Faut-il un pare-feu si l'on a déjà un bon hébergement ?

Un bon hébergement et un pare-feu peuvent sembler être la même chose, mais ils agissent généralement à des endroits différents. Lequel compte le plus dépend de ce qui vous inquiète, et de la présence ou non, chez votre hébergeur, d'un pare-feu qui comprend WordPress.

Ce qu'un bon hébergement protège généralement

Un hébergement de qualité durcit le serveur lui-même : le système d'exploitation, le logiciel du serveur web et l'environnement PHP. Il inclut souvent un filtrage de base au niveau du réseau contre les attaques évidentes comme les afflux de trafic. Cela protège la plateforme sur laquelle votre site tourne. Cela n'examine pas forcément le contenu des requêtes qui atteignent WordPress. Le guide sur la sécurité de l'hébergement géré détaille ce qui est et n'est pas couvert en général.

Les trois types de pare-feu

• Pare-feu réseau ou d'hôte. Il filtre par adresse, port et volume de trafic. Il bloque les afflux évidents et le bruit, mais ne comprend pas WordPress.
• Pare-feu en plugin (WAF dans WordPress). Un plugin inspecte les requêtes une fois que WordPress a commencé à les traiter. Il peut bloquer des motifs d'attaque connus et les mauvaises connexions. Comme il s'exécute dans PHP, il consomme des ressources du serveur, ne voit le trafic qu'après le chargement de WordPress et ne sert à rien si WordPress lui-même est cassé.
• Pare-feu cloud ou DNS (proxy inverse). Votre domaine pointe vers le fournisseur du pare-feu, qui filtre le trafic avant même qu'il n'atteigne votre serveur. Il protège le serveur de la charge comme des attaques. Sa faiblesse : un attaquant qui découvre l'adresse IP réelle de votre serveur peut le contourner, donc le serveur ne devrait accepter que le trafic venant du proxy.

Ce qu'un pare-feu conscient de WordPress apporte

Un pare-feu conçu pour WordPress recherche des attaques propres à WordPress : tentatives de connexion malveillantes, requêtes visant des failles connues de plugins et tentatives d'injection dans les paramètres d'URL. De nombreux fournisseurs proposent aussi le « patch virtuel », une règle qui bloque une attaque sur une faille de plugin récemment annoncée avant que vous ayez fait la mise à jour. Cela fait gagner du temps, mais ne remplace pas la mise à jour. C'est une couche plus étroite et plus proche de l'application que le durcissement générique du serveur.

Où se situe vraiment le recouvrement

Certains hébergeurs WordPress gérés incluent dans la plateforme un pare-feu qui comprend WordPress. Dans ce cas, un pare-feu séparé peut très bien être redondant. Pour en être sûr, cherchez dans la liste des fonctionnalités de votre hébergeur une mention précise comme « pare-feu applicatif web » ou « WAF », et non une étiquette générale « sécurisé » ou « protégé », qui ne dit pas ce qui est filtré. Si la mention est vague, demandez au support ce qui est bloqué et comment les règles sont mises à jour.

Ce qu'aucun des deux ne couvre

Ni le durcissement du serveur ni un pare-feu n'examinent les fichiers et la base de données déjà présents sur votre site. Quelque chose peut entrer sans déclencher de pare-feu :

• Une connexion valide. Un mot de passe divulgué ou deviné produit une requête d'apparence normale.
• Une faille pour laquelle personne n'a encore écrit de règle. Les nouvelles vulnérabilités sont exploitées avant que les filtres ne rattrapent leur retard.
• Un malware déjà présent avant le pare-feu. Un pare-feu ajouté plus tard ne supprime pas ce qui est déjà installé.
• Un mauvais fichier que vous avez téléversé ou installé vous-même, comme un thème ou un plugin piraté.

Cette lacune est ce que couvre l'analyse continue de malwares, et c'est un problème différent de celui que résolvent l'hébergement ou un pare-feu. Voir la fréquence des analyses.

Comment décider

• Votre hébergeur inclut un WAF : confirmez ce qu'il bloque, et vous n'avez peut-être pas besoin d'un second.
• Vous gérez une boutique, des adhésions ou un site très fréquenté : ajoutez un pare-feu cloud. Le filtrage du trafic et la limitation de débit en valent la peine.
• Vous gérez un petit site vitrine chez un hébergeur correct : mots de passe robustes, connexion à deux facteurs, mises à jour et analyses régulières comptent plus qu'un pare-feu. Un pare-feu en plugin gratuit est un complément raisonnable.
• Vous ne pouvez pas mettre à jour rapidement : un pare-feu avec patch virtuel fait gagner du temps, mais corriger l'habitude de mise à jour est la vraie réponse.