Attaque DDoS : définition, fonctionnement et protection

Attaque DDoS : la définition du déni de service distribué

Une attaque DDoS est une tentative de rendre un service en ligne indisponible en le noyant sous un volume de requêtes qu'il ne peut pas absorber. Le sigle vient de l'anglais <strong>Distributed Denial of Service</strong>, que l'on traduit par « déni de service distribué ». Le site visé n'est pas piraté au sens classique : il est simplement débordé, comme un standard téléphonique qui sonnerait sans arrêt.

Le mot « distribué » est le cœur de la définition. Une simple attaque en déni de service (DoS) part d'une seule machine, et un pare-feu la bloque assez facilement. Une attaque DDoS, elle, vient de nombreux ordinateurs, objets connectés ou serveurs répartis dans le monde entier. Le trafic semble venir de partout à la fois, ce qui le rend bien plus difficile à filtrer.

Que signifie concrètement « déni de service » ?

Le déni de service désigne le résultat visé : priver les utilisateurs légitimes d'un service. Vos clients ne peuvent plus charger vos pages, passer commande ou remplir un formulaire. Côté navigateur, cela se traduit souvent par des pages qui tournent dans le vide ou par des codes de réponse HTTP d'erreur, comme la 503 ou la 504.

Ce qu'une attaque DDoS n'est pas

Une attaque DDoS ne sert pas, en elle-même, à voler des fichiers ou des mots de passe. Elle se distingue d'une intrusion, où l'attaquant prend le contrôle de votre site. Certaines campagnes combinent pourtant les deux : le DDoS occupe les équipes pendant qu'une autre attaque cherche une porte d'entrée. C'est une raison de plus pour ne pas la prendre à la légère.

Pourquoi lancer une attaque DDoS ? Les motivations des auteurs

On imagine souvent que seules les grandes organisations sont visées. C'est faux. Les auteurs disposent aujourd'hui d'outils loués à bas coût, et n'importe quel site peut devenir une cible. Leurs raisons varient beaucoup.

• <strong>Le racket</strong> : l'attaquant envoie une demande de rançon et menace de lancer ou de prolonger l'attaque si la victime ne paie pas.
• <strong>L'hacktivisme</strong> : des groupes militants ou pro-étatiques visent des administrations, des banques ou des entreprises pour faire passer un message politique.
• <strong>La concurrence déloyale</strong> : faire tomber la boutique d'un concurrent un jour de soldes ou de lancement.
• <strong>La diversion</strong> : détourner l'attention des équipes de sécurité pendant une tentative d'intrusion.
• <strong>La vengeance ou le jeu</strong> : un ancien salarié, un client mécontent ou un joueur frustré, cas fréquent dans le jeu vidéo en ligne.

Pourquoi le sujet est-il important pour une PME ? Parce qu'un site indisponible ne vend plus et ne génère plus de demandes de devis. Une attaque peut entraîner une perte de chiffre d'affaires directe, mais aussi une perte de confiance. Si elle dure, Google peut avoir du mal à explorer vos pages, ce qui pèse à terme sur votre référencement naturel.

Comment fonctionne une attaque DDoS ?

Pour mettre en œuvre une attaque DDoS, l'attaquant s'appuie presque toujours sur un <strong>botnet</strong>. Il s'agit d'un réseau de machines infectées par un logiciel malveillant, à l'insu de leurs propriétaires : ordinateurs, caméras IP, box internet, serveurs mal protégés. Sur ordre d'un serveur de commande, toutes ces machines se mettent à envoyer des requêtes vers la même cible au même moment.

Le recrutement de ces machines repose sur l'exploitation des failles : mots de passe par défaut jamais changés, logiciels non mis à jour, services exposés sans raison sur internet. C'est ce qui permet de lancer une attaque et pouvoir la maintenir pendant des heures, voire des jours. Il existe trois grandes familles d'attaques, et chaque type d'attaque vise une couche différente de votre infrastructure.

Les attaques volumétriques

Elles cherchent à saturer la bande passante. Le principe est d'envoyer plus de données que le lien réseau ne peut en transporter. Les techniques dites « par amplification » détournent des serveurs publics, notamment DNS, pour multiplier la taille du trafic renvoyé vers la victime. C'est la forme la plus spectaculaire.

Les attaques sur les protocoles

Elles visent les équipements réseau et les ressources du système : pare-feu, répartiteurs de charge, tables de connexions du serveur. L'exemple classique est l'inondation SYN, qui ouvre des milliers de connexions sans jamais les terminer. Le serveur garde de la mémoire pour chacune d'elles et finit par ne plus pouvoir en accepter de nouvelles.

Les attaques applicatives

Ce sont les plus discrètes. Elles imitent des visiteurs normaux et appellent en boucle des pages coûteuses : recherche interne, panier, page de connexion. Le volume reste modeste, mais chaque requête fait travailler la base de données. Un site WordPress sur un hébergement d'entrée de gamme peut tomber avec un trafic qui paraît banal.

