On n'achète pas notre anti-DDoS.
On l'a écrit.

Un filtre qui lit chaque paquet avant le système d'exploitation et décide en quelques microsecondes, avec un profil par type de service. Pas un abonnement chez un prestataire : du code à nous, qu'on règle pour vous.

Comment ça marche Qui est protégé ›

En directrelevé …

Trafic légitime qui passe—— paquets/s

Écarté par le filtre— paquets/s

Les 15 dernières minutes sur notre réseau, sans aucune adresse IP. Les mêmes chiffres que sur as218808.net.

Lecture

Avant le système

Sur la carte réseau, en quelques microsecondes.

Profils

Un par type de service, combinables.

Motifs de blocage

Chaque paquet écarté porte sa raison.

Latence ajoutée

Aucune

Pas de détour par un centre de nettoyage.

Trois couches, du plus brut au plus fin.

Un DDoS, c'est d'abord du volume, puis de la ruse. On ne traite pas les deux au même endroit.

Le volume brut, en amont

Le réseau de notre transitaire absorbe les attaques purement volumétriques avant qu'elles n'arrivent jusqu'à nous. C'est sa protection, pas la nôtre : elle est large et peu précise. Elle sert de digue, pas de filtre.

Notre filtre, en bordure

C'est ici qu'on travaille. Le programme tourne sur la carte réseau, avant le système d'exploitation : chaque paquet est lu et jugé en quelques microsecondes, avant même d'exister pour le serveur. Pas de détour par un centre de nettoyage distant, donc aucune latence ajoutée pour vos joueurs.

Chaque paquet écarté porte sa raison. On sait toujours pourquoi quelque chose a été bloqué, et on peut le défaire en une ligne si c'était une erreur.

Le profil du service

Un serveur FiveM et un site web ne reçoivent pas le même trafic. Chaque adresse protégée porte un profil, et c'est lui qui dit ce qui est normal ici. Un seul code, six réglages, et on les ajuste avec vous si votre usage sort du cadre.

Pourquoi l'avoir écrit

Parce qu'un filtre acheté ne connaît pas vos joueurs.

Les protections génériques jugent le trafic de jeu suspect : beaucoup de petits paquets UDP, des rafales à chaque connexion, des ports inhabituels. Elles coupent ce qu'elles ne comprennent pas. Le nôtre sait à quoi ressemble une session FiveM, Minecraft ou Rust, et laisse passer ce qui y ressemble. Quand un jeu change, on change le filtre.

Les réglages de la protection dans l'espace client : profil du filtre, ports ouverts, adresses de confiance — Dans votre espace client : le profil du filtre, les ports ouverts, les adresses de confiance.

Six profils, un par type de service.

Le profil dit ce qui est attendu sur une adresse. Tout le reste est écarté avant d'arriver.

BaseLe socle de toutes les adresses : adresses usurpées, fragments, protocoles sans usage, scans. Jamais désactivé.

JeuReconnaît les sessions de jeu et leurs rafales normales, lit la forme des paquets du moteur, écarte ce qui n'est pas du jeu sur ces ports.

WebHTTP et HTTPS d'abord. Limite les connexions anormales par source, laisse passer les navigateurs et les robots d'indexation.

TunnelPour les adresses routées par tunnel : seuls les pairs connus peuvent établir le tunnel, le reste du trafic suit le profil de ce qui passe dedans.

Base de donnéesPorts de données fermés au monde, ouverts uniquement aux adresses de vos services.

CourrierLes protocoles du mail et rien d'autre, avec les limites de connexion qui vont avec.

Les profils se combinent : une adresse qui porte un serveur de jeu et son site reçoit les deux.

Ce que le filtre écarte, et pourquoi.

Vingt-et-un motifs de blocage, regroupés en cinq familles. En voici les principaux.

UsurpationAdresses sources impossibles ou réservées, trafic qui prétend venir de notre propre réseau, paquets qui arrivent par un chemin qu'ils ne devraient pas prendre.

Volume par sourceUne seule adresse qui envoie plus qu'un joueur ou un navigateur ne peut produire est freinée, puis écartée si elle insiste. Le seuil dépend du profil : un jeu tolère des rafales qu'un site ne verra jamais.

