotation politique ou concurrentielle, et tout ce qui a déjà été attaqué. Rechercher la visibilité est une caractéristique de ces produits et un risque pour leur hébergement.
2. Une heure d'indisponibilité coûterait-elle plus cher que le serveur ?
Si la réponse est oui, la protection n'est pas le poste coûteux de votre infrastructure, et chercher l'instance non protégée la moins chère est une fausse économie dont la date d'expiration est prévisible.
3. Votre adresse IP est-elle publique et permanente ?
Une IPv4 dédiée est facile à trouver et facile à cibler. Si votre adresse figure dans des enregistrements DNS, dans une liste d'autorisation client ou dans une API publique, considérez qu'elle est connue et traitez-la comme une cible.
Si ces trois questions vont dans le même sens, vous avez besoin de filtrage, et la question devient de savoir si votre hébergeur l'inclut ou le vend séparément. Vérifiez ce point avant de comparer les prix affichés, car une offre à 6 $ plus une option de protection à 10 $ n'est pas une offre à 6 $.
Filtrage inclus sur les cinq offres
Les caractéristiques et les tarifs sont identiques dans toutes nos localisations : New York, aux États-Unis, est déjà en service, et Rabat, au Maroc, est annoncée et bientôt disponible. Ce sont nos deux seules localisations prévues. Le détail complet figure sur la page des offres VPS.
VPS-1G — 9,99 $/mois
1 vCPU, 1 Go de RAM, 30 Go NVMe SSD. Point d'entrée pour le DNS, la supervision et les petits services.
VPS-2G — 19,99 $/mois
1 vCPU, 2 Go de RAM, 40 Go NVMe SSD. Sites clients, outils internes, préproduction.
VPS-3G — 34,99 $/mois
2 vCPU, 3 Go de RAM, 50 Go NVMe SSD. Applications conteneurisées, files d'attente et API.
VPS-4G — 39,99 $/mois
2 vCPU, 4 Go de RAM, 80 Go NVMe SSD. Bases de données, Odoo et e-commerce à trafic réel.
VPS-5G — 49,99 $/mois
3 vCPU, 5 Go de RAM, 100 Go NVMe SSD. Runners de build, CI et charges plus lourdes.
Inclus dans chaque offre
- Virtualisation KVM, root SSH complet
- Stockage NVMe SSD
- Adresse IPv4 dédiée
- Protection DDoS sans surcoût
- SLA de disponibilité 99.9 %
- Support 24/7, en anglais et en français
- Plus de 15 distributions Linux
- Déploiement automatisé en quelques minutes
- Facturation mensuelle, sans engagement
Questions fréquentes sur la protection DDoS
La protection DDoS fait-elle l'objet d'un frais distinct ?
Non. Elle est incluse dans le prix de l'offre sur les cinq offres, à partir de 9,99 $ par mois. Il n'y a pas d'offre de sécurité premium, pas de facturation par attaque et pas de facture qui gonfle parce que vous avez passé une mauvaise semaine.
L'atténuation ralentira-t-elle le trafic légitime ?
Le filtrage s'effectue en périphérie du réseau et, en conditions normales, vous ne le remarquerez pas. Lors d'une attaque de grande ampleur, certains paquets légitimes peuvent être interceptés par le filtrage le temps que le profil soit identifié, de sorte qu'un petit nombre d'utilisateurs réels peuvent rencontrer des tentatives répétées. Nous préférons le décrire honnêtement plutôt que d'affirmer que l'atténuation est invisible dans tous les cas.
Mon IP fait-elle l'objet d'un blackhole ou d'un null-routing pendant une attaque ?
Certains hébergeurs réagissent à une attaque massive en supprimant la route de l'adresse ciblée, ce qui arrête l'attaque et votre service en même temps. Notre approche repose sur un filtrage en amont, afin que le trafic propre continue d'arriver. Nous ne promettrons pas qu'aucune attaque ne sera jamais perceptible, car ce serait une promesse que personne ne peut tenir. Nous promettons en revanche que l'atténuation ne sera jamais un produit facturé.
Cela protège-t-il contre les attaques applicatives et le piratage ?
Non, et quiconque affirme le contraire cherche à vendre. Le filtrage réseau ne peut pas distinguer une requête HTTP malveillante d'une requête légitime. Les pare-feu applicatifs web, la limitation de débit, des mises à jour rigoureuses et le contrôle d'accès relèvent d'un autre travail, et sur un serveur auto-administré, ce travail vous revient.
La protection DDoS est-elle disponible dans les deux centres de données ?
New York est en service aujourd'hui et Rabat arrive bientôt ; ce sont les deux seules localisations que nous prévoyons d'exploiter, et toutes deux incluront le même filtrage sans surcoût. Il n'existe pas de localisation plus discrète offrant une meilleure protection en option.
Faut-il un service administré pour être protégé ?
Non. Le filtrage est appliqué en amont de votre adresse, quelle que soit la façon dont vous administrez le serveur. Ce que le support administré changerait, c'est qui gère la couche applicative au-dessus du noyau, et c'est une décision distincte de la protection DDoS.
Une protection déjà comprise dans le prix
Virtualisation KVM, NVMe SSD, une IPv4 dédiée, un filtrage DDoS et un SLA de 99,9 % à partir de 9,99 $ par mois. Facturation mensuelle, sans engagement, déployé en quelques minutes.