Niveau 3 · Ajuster
Un pare-feu utile bloque les attaques sans gêner vos clients. Kokiris fait l'essentiel de ces réglages pendant la phase de training. Ce niveau vous apprend à corriger un faux positif, à exempter du trafic de confiance et à limiter les abus quand votre site évolue.
3.1 Corriger un faux positif
- Choisir la portée la plus étroite possible pour une correction.
Un faux positif est une requête légitime que le pare-feu prend pour une attaque. Exemple courant : un éditeur de contenu qui enregistre du HTML dans un champ de formulaire.
| Portée | Effet | Quand l'utiliser |
|---|---|---|
| Ignorer un champ précis | La règle ignore un seul paramètre, par exemple ARGS:content. | Le cas le plus fréquent. Choisissez-le d'abord. |
| Seulement sur un chemin | La règle est coupée sous un chemin, par exemple /wp-admin/. | Un outil d'administration envoie des données inhabituelles. |
| Désactiver complètement | La règle ne s'applique plus du tout sur le site, ou partout. | En dernier recours, quand la règle ne sert à rien pour ce site. |
- Dans Journaux, ouvrez la ligne concernée et cliquez sur Corriger ce blocage. RuleForge s'ouvre, déjà rempli.
- Choisissez la portée la plus étroite et indiquez une raison. Ajoutez une date d'expiration si la correction est provisoire.
- Enregistrez, puis appliquez. Rejouez la requête légitime pour vérifier qu'elle passe.
Faux positifs. Toutes les corrections, globales ou par site, avec leur portée et leur expiration.
Dans le détail d'un événement, le bouton « Faux positif ? (IA) » analyse la requête et peut proposer un brouillon d'exclusion prêt à pré-remplir (chapitre 5.4).
La règle 941100 (XSS) bloque le champ content de l'éditeur WordPress, et seulement lui. Quelle portée choisissez-vous ?
3.2 Déclarer du trafic de confiance
- Faire la différence entre « Ne pas inspecter » et « Toujours inspecter ».
Le trafic de confiance ne passe pas par Coraza. On l'utilise pour une sonde de supervision, un partenaire qui appelle une API, ou un outil interne connu.
- Ne pas inspecter : l'IP, la plage, le chemin ou le paramètre n'est plus analysé.
- Toujours inspecter : force l'analyse, même si une autre règle de confiance couvre ce trafic. Elle l'emporte toujours.
- Ne pas journaliser ce trafic : le WAF reste actif, mais ces requêtes n'encombrent plus les journaux.
C'est le badge du personnel : on ne fouille pas le sac des employés connus. Raison de plus pour ne le donner qu'à ceux que vous connaissez vraiment.
Trafic de confiance. Chaque règle peut viser un site ou tous les sites, et porter une date d'expiration.
Un faux positif se corrige règle par règle. Le trafic de confiance retire toute l'inspection. Gardez-le pour les sources que vous maîtrisez.
Votre outil de supervision appelle /health toutes les minutes et se fait bloquer. Quelle est la bonne réponse ?
3.3 Limiter le débit
- Protéger une page de connexion contre les essais de mots de passe en série.
- Vérifier la limite avec une boucle curl.
- Ouvrez la fiche du site, carte Contrôle du trafic, puis cliquez sur + Ajouter une limite.
- Saisissez le chemin de votre page de connexion (
/wp-login.phppour WordPress), 5 requêtes, fenêtre de 60 secondes. - Enregistrez, puis appliquez.
Contrôle du trafic. Quatre outils : maintenance, file d'attente, vérification JavaScript et limitation de débit.
Ce que vous devez voir
for i in $(seq 1 8); do curl -s -o /dev/null -w '%{http_code} ' https://www.votre-site.fr/wp-login.php; done; echo
200 200 200 200 200 429 429 429
curl -s -D - -o /dev/null https://www.votre-site.fr/wp-login.php
HTTP/2 429
retry-after: 60
cache-control: no-cache
content-length: 2818
content-type: text/html; charset=UTF-8
alt-svc: h3=":443"; ma=60
Les cinq premières requêtes passent. À partir de la sixième, HAProxy répond 429 et indique au client d'attendre 60 secondes.
| Outil | Réponse | Exemple d'usage |
|---|---|---|
| Limitation de débit | 429 | Page de connexion, API publique |
| Mode maintenance | 503 | * pendant une mise à jour, !/api pour garder l'API ouverte |
| File d'attente | 429 | Soldes : au plus N visiteurs simultanés |
| Vérification JS | 200 + page de calcul | Écarter les robots simples sur /panier |
Avec une limite de 5 requêtes par 60 s, à partir de quelle requête un client reçoit-il 429 ?
3.4 Bloquer par pays
- Créer une règle géographique globale.
- Faire une exception pour un site.
La page Blocage géographique agit par pays ou par continent, pour tous les sites. Trois actions : Bloquer (403), Détection seule (journalise sans bloquer) et Rediriger vers une URL.
Blocage géographique. Les règles globales, et la base de zones à mettre à jour de temps en temps.
Pour un site qui doit faire autrement, utilisez la carte Blocage géographique · Dérogation par site de sa fiche : ajouter des pays à la liste globale, en retirer (liste blanche), ou la remplacer.
Une requête bloquée par pays reçoit un 403 avec l'en-tête X-Geo-Blocked: 1.
3.5 Paranoïa et catégories : laissez Kokiris régler
- Comprendre ce que règlent la paranoïa et les catégories.
- Savoir pourquoi ce réglage se fait avec Kokiris.
Ce réglage change le comportement de centaines de règles à la fois. Trop haut, il bloque de vrais clients. Trop bas, il laisse passer des attaques. Kokiris le fixe pour vous pendant la phase de training, à partir du trafic réel de vos sites, et l'adapte ensuite si vos sites évoluent.
Vous voulez renforcer ou assouplir la protection ? Demandez-le à Kokiris : le changement sera testé en mode Détecter avant d'être mis en production.
La paranoïa, c'est la sensibilité d'un détecteur de fumée. Trop sensible, il sonne pour un toast ; pas assez, il rate un début d'incendie. Le bon réglage dépend de la pièce, c'est-à-dire de votre site et de son trafic.
Pour comprendre ce que vous voyez dans la fiche d'un site :
| Niveau | Effet |
|---|---|
| PL1 · Minimal | Peu de faux positifs, protection de base solide. Le point de départ habituel. |
| PL2 · Standard | Plus de détections, quelques faux positifs à corriger. |
| PL3 · Strict | Détection fine, beaucoup de corrections à prévoir. |
| PL4 · Paranoïaque | Très strict, beaucoup de faux positifs. |
Sous le niveau de paranoïa, la carte Catégories de règles activées liste les 13 familles du CRS. Kokiris désactive pendant le training les familles qui ne concernent pas votre site, par exemple Injection Java sur un site PHP.
Règles CRS. Le catalogue complet. Pour chaque règle, vous pouvez demander une explication à l'IA.
- La paranoïa et les catégories se règlent avec Kokiris, pendant le training puis sur demande.
- Tout changement passe d'abord par le mode Détecter.
Votre boutique a subi une vague d'attaques et vous voulez la protéger davantage. Que faites-vous ?
- Corriger un faux positif avec la portée la plus étroite.
- Choisir entre trafic de confiance et correction de faux positif.
- Poser une limite de débit, une page de maintenance, une file d'attente ou une vérification JavaScript.
- Bloquer un pays, en détection d'abord.
- Laisser la paranoïa et les catégories à Kokiris, et savoir pourquoi.