ProtocoleFragments, protocoles sans usage sur ce service, paquets mal formés, UDP vers des ports où rien n'écoute. Le trafic QUIC et les réponses des services légitimes sont reconnus et passent.

Forme du paquetSur les ports de jeu, le filtre lit la structure des paquets du moteur. Ce qui n'a pas la forme d'une session de jeu est écarté, sans toucher aux vrais joueurs.

ComportementUne source qui arrose plusieurs de nos adresses en même temps est bannie temporairement : c'est la signature d'un botnet, pas d'un joueur. Les sondes sur des ports pièges sont traitées de la même façon.

Les résolveurs DNS, les réseaux de diffusion de contenu et les adresses de nos propres services sont exemptés d'office : un filtre qui coupe les mises à jour n'est pas un filtre.

Qui est protégé, et comment.

Serveurs de jeuxProfil Jeu inclus sur toutes les offres, adapté au titre hébergé. C'est l'« Anti-DDoS Pro » des pages de jeux.

VPSProfil Base inclus. Si vous hébergez un serveur de jeu sur votre VPS, le profil Jeu s'ajoute en option : dites-nous le jeu et le port.

Hébergement webProfil Web inclus sur l'infrastructure mutualisée.

Tunnel EOIPProfil Tunnel : votre adresse protégée chez nous, le trafic filtré avant de vous être livré.

Serveurs dédiésEn option, réglé avec vous selon ce que la machine héberge.

Pendant une attaque

Ce que vous voyez, et ce qu'on fait.

VousRien, dans la plupart des cas. Vos joueurs restent connectés, le serveur ne s'en rend pas compte. Vous n'avez aucune action à faire.

NousUne alerte part vers l'équipe en quelques secondes, avec la cible, le volume et les motifs. Quelqu'un regarde. Si l'attaque sort du cadre du profil, on l'ajuste à la main, pendant qu'elle a lieu.

AprèsSi on a dû toucher à votre profil, on vous l'écrit : ce qui a été bloqué, pourquoi, et si ça change quelque chose pour vous.

—Attaques sur —

—Plus gros pic écarté

—Pic en paquets

—Paquets écartés

—Volume écarté

Trafic des derniers joursdébit max. par demi-heure

Écarté par le filtreTrafic légitimerelevé …

Questions fréquentes.

Est-ce que ça ajoute de la latence ?

Non. Le filtre lit le paquet sur la carte réseau, avant le système d'exploitation, et décide en quelques microsecondes. Il n'y a pas de détour par un centre de nettoyage distant, qui est ce qui ajoute de la latence chez la plupart des protections.

Mes joueurs vont-ils être déconnectés pendant une attaque ?

Sur une attaque ordinaire, non : le trafic de jeu est reconnu et passe, le reste est écarté. Sur une attaque hors norme, l'équipe est prévenue en quelques secondes et ajuste le profil avec vous pendant qu'elle a lieu.

Vous êtes chez un transitaire, donc c'est sa protection ?

Sa protection existe et sert de première digue contre le volume brut. Mais le filtre qui protège votre serveur est le nôtre : écrit par nous, réglé service par service. C'est ce qui permet d'adapter la protection à un jeu précis au lieu de couper tout ce qui dépasse.

Et si le filtre bloque un vrai joueur ?

Ça arrive, rarement, et c'est pour ça que chaque blocage porte sa raison. Envoyez-nous l'adresse du joueur et l'heure : on retrouve le motif et on l'exempte en une ligne si c'était une erreur. Les résolveurs DNS, les CDN et les services de mise à jour sont exemptés d'avance.

Je peux voir ce qui est bloqué sur mon serveur ?

Pas encore depuis l'espace client. Aujourd'hui, c'est l'équipe qui a le tableau de bord ; sur demande, on vous envoie le détail des blocages de votre adresse sur une période.

Une vraie équipe vous répond.

Pas de robot, pas de file d'attente à l'étranger : l'équipe qui administre les machines est celle qui vous lit. Avant la commande, pendant, et longtemps après.