Il est 2 h du matin et l'alerte vous réveille : le taux d'erreur de l'API est passé de 0,2 % à 68 % en quelques minutes, la bande passante sortante est bloquée à 98 %, et le canal de support se remplit de messages disant que le site ne se charge pas. Ce n'est pas la première fois que vous soupçonnez un DDoS, mais la sensation — le chiffre d'affaires qui s'écoule en temps réel — ne s'atténue jamais. Ce n'est pas un article théorique. C'est un chemin de riposte que vous pouvez exécuter en 15 minutes : confirmer, stopper l'hémorragie, intégrer le nettoyage, récupérer — plus trois erreurs qui doublent discrètement les dégâts.
Étape 1 : passez 2 minutes à confirmer qu'il s'agit vraiment d'une attaque
Un mauvais diagnostic coûte plus cher que l'attaque elle-même : traitez un pic de ventes comme une attaque et vous bloquez de vrais utilisateurs ; traitez une attaque comme une panne serveur et vous brûlez votre fenêtre dorée à redémarrer et dimensionner des choses qui ne serviront à rien. Vérifiez trois signaux :
- Dispersion des sources : les pics normaux se concentrent dans votre vraie base utilisateurs (mêmes régions, mêmes réseaux/ASN) ; le trafic DDoS vient de milliers de blocs réseau inconnus, souvent à travers de nombreux pays. Regardez votre table de connexions ou les données de flux de votre fournisseur — la distribution des sources raconte l'histoire instantanément.
- Forme du protocole et des paquets : une soudaine inondation de UDP, SYN, ACK ou ICMP — la bande passante n'est peut-être pas pleine mais votre table de connexions est épuisée — pointe vers une attaque de protocole ou volumétrique ; une bande passante bloquée près du plafond signifie généralement une réflexion/amplification UDP (services ouverts abusés comme NTP, DNS, SSDP, Memcached).
- Corrélation métier : une promotion fait monter commandes, navigation et connexions ensemble ; le trafic d'attaque « ne fait monter que les requêtes, pas les conversions », avec un taux d'erreur et une dispersion des sources grimpant de concert.
Règle générale : sources dispersées + erreurs en hausse + bande passante ou connexions saturées, tous en même temps, signifie attaque. Si un seul de ces signaux tient, éliminez d'abord les bugs applicatifs, les verrous de base ou une panne de liaison amont.
Si vous n'êtes pas sûr, commencez par Comment savoir si votre site subit une attaque DDoS et posez le bon diagnostic avant d'avancer.
Étape 2 : stopper l'hémorragie en 5 minutes (protégez le cœur, abandonnez le décor)
Cette étape a un seul but : ne laissez pas l'origine être touchée directement avant que le nettoyage ne soit en place. Par ordre de priorité :
- Vérifiez immédiatement si votre IP d'origine est exposée. C'est la cause racine de 90 % des échecs de protection — si un attaquant a déjà vu votre vraie IP, peu importe le CDN ou le nettoyage devant : ils contournent et frappent la source directement. Si vous avez déjà pointé un enregistrement A directement vers l'origine, ou fui l'IP via un ancien mail/DNS, changez-la ou protégez-la maintenant.
- Faites résoudre le DNS uniquement vers les nœuds de protection. Chaque domaine public doit pointer vers la couche de nettoyage/périphérie ; l'IP d'origine doit disparaître de l'internet public.
- Activez le CDN et limitez les points critiques. Déchargez les ressources statiques vers un CDN ; ajoutez des limites de débit par IP et des défis humains sur connexion, API et recherche — les points que les attaques CC aiment broyer en premier.
- Dégradez avec élégance. Protégez d'abord le paiement et la connexion — les points où une panne coûte de l'argent — et désactivez temporairement les images lourdes, la vidéo et les fonctions optionnelles pour libérer connexions et bande passante pour le chemin central.
