Ce qu'il fait, et ce qu'il ne fait pas
Un pare-feu réseau classique décide selon l'adresse et le port : il laisse passer le port 443, il ferme le reste. Il ne regarde pas ce que contient la requête. Le pare-feu applicatif, lui, lit l'adresse demandée, les paramètres et les en-têtes, puis les compare à des règles qui décrivent des attaques connues.
Il arrête bien les attaques automatiques qui balaient le web à la recherche de failles connues. Il ne corrige pas la faille elle-même : une extension vulnérable reste vulnérable, et une attaque assez particulière peut passer entre les règles. Il ne protège pas non plus un compte dont le mot de passe a fuité, puisque la connexion avec le bon mot de passe est une requête normale : voir Mot de passe sécurisé : le créer et le retenir. Et s'il laisse passer un intrus, le code que celui-ci dépose se repère autrement, voir Malware sur un site web : le détecter.
Comment il décide : le score d'anomalie
Le jeu de règles OWASP CRS ne bloque pas à la première règle déclenchée. D'après sa documentation, relue le 14 octobre 2026, chaque règle qui reconnaît un motif suspect ajoute des points à un score, et la requête est bloquée quand le score atteint un seuil. Une requête qui déclenche une règle légère passe ; une requête qui en déclenche plusieurs, ou une seule grave, est arrêtée avec une erreur 403.
Le CRS se règle par niveaux de paranoïa, de 1 à 4 :
| Niveau | Usage prévu par la documentation | Faux positifs |
|---|---|---|
| 1 | base de tout serveur exposé à Internet | presque jamais |
| 2 | sites qui traitent des données réelles, boutique comprise | à prévoir et à corriger |
| 3 | sécurité de niveau bancaire | nombreux |
| 4 | protection maximale | très nombreux |
La documentation distingue le niveau qui bloque et le niveau qui s'exécute. Les règles d'un niveau supérieur peuvent tourner et écrire au journal sans compter dans le score : on voit ce qu'elles auraient bloqué, sans gêner les visiteurs.
Le pare-feu applicatif chez Hubspace
Sur nos hébergements, ModSecurity applique le jeu de règles OWASP CRS 4.28, en mode blocage. Le pare-feu est compris sur les quatre offres, sans réglage de votre part, et il s'ajoute au filtrage en amont et au blocage des connexions en masse décrits sur notre page sécurité.
Vous ne réglez pas le pare-feu vous-même. Si une règle bloque une action légitime de votre site, nous l'écartons pour votre site seul, sans toucher à la protection des autres.
Quand il bloque à tort
Un faux positif arrive quand une requête légitime ressemble à une attaque : un paramètre d'adresse qui contient des caractères inhabituels, ou un en-tête qu'une extension envoie d'une façon peu courante. Le symptôme le plus fréquent est une page 403 « Forbidden », ou une action de l'administration qui échoue sans explication.
- Notez l'heure exacte de l'erreur, l'adresse de la page et l'action que vous faisiez.
- Vérifiez que l'erreur se reproduit, à la même action.
- Écrivez-nous avec ces trois éléments depuis votre espace client : nous retrouvons la règle dans le journal et nous l'écartons pour votre site.
La marche complète, et la façon de distinguer notre pare-feu d'un blocage par Cloudflare ou par une extension, est dans Requête bloquée par un pare-feu.
Questions fréquentes
Un pare-feu applicatif rend-il une extension de sécurité inutile ?
Pas entièrement. Le pare-feu arrête les attaques courantes avant WordPress, mais une extension peut ajouter ce qu'il ne fait pas, comme la double authentification. Le bon équilibre dépend de votre site : voir Faut-il une extension de sécurité ?.
Puis-je désactiver le pare-feu pour mon site ?
Non, vous ne le réglez pas vous-même. Si une règle gêne votre site, nous posons une exception pour lui seul, sur demande, comme le décrit Requête bloquée par un pare-feu.
Le pare-feu ralentit-il mon site ?
L'analyse de chaque requête prend un peu de temps au serveur, sans effet perceptible sur une page ordinaire. Les causes de lenteur sont presque toujours ailleurs : voir Site lent : par où commencer.
Articles liés
- Double authentification : l'activerDouble authentification : ce qu'elle protège, comment l'activer sur WordPress et sur votre espace client, et que faire si vous perdez votre téléphone.
- Attaque par force brute : s'en protégerAttaque par force brute : comment des robots essaient des milliers de mots de passe sur votre WordPress, comment la repérer et ce qui l'arrête.
- Certificat SSL : comment ça marcheCertificat SSL (TLS) : ce qu'il contient, la chaîne de confiance, les niveaux DV, OV et EV, sa durée de validité et la façon de lire celui d'un site.