Sur nos hébergements, un pare-feu applicatif (ModSecurity, avec le jeu de règles OWASP CRS) protège chaque site, comme le décrit la page sécurité. D'autres filtres peuvent se trouver sur le chemin, chez vous ou en amont.
1. Reconnaître qui a bloqué
La page affichée dit presque toujours qui est intervenu :
| Ce que vous voyez | Qui a bloqué |
|---|---|
| Une page Cloudflare « Sorry, you have been blocked », avec un identifiant Ray ID en bas | le pare-feu de Cloudflare, devant votre site |
| Une page « 403 Forbidden » ou « Accès interdit » du serveur, sans mention de Cloudflare | le pare-feu applicatif de l'hébergement, ou une règle de votre site |
| Un message aux couleurs de votre site ou d'une extension de sécurité | l'extension elle-même, par exemple sur WordPress |
| Aucune page : la connexion est refusée ou n'aboutit pas | un blocage de votre adresse IP, voir plus bas |
Un refus « 403 » a aussi des causes sans rapport avec un pare-feu, comme des droits de fichiers ou une règle de .htaccess : elles sont traitées dans Erreur 403 Forbidden : causes et solutions.
2. Noter ce qu'il faut pour retrouver la règle
Un faux positif se retrouve dans les journaux par quatre éléments. Notez-les au moment où il se produit :
- L'heure exacte, à la minute près, et votre fuseau horaire.
- L'adresse complète de la page, et l'action faite : enregistrement d'un article, envoi d'un formulaire, connexion.
- Votre adresse IP publique, qu'un site comme celui de votre fournisseur d'accès ou un moteur de recherche affiche.
- Sur une page Cloudflare, le Ray ID.
Refaites l'action une seule fois pour confirmer que le blocage se reproduit. Inutile d'insister : des essais répétés peuvent ajouter un blocage de votre adresse.
3. Faire lever le blocage
Blocage par notre pare-feu applicatif
Le réglage de ModSecurity ne se fait pas depuis Plesk chez nous. Écrivez-nous depuis votre espace client avec les éléments notés à l'étape 2. Nous retrouvons la règle concernée dans le journal et nous l'écartons pour votre site seul : c'est l'approche que recommande le projet CRS, dont la documentation sur les faux positifs conseille d'exclure une règle à un endroit précis plutôt que de désactiver le pare-feu.
Blocage par Cloudflare
Si votre domaine passe par votre propre compte Cloudflare, l'événement se retrouve dans le tableau de bord, page Analytics, onglet Events, d'après la documentation de Cloudflare : on y lit la règle déclenchée, puis on ajoute une exception limitée à la page et au besoin. Si nous gérons Cloudflare pour vous, envoyez-nous le Ray ID.
Blocage par une extension
Une extension de sécurité WordPress tient son propre journal et sa liste blanche : consultez ses réglages ou sa documentation.
Pourquoi une requête légitime est bloquée
Un pare-feu applicatif compare chaque requête à des motifs d'attaque connus : injection SQL, script glissé dans un champ, chemin de fichier suspect. Une requête honnête peut leur ressembler. Les cas fréquents :
- un article ou une page qui contient du code, un extrait SQL ou du HTML ;
- un champ de formulaire qui accepte du texte riche ;
- un outil d'administration qui envoie des en-têtes ou des paramètres inhabituels ;
- une extension qui appelle une interface du site d'une façon peu courante.
C'est le prix d'un filtre générique : il ne connaît pas votre site au départ. Une exception bien placée corrige le cas sans ouvrir la porte au reste.
Si votre adresse IP est bloquée
Quand aucune page ne s'affiche et que la connexion est refusée, ce n'est plus le pare-feu applicatif : c'est un bannissement de votre adresse après plusieurs échecs, par exemple des mots de passe erronés. Il se lève seul au bout de dix minutes, sauf récidive. Le détail est dans l'article sur l'adresse IP bannie.
Questions fréquentes
Puis-je désactiver le pare-feu applicatif pour mon site ?
Mieux vaut une exception ciblée sur la règle qui gêne : elle règle le problème, alors qu'une désactivation retirerait au site entier une protection qui écarte chaque jour des attaques réelles.
Le blocage touche-t-il tous mes visiteurs ?
Un faux positif touche toute personne qui fait la même action, avec le même contenu. Un bannissement d'adresse IP, lui, ne touche que la ou les adresses concernées.
Combien de temps faut-il pour lever un faux positif ?
Une fois la règle retrouvée dans le journal, l'exception se pose rapidement. Plus l'heure et l'adresse que vous donnez sont précises, plus la recherche est courte. Le support répond du lundi au vendredi.
Articles liés
- Site inaccessible : que faire ?Site inaccessible ou qui ne s'affiche plus : savoir si la panne vient de vous, du domaine, du DNS, du certificat ou du serveur, et quoi faire.
- Erreur 403 Forbidden : causes et solutionsErreur 403 Forbidden : le serveur refuse de servir la page. Droits de fichiers, page d'index absente, .htaccess, pare-feu : les causes, dans l'ordre.
- Erreur 500 : comprendre et corrigerErreur 500 Internal Server Error : ce que dit ce code, où lire le journal d'erreurs dans Plesk, et les causes à écarter, du .htaccess à la mémoire PHP.