Protection serveur avec CrowdSec

Protection de vos serveurs avec CrowdSec

Vos serveurs encaissent en permanence des tentatives de connexion SSH, des scans de vulnérabilités, du bourrage d’identifiants sur vos back-offices et des robots qui aspirent votre catalogue. CrowdSec détecte ces comportements dans vos journaux et bloque les adresses fautives, en s’appuyant en plus sur les signalements de toute une communauté d’utilisateurs. Nous l’installons, le réglons sur vos usages réels et vérifions qu’il bloque effectivement.

🎯 Ce n’est pas un fail2ban avec un autre nom

fail2ban regarde vos journaux à vous, sur votre serveur à vous. Il ne connaît que les attaquants qui vous ont déjà attaqué. CrowdSec fait la même analyse locale, mais y ajoute deux choses : une liste de blocage communautaire alimentée par l’ensemble des installations dans le monde — l’adresse qui a attaqué un autre serveur ce matin est déjà bloquée chez vous ce soir — et une séparation nette entre la détection et la remédiation, ce qui permet de bloquer au bon endroit : au pare-feu, au niveau du serveur web, dans WordPress, ou en amont chez Cloudflare.

CrowdSec est un logiciel libre, édité par une société française, sans coût de licence pour l’usage que couvre cette prestation.

✅ Ce que comprend la prestation

• Relevé de l’existant : services exposés, journaux réellement disponibles, pare-feu en place, présence d’un reverse proxy ou de Cloudflare
• Installation de l’agent et de l’API locale sur votre serveur (Debian, Ubuntu, Rocky, AlmaLinux)
• Collections adaptées à vos services : SSH, Nginx ou Apache, WordPress, PrestaShop, messagerie, base de données
• Installation des composants de blocage — sans eux, CrowdSec détecte mais ne bloque rien
• Liste blanche d’administration : vos adresses, celles de votre supervision et de votre hébergeur, pour ne jamais vous verrouiller dehors
• Traitement des adresses réelles derrière proxy, répartiteur de charge ou CDN
• Inscription à la console et activation de la liste de blocage communautaire
• Tests de blocage effectifs depuis une adresse externe, avec preuve à l’appui
• Documentation d’exploitation : commandes de débannissement, lecture des décisions, ajout d’une exception

⚡ Nos trois formules

Le choix se fait sur le nombre de serveurs à protéger et sur la profondeur du réglage.

⚠️ Les cinq pièges d’une installation CrowdSec

Ce sont les cinq raisons pour lesquelles un CrowdSec installé en dix minutes ne protège rien, ou protège trop.

1. Sans composant de blocage, CrowdSec ne bloque rien. C’est la confusion la plus fréquente. L’agent lit les journaux, décide qu’une adresse doit être bannie, et écrit cette décision dans sa base. Mais tant qu’aucun composant de remédiation n’est installé et raccordé, personne n’applique la décision : le trafic passe. Beaucoup d’installations « terminées » sont dans cet état, avec un tableau de bord qui affiche des centaines d’attaques bloquées alors que rien ne l’est.
2. Derrière un proxy ou Cloudflare, vous bannissez le proxy. Si votre serveur web voit l’adresse du répartiteur de charge ou du CDN plutôt que celle du visiteur, CrowdSec bannit cette adresse unique — c’est-à-dire tout votre trafic d’un coup, ou rien du tout selon la configuration. Le rétablissement de l’adresse réelle doit être fait dans le serveur web et déclaré dans CrowdSec, sinon la protection est soit inopérante, soit catastrophique.
3. Vous pouvez vous bannir vous-même. Une erreur de mot de passe SSH répétée, une sonde de supervision, un script de sauvegarde un peu bavard : sans liste blanche préalable de vos propres adresses, de votre monitoring et des plages de votre hébergeur, vous perdez l’accès à votre serveur. Nous posons cette liste avant d’activer le blocage, jamais après.
4. CrowdSec ne voit que ce que vos journaux contiennent. Un Nginx en format personnalisé, une rotation de journaux trop agressive, un service qui écrit dans le journal système plutôt que dans un fichier, un conteneur dont les traces ne sortent pas : dans tous ces cas la détection est aveugle et le tableau de bord reste vide. La vérification des sources de journaux fait partie du relevé initial.
5. Les adresses IP sont des données personnelles. Le partage de signalements avec la communauté constitue un traitement à mentionner dans votre registre et votre politique de confidentialité. Si votre contexte l’exige, CrowdSec fonctionne aussi en mode entièrement local, sans aucun envoi — au prix de la liste communautaire, qui est justement l’essentiel de son intérêt. Nous vous exposons l’arbitrage plutôt que de le trancher à votre place.

📋 Déroulement

1. Relevé — accès au serveur, inventaire des services exposés, vérification des journaux et du pare-feu
2. Installation — agent, API locale, collections correspondant à vos services
3. Liste blanche — vos adresses d’administration et de supervision, posées avant toute activation
4. Blocage — mise en service des composants de remédiation, au pare-feu puis au niveau applicatif
5. Vérification — test de blocage réel depuis une adresse externe, avec la trace correspondante
6. Réglage — suivi des décisions, correction des faux positifs sur vos back-offices, ajustement des durées de bannissement

💡 Pourquoi AbsoluInfo

• L’administration système est notre métier d’origine. Pare-feu, reverse proxy, journaux, supervision : la protection se règle là, pas dans une interface web.
• Nous testons le blocage devant vous. Une prestation de sécurité qui ne se vérifie pas ne vaut rien : nous vous montrons une adresse bannie et le trafic effectivement refusé.
• Nous ne vous enfermons pas. CrowdSec est libre, la configuration vous appartient, et la documentation que nous laissons vous permet d’exploiter la solution sans nous.
• Un seul interlocuteur, du relevé initial au réglage des faux positifs.

❓ Questions fréquentes

📞 Parlons de votre infrastructure

Indiquez-nous le nombre de serveurs, leur système, les services exposés et la présence éventuelle d’un CDN ou d’un répartiteur de charge : nous vous confirmons la formule adaptée et le délai. Le relevé initial nous dit en une heure si votre configuration réserve une surprise.

TVA non applicable, article 293 B du code général des impôts : le montant affiché est celui que vous réglez.

Prestations complémentaires : Pare-feu Linux (iptables / nftables) · Audit de sécurité · Fail2ban · Sécurité informatique · Infogérance & maintenance.