Vous consultez les logs d’attaques de votre WordPress en vous attendant à voir des adresses éparpillées appartenant à des inconnus partout dans le monde, et à la place vous trouvez des blocs entiers d’IP appartenant à Amazon, DigitalOcean, ou un fournisseur cloud que vous ne connaissez même pas. Ce n’est ni une coïncidence ni une erreur de détection : c’est de loin l’origine la plus courante du trafic malveillant automatisé.
Pourquoi un attaquant n’attaque pas “depuis chez lui”
Faire tourner un bot qui parcourt internet en essayant des mots de passe ou en cherchant des vulnérabilités demande un serveur allumé 24 heures sur 24, avec une bonne connexion, et qui ne dépend pas de l’ordinateur personnel de l’attaquant restant allumé en permanence. La solution évidente — et celle derrière l’immense majorité du trafic malveillant automatisé — est de louer un serveur cloud bon marché.
Ce qu’est un ASN, et pourquoi il compte plus qu’une IP isolée
Un numéro qui identifie le fournisseur, pas le serveur précis
Chaque bloc d’adresses IP sur internet appartient à une organisation identifiée par un ASN (Autonomous System Number) — c’est, en pratique, le “propriétaire” de cette plage. Amazon Web Services, DigitalOcean, Hetzner — chacun a son propre ASN (ou plusieurs, pour les grands fournisseurs présents dans de nombreuses régions).
Bloquer une IP, c’est comme boucher un trou dans un filet qui en a des milliers
Si vous bloquez une IP précise appartenant à un attaquant qui loue un serveur cloud, cette IP devient inutile pour lui — mais le fournisseur en a des milliers d’autres disponibles, et l’attaquant peut relancer un nouveau serveur en quelques minutes avec une nouvelle IP. Bloquer au niveau de l’ASN coupe l’accès à toute la plage du fournisseur d’un coup, plutôt que de jouer à intercepter des adresses isolées une par une.
Un blocage direct n’est pas toujours la bonne décision
Des modes intermédiaires pour ne pas perdre de trafic légitime par erreur
Bloquer entièrement un ASN complet est une décision importante, car cela coupe aussi tout trafic légitime qui pourrait en provenir. C’est pourquoi il vaut la peine d’avoir plus d’options que “bloquer ou pas” : enregistrer sans bloquer pour observer le schéma avant de décider, ou ne bloquer que lorsque cette origine montre en plus un autre signal suspect (un user-agent vide, des schémas typiques d’outils de pentest, ou l’échec de la vérification confirmant qu’elle est bien qui elle prétend être) — ainsi, la plage du centre de données n’est pas traitée comme automatiquement coupable, juste comme un facteur de plus à prendre en compte.
Questions fréquentes
Bloquer un ASN entier ne coupe-t-il pas aussi du trafic légitime ?
Cela peut arriver si vous utilisez un mode de blocage direct sans nuance — c’est pourquoi il vaut la peine de vérifier au préalable quel trafic légitime pourrait en provenir, ou d’utiliser un mode qui n’agit que lorsqu’il y a un autre signal suspect en plus de l’origine.
Comment connaître l’ASN d’un fournisseur précis ?
Des outils publics comme bgp.tools ou bgp.he.net permettent de rechercher par nom d’entreprise et de voir toutes les plages d’IP associées à son ASN.
Cela remplace-t-il le blocage par IP ou par pays ?
Non, ils se complètent : le géo-blocage filtre par pays, le blocage par IP agit sur une origine précise, et le blocage par ASN couvre le cas intermédiaire d'”un fournisseur d’hébergement entier”, que ni la géographie ni une IP isolée ne résolvent bien à elles seules.