DDoS sur un petit site : qui encaisse le choc
Ou : quand on vise un immeuble, on ferme la rue, et votre boutique est dans la rue.
La réponse courte : une attaque DDoS (déni de service distribué) noie un site sous un trafic envoyé par un grand nombre de machines, pour le rendre injoignable. Sur un hébergement mutualisé, c’est l’hébergeur qui encaisse le choc : Infomaniak et o2switch filtrent avec la protection d’Arbor Networks, OVHcloud inclut une protection anti-DDoS dans ses hébergements web, PlanetHoster annonce un filtrage capable d’absorber plus de 1 Tbit/s. La limite tient à l’adresse IP partagée. Quand une attaque dépasse ce que le filtrage absorbe, le dernier recours des réseaux consiste à jeter tout le trafic destiné à l’adresse visée, une technique décrite par la RFC 7999 sur le « blackholing ». Si cette adresse est partagée, tous les sites qui l’utilisent tombent avec la cible : c’est la face cachée de la sécurité d’un site hébergé.
Il existe deux grandes familles d’attaques. Les attaques volumétriques saturent le réseau avec des paquets ; elles se jouent chez l’hébergeur et ses opérateurs, loin de votre site. Les attaques applicatives envoient des requêtes HTTP qui ressemblent à de vraies visites et font travailler PHP et la base de données ; sur un mutualisé, elles butent sur les limites de ressources de votre compte, et le site ralentit puis renvoie des erreurs bien avant que le serveur ne tombe.
Pour qui : un indépendant ou une petite entreprise qui veut un site sur un mutualisé protégé contre les attaques par saturation, avec une adresse IP dédiée possible en option.
À partir de : 5,75 € HT par mois pour l’hébergement web Infomaniak, facturé à l’année par défaut, sans prix promotionnel affiché (relevé du 12 novembre 2026), protection DDoS incluse.
Pour démarrer : commander l’hébergement web Infomaniak, puis ajouter l’adresse IP dédiée si le site ne doit pas dépendre de ses voisins.
Attaque DDoS sur un site web : ce que fait l’hébergeur, et où s’arrête sa protection
| Type d’attaque | Qui l’encaisse | Ce que vous voyez | Ce qui aide |
|---|---|---|---|
| Volumétrique (réseau, couches 3 et 4) | le réseau de l’hébergeur et son équipement de filtrage | rien si le filtrage suffit, un site injoignable sinon | rien de votre côté sur un mutualisé |
| Au-delà du filtrage | les opérateurs, qui jettent le trafic vers l’adresse visée | tous les sites de l’adresse IP injoignables | une adresse IP dédiée |
| Applicative (couche 7, requêtes HTTP) | votre compte : PHP, base de données, limites de ressources | site lent, erreurs, compte bridé | cache, CDN avec filtrage HTTP, pare-feu applicatif |
Les protections annoncées par les hébergeurs, relevées le 12 novembre 2026 sur leurs pages d’offres :
| Hébergeur | Protection annoncée |
|---|---|
| Infomaniak | protection DDoS d’Arbor Networks, incluse avec tous les hébergements ; adresse IP dédiée en option |
| o2switch | « Protection Anti-DDoS Arbor » |
| OVHcloud | protection anti-DDoS incluse dans les hébergements web |
| PlanetHoster | anti-DDoS matériel avec anycast, plus de 1 Tbit/s absorbés selon la page de l’offre |
| Cloudflare, offre gratuite | protection DDoS « non plafonnée », des couches 3 à 7 |
Aucune de ces pages ne dit ce qui se passe quand le filtrage ne suffit plus. La RFC 7999 le dit pour elle : le réseau qui déclenche le blackholing demande à ses voisins d’écarter tout le trafic destiné au préfixe marqué, et recommande de le choisir aussi précis que possible, soit une seule adresse IPv4. C’est une bonne nouvelle pour le reste d’Internet, et une mauvaise pour les sites qui partagent cette adresse : le blackholing protège les liens réseau en sacrifiant la cible, et sur un mutualisé, la cible est une adresse commune.
Que faire, concrètement ? Pour une attaque applicative contre votre propre site, un CDN placé devant l’hébergement est le meilleur outil à portée d’un petit budget : Cloudflare inclut sa protection DDoS dans toutes ses offres, gratuite comprise, et un cache bien réglé réduit le travail demandé à PHP. Pour le risque du voisin, en revanche, le CDN ne change rien : si l’hébergeur coupe l’adresse IP partagée, le CDN ne joint plus votre site non plus. Le seul remède est une adresse IP qui n’appartient qu’à votre site, proposée en option par certains hébergeurs, ou un serveur à vous.
Pour un site vitrine, quelques heures d’indisponibilité par an restent souvent un risque acceptable. Pour une boutique qui réalise une part de son chiffre un vendredi de novembre, la question de l’adresse dédiée mérite d’être posée au support, avec celle du délai de rétablissement après une coupure.
Le voisin qui attire les attaques
Partager une adresse IP, c’est partager sa réputation et ses ennemis. Le cloisonnement des comptes protège vos fichiers d’un voisin piraté ; il ne protège pas votre adresse d’un voisin attaqué. Ces deux risques, et les questions qui permettent de les mesurer, sont détaillés dans la sécurité du mutualisé face aux voisins.
Le filtre qui trie les requêtes HTTP
Contre une attaque applicative, un pare-feu applicatif peut écarter les requêtes qui suivent une signature connue, et certains services limitent le nombre de requêtes par visiteur. Ce que fournissent les hébergeurs et ce qu’ajoute un service externe sont comparés dans le comparatif des pare-feu applicatifs.