Exemples d'attaques DDoS en France et dans le monde

Les cas médiatisés aident à comprendre l'ampleur possible du phénomène. En 2016, le botnet Mirai, composé surtout d'objets connectés piratés, a frappé le fournisseur DNS Dyn. Comme le DNS traduit les noms de domaine en adresses, des services comme Twitter sont devenus inaccessibles pour de nombreux internautes, alors qu'ils n'étaient pas eux-mêmes visés.

En France, plusieurs services de l'État ont été visés en mars 2024 par une attaque d'une intensité jugée inhabituelle par le gouvernement. La Poste et La Banque Postale ont aussi vu leurs services en ligne perturbés par des attaques DDoS revendiquées par des groupes hacktivistes. Dans le jeu vidéo, l'éditeur français Ankama a dû faire face à des attaques à répétition contre les serveurs de ses jeux, au point de rendre les parties impossibles pendant des heures.

Ces exemples ont un point commun : la victime d'une attaque n'a pas forcément commis d'erreur. Elle était simplement visible, exposée ou symbolique. Pour une PME, le risque vient moins des hacktivistes que des attaques opportunistes et des tentatives de racket, qui visent des sites mal protégés.

Suivre une attaque DDoS en cours ou en direct

On voit souvent passer des recherches sur une attaque DDoS en cours en France. Des outils publics comme Cloudflare Radar publient des tendances sur le trafic et les attaques observées sur leur réseau, pays par pays. Ils donnent une vue d'ensemble, mais ne vous diront pas si votre propre site est attaqué. Pour cela, ce sont vos outils de supervision et votre hébergeur qui font foi.

Comment se protéger d'une attaque DDoS

Bloquer une attaque DDoS une fois qu'elle a commencé est difficile si rien n'a été préparé. La bonne approche consiste à comprendre et anticiper, pour reprendre le titre du guide que l'ANSSI consacre au sujet. L'idée est simple : faire en sorte que le trafic malveillant soit absorbé ou filtré avant d'atteindre votre serveur.

Les mesures de prévention nécessaires

• <strong>Choisir un hébergement adapté</strong> : vérifiez que votre hébergement web inclut une protection anti-DDoS au niveau du réseau, ce que proposent la plupart des grands hébergeurs.
• <strong>Placer un CDN ou un proxy en amont</strong> : un CDN comme Cloudflare répartit le trafic sur des centaines de serveurs et masque l'adresse réelle de votre machine.
• <strong>Activer un pare-feu applicatif (WAF)</strong> : il filtre les requêtes suspectes et limite le nombre d'appels par visiteur sur les pages sensibles.
• <strong>Mettre en cache</strong> : plus vos pages sont servies en cache, moins chaque requête coûte au serveur.
• <strong>Réduire la surface d'attaque</strong> : fermez les services inutiles, changez les mots de passe par défaut, appliquez les mises à jour.
• <strong>Superviser</strong> : une alerte de disponibilité vous prévient dans la minute, et non quand un client appelle.

Ces protections font partie d'une hygiène plus large. Notre checklist sécurité site web reprend les points à vérifier, et une maintenance régulière du site évite que des failles connues restent ouvertes pendant des mois.

Que faire en cas d'attaque DDoS en cours ?

Si votre site est attaqué, gardez la tête froide et suivez un ordre précis. Les actions effectuées dans la première heure comptent beaucoup.

• Confirmez l'attaque : vérifiez qu'il ne s'agit pas d'une panne, d'une mise à jour ratée ou d'un pic de trafic légitime.
• Prévenez votre hébergeur ou votre prestataire : il dispose souvent de moyens de filtrage que vous n'avez pas.
• Activez le mode de protection renforcée de votre CDN ou de votre pare-feu, s'il existe.
• Conservez les journaux, les horaires et les éventuels messages de l'attaquant : ils serviront pour la plainte.
• Ne payez pas de rançon : rien ne garantit que l'attaque s'arrêtera, et vous signalez que vous êtes une cible rentable.
• Signalez les faits sur cybermalveillance.gouv.fr et déposez plainte.

Les erreurs courantes face au DDoS

La première erreur est de se croire trop petit pour être visé. Les outils d'attaque se louent en ligne et frappent parfois au hasard. La deuxième est de compter sur le seul pare-feu du serveur. Face à une attaque volumétrique, le lien réseau sature avant même que le pare-feu ne puisse trier quoi que ce soit.

Autre piège : laisser l'adresse IP réelle du serveur visible alors que l'on a installé un CDN. L'attaquant contourne alors la protection et frappe directement la machine. Enfin, beaucoup d'entreprises n'ont aucun plan écrit. Le jour J, personne ne sait qui appeler ni où trouver les accès. Si vous préparez une refonte ou une création de site internet, c'est le bon moment pour intégrer ces protections dès la conception. Et si une attaque a servi de diversion à une intrusion, notre guide site piraté : que faire détaille les étapes de remise en état.

Questions fréquentes