- Appelez votre hébergeur et votre fournisseur cloud pour réserver de la capacité. Beaucoup de fournisseurs ne débloquent la capacité de protection cachée ou un nettoyage temporaire qu'en pleine attaque ; passez l'appel tôt, pas après.
La dure vérité : la plupart des protections « gratuites/basiques », dès que l'attaque dépasse le quota cadeau, vous limitent, vous facturent par attaque, ou vous mettent en trou noir — et les attaques arrivent presque toujours exactement quand vous ne pouvez pas vous permettre d'être hors ligne : un lancement de jeu, une heure zéro de ventes, un jour de paie, une élection.
Étape 3 : intégrez le nettoyage professionnel et faites revenir le trafic propre
Si l'auto-assistance ne tient pas, la récupération la plus rapide est un service de protection DDoS professionnel. Trois formes d'intégration, à choisir selon l'architecture :
| Méthode | Temps de prise d'effet | Idéal pour | Coût |
|---|---|---|---|
| Pilotage DNS | minutes | sites, API, HTTP/HTTPS | repointez les domaines vers les nœuds de protection |
| Tunnel GRE / BGP | dizaines de minutes | racks propres, cloud hybride, jeu, non-HTTP (UDP) | coordonnez le tunnel avec le datacenter |
| Hébergement protégé | instantané | nouveaux services, sans re-architecturer | migrez le service vers les nœuds protégés |
AwayDDoS utilise une architecture de nettoyage à deux couches : les nœuds de périphérie près de la source diluent d'abord l'inondation volumétrique, puis le trafic restant va vers les centres de nettoyage pour un filtrage en profondeur — CC, SYN Flood et trafic de botnet déguisé sont précisément identifiés et supprimés, et seul le trafic qui passe revient vers votre origine via un routage intelligent. Point crucial : prix fixe pendant les attaques, aucun frais de surcoût, aucun trou noir — vous n'avez jamais à choisir entre protéger l'activité et faire exploser la facture.
Étape 4 : pendant et après — ne tombez pas dans le « piège de la récupération »
- Pendant : continuez à surveiller et journalisez le début/fin de l'attaque, le pic (Gbps ou dizaines de milliers de QPS), le type et les caractéristiques des sources. Ces journaux sont votre seule base pour l'attribution post-incident, les réclamations d'assurance et le réglage.
- Les 24 heures après sont les plus dangereuses : les attaquants frappent souvent une seconde fois dès que vous « croyez que c'est fini et baissez la garde ». Confirmez que l'IP d'origine est changée/protégée, que les politiques sont verrouillées et que les limites de débit/défis restent actifs avant de parler de rétrogradation.
Trois erreurs fatales les plus fréquentes
« Attendez et voyez ; on gère une fois que ça grossit. » — la fenêtre dorée pour le DDoS est les 10 à 15 premières minutes. Plus vous intégrez le nettoyage tard, plus la perte cumulative est grande (commandes perdues, joueurs partis, réputation endommagée), et une bonne partie est irréversible.
- « Pointer le DNS vers une solution pas encore prête » : vous coupez le DNS mais n'avez pas câblé le chemin de retour correctement, laissant le service hors ligne plus longtemps exprès.
- « Supposer qu'un CDN me met à l'abri » : un CDN normal a une protection de base à bande passante limitée et s'effondre encore sous une amplification au térabit — et si l'origine est exposée, le CDN est inutile.
Résumé : enregistrez ce chemin dans votre runbook
Sous attaque, exécutez-le dans l'ordre : confirmer → masquer l'IP d'origine, le DNS résout uniquement vers les nœuds de protection → activer le CDN et les limites de débit, dégrader avec élégance → intégrer rapidement le nettoyage professionnel. Pour de vrais résultats, voir Études de cas clients ; pour choisir un forfait, lisez Protection DDoS gratuite ou DIY contre professionnelle, ou contactez-nous pour une aide d'experts 7×24 — quand une attaque est en direct, avoir quelqu'un qui peut porter la charge compte plus que tout.