Les attaques par force brute sont simples mais acharnées. Un robot essaie un mot de passe après l'autre jusqu'à ce que l'un fonctionne. Toute page de connexion publique en reçoit, de WordPress à SSH. Heureusement, quelques couches de défense les arrêtent presque totalement.
Comment elles fonctionnent
Les attaquants utilisent des listes de mots de passe courants et divulgués. Ils répartissent les essais sur de nombreuses adresses IP pour éviter les blocages simples. Certains visent un compte avec beaucoup de mots de passe. D'autres testent un mot de passe courant sur des milliers de comptes. Les deux méthodes coûtent peu aux criminels.
Les couches de défense
- Utilisez des mots de passe longs et uniques rangés dans un gestionnaire.
- Activez la double authentification pour chaque administrateur.
- Limitez les tentatives et ajoutez un court délai après un échec.
- Bloquez automatiquement les récidivistes avec des outils comme fail2ban.
- Renommez les identifiants par défaut comme « admin ».
- Réservez les pages d'administration à des adresses IP connues si possible.
- Utilisez des clés SSH plutôt que des mots de passe sur les serveurs.
Bloquer les attaques par force brute côté serveur
Arrêter le trafic malveillant avant qu'il n'atteigne l'application économise des ressources. Les pare-feu serveur et applicatifs écartent tôt les attaquants connus. Votre site reste rapide même pendant une attaque. Sur l'hébergement mutualisé, une grande partie de cette protection est déjà active.
Surveiller les signes
Une hausse soudaine des échecs de connexion est un signal d'alerte. Tout comme une forte charge processeur sur la page de connexion. Consultez vos journaux de sécurité chaque semaine. Si vous voyez des milliers d'essais, durcissez les règles et vérifiez que la double authentification est active.
Ne pas bloquer les vrais utilisateurs
L'équilibre compte. Une limite trop stricte peut bloquer de vrais clients qui se trompent de mot de passe. Utilisez des blocages courts qui s'allongent à chaque échec. Proposez une réinitialisation par e-mail et expliquez les règles sur la page de connexion.
Notre service de sécurité de site ajoute pare-feu et protection des connexions. Pour les serveurs, suivez notre checklist VPS et pensez à la protection DDoS pour les services publics. Avec ces couches, ces attaques ne sont plus que du bruit dans un journal.
Un dernier rappel
Changez immédiatement un mot de passe si vous pensez qu'il a fuité. Vérifiez la liste des utilisateurs chaque mois. Ces habitudes simples protègent mieux qu'un outil isolé.
