Pare-feu d’applications web

Sur tous les serveurs d’hébergement web Linux, un pare-feu d’applications web (WAF) protège votre site web. Il contrôle chaque requête avant qu’elle n’atteigne votre site et bloque les attaques typiques, par exemple contre des failles de sécurité dans PHP, WordPress, les plugins et d’autres logiciels. Cela fonctionne aussi lorsqu’une faille est encore inconnue ou qu’aucune mise à jour n’est encore disponible. Le WAF est géré par FireStorm, reçoit en permanence de nouvelles règles et reste toujours activé.

Pourquoi ne puis-je pas désactiver le WAF ?

De nombreux sites web partagent un même serveur. Si un site non protégé est attaqué, cela peut aussi mettre en danger les autres sites de ce serveur. C’est pourquoi, dans la gestion de l’hébergement (Plesk), le WAF ne peut être ni désactivé ni réglé sur «Détection uniquement», et aucune règle ne peut être supprimée. Sous Sites web & domaines > votre domaine > Pare-feu d’applications web, vous voyez à la place cet avis :

Que faire si le WAF bloque mon site web ?

Il arrive rarement qu’une règle bloque aussi une requête inoffensive, par exemple lors de l’enregistrement d’un formulaire ou dans l’espace d’administration de votre CMS. Vous le reconnaissez généralement au message d’erreur «403 Forbidden» ou «Accès refusé».

Notez l’adresse (URL) de la page ainsi que la date et l’heure.
Ouvrez un ticket sur https://admin.firestorm.ch/submitticket.php en indiquant le domaine, l’URL et l’heure.
Nous vérifions le signalement. S’il s’agit d’une fausse alerte, nous excluons exactement cette règle pour votre site web. Le reste de la protection reste actif.

Questions fréquentes

Le WAF ralentit-il mon site web ?
Non, le contrôle d’une requête ne prend en général que quelques millisecondes.

Ai-je quand même besoin de mises à jour ?
Oui. Le WAF est une protection supplémentaire, mais il ne remplace pas les mises à jour. Maintenez votre CMS, vos plugins et votre version de PHP à jour.

Puis-je désactiver brièvement le WAF pour un test ?
Non. Ouvrez plutôt un ticket, nous trouverons la règle qui bloque et l’exclurons pour votre site web si nécessaire.