Comment nous avons construit notre anti-DDoS maison
En 2022, les attaques visant nos clients ont triplé en volume. Les solutions du marché étaient soit trop chères, soit trop lentes à réagir. Nous avons donc construit la nôtre. Retour d'expérience.
L'architecture en trois couches
Couche 1 — Filtrage en périphérie. Nos routeurs de bordure appliquent du rate-limiting et des ACL sur les signatures triviales (amplification NTP, SSDP, CLDAP). 80 % du volume est absorbé ici, sans latence ajoutée.
Couche 2 — Détection comportementale. Un pipeline eBPF échantillonne le trafic en continu et établit une baseline par IP cliente. Toute déviation — flood SYN, paquets malformés, patterns UDP anormaux — déclenche une mitigation en moins de 800 ms.
Couche 3 — Nettoyage applicatif. Pour les attaques L7, un reverse proxy de mitigation applique du fingerprinting TLS et des défis JavaScript adaptatifs.
Les chiffres de 2024
- Attaque la plus volumineuse absorbée : 412 Gbps (amplification memcached)
- Plus longue campagne : 11 jours de flood intermittent sur un client gaming
- Temps de mitigation médian : 740 ms
- Faux positifs constatés : 0,02 % du trafic légitime
Pourquoi c'est inclus dans toutes les offres
La protection DDoS ne devrait pas être une option payante : c'est l'infrastructure qui doit encaisser, pas le client. Depuis janvier 2024, les trois couches protègent chaque VPS, du Apex au Singularity, sans surcoût.