Niveau 4 · Réagir
Bannir les adresses qui insistent, regarder d'où vient l'attaque et de quel réseau, savoir couper le blocage en urgence si un faux positif touche la production, repérer les scanners qui ne déclenchent aucune règle, et faire passer un challenge au lieu de bannir. Pour un problème en cours sur votre site, allez directement à Que faire si….
4.1 Bannir avec Fail2Ban
- Comprendre la réputation d'une IP.
- Retrouver une IP et lire ses détails.
- Bannir et débannir à la main.
- Adapter un profil de bannissement.
En mode Bannir, chaque blocage ajoute des points à l'IP, sur une fenêtre glissante : critique 25, erreur 10, avertissement 5, notice 2. Quand le total atteint un seuil du profil, Fail2Ban bannit l'IP pour 10 minutes, 6 heures ou 24 heures. Avec le profil par défaut : 60 points en 5 minutes pour 10 minutes, 120 pour 6 heures, 180 pour 24 heures. Dans les journaux, l'aide ⓘ de la colonne Score donne le barème et les seuils du profil de bannissement chargé.
Un permis à points à l'envers : chaque blocage ajoute des points à l'adresse, et au-delà d'un seuil, elle est mise à l'écart pour un temps. Plus elle insiste, plus l'écart dure.
Fail2Ban. Les quatre prisons waf-ban-10m, waf-ban-6h, waf-ban-24h et waf-ban-perm (manuelle, sans expiration).
- Pour bannir tout de suite : Bannir une IP, saisissez une adresse ou une plage (par exemple
203.0.113.0/24), choisissez la prison et donnez une raison. L'effet est immédiat sur tous les nœuds. Dans les journaux et le tableau de bord, le bouton 🚫 à côté d'une adresse fait de même. - Pour lever un bannissement : onglet Réputation ou Historique des bannissements, bouton Débannir, ou fenêtre des détails de l'IP (ci-dessous). Pour débannir d'un coup toutes les adresses d'une prison : bouton Vider de cette prison, sur tous les nœuds.
- Pour changer les seuils : Profils de bannissement, puis affectez le profil au site dans sa fiche. Le champ Scan (erreurs HTTP) ne compte que dans le profil par défaut (chapitre 4.4).
Profils de bannissement. Seuils par durée, barème par sévérité, fenêtre d'observation et bannissements progressifs.
Retrouver une IP et lire ses détails
Au-dessus des prisons, le champ Trouver une IP… filtre les adresses à la frappe. Appuyez sur Entrée sur une adresse ou une plage complète : la fenêtre Détails IP s'ouvre, même si l'adresse ne figure pas parmi les 500 affichées par prison. Un clic sur une adresse bannie l'ouvre aussi.
La fenêtre réunit tout ce qu'il faut pour décider :
- le pays, avec un bouton pour copier l'adresse ;
- l'état du ban : la prison et le temps restant, ou « permanent » ; ou un challenge en cours (chapitre 4.5) ;
- le score actuel face au seuil de 10 minutes du profil par défaut, le score maximal et le nombre de violations ;
- l'historique de ses bannissements, ses règles les plus déclenchées et les chemins qu'elle vise ;
- les actions Débannir, Bannir, WHOIS, Journaux (les journaux filtrés sur l'adresse) et Effacer la réputation.
Détails d'une IP. L'état du ban, le score, l'historique et toutes les actions dans une seule fenêtre.
Les adresses de bouclage, privées (10.0.0.0/8, 192.168.0.0/16…), CGNAT, link-local, multicast et réservées ne se bannissent pas, pas plus qu'une plage qui en contient une : un tel ban couperait votre plateforme elle-m ême (proxy, load balancer, sondes), pas un attaquant. Le panel refuse ce ban avec un message. Le débannissement reste toujours possible.
Transmettez à Kokiris les IP fixes de votre équipe (bureau, VPN) avant le passage en Bannir : elles seront exemptées du bannissement. Sinon, un test un peu insistant peut vous bannir de votre propre site.
Sur un cluster, le message « Fait sur ce nœud seulement : les autres nœuds n'ont pas été prévenus. » peut suivre un bannissement, un débannissement ou un vidage de prison. L'action a réussi sur le nœud qui vous répond, mais pas sur les autres : prévenez Kokiris pour qu'elle soit reportée partout.
4.2 Voir d'où viennent les attaques
Le Radar des menaces place les détections des dernières 24 heures, sur tous les nœuds, sur une carte et classe les pays et continents les plus actifs. Au survol d'un pays, il montre ses 5 réseaux les plus actifs. Le bouton Bloquer ajoute le pays, ou tous les pays du continent, à la liste globale du Blocage géographique, avec l'action choisie sur cette page. Appliquez ensuite.
Radar des menaces. Utile pour repérer une campagne venant d'une même région.
Viser un réseau plutôt qu'un pays
Une campagne vient souvent d'un même réseau, un hébergeur ou un fournisseur de cloud, plus que d'un même pays. Chaque réseau d'Internet porte un numéro d'AS (système autonome). L'onglet AS du radar classe les réseaux par nombre de détections :
- Ouvrez l'onglet AS, ou cliquez sur le badge AS d'une adresse dans les journaux, ou sur une ligne de la carte AS les plus attaquants du tableau de bord.
- Dépliez le réseau : ses blocs d'adresses s'affichent, avec les détections et les IP de chaque bloc sur 24 h.
- Cochez les blocs à écarter (Cocher les blocs avec détections les sélectionne d'un coup), puis Bannir la sélection et choisissez la prison.
Les réseaux les plus actifs. Un réseau déplié montre ses blocs ; seuls ceux qui ont des détections méritent d'être bannis.
- Un ban est posé par bloc (CIDR), 256 blocs au plus par action. Le bouton Arrêter interrompt l'envoi, et un bilan dit ce qui a été banni.
- Un bloc trop large (IPv4 plus grand qu'un /8, IPv6 plus grand qu'un /32) est marqué Trop large et ne se bannit pas.
- Il faut le droit de bannir (rôle opérateur). Le radar n'est pas ouvert aux comptes revendeur et membre.
Les grands fournisseurs de cloud hébergent aussi des proxys d'entreprise, des VPN et des outils légitimes. Bannissez les blocs qui attaquent, pas tout le réseau, et préférez une prison de 10 minutes ou 6 heures pour commencer.
Avant de bloquer un pays entier, créez la règle en « Détection seule » et vérifiez dans les journaux que vous ne perdez pas de vrais clients.
4.3 L'arrêt d'urgence
- Savoir quand utiliser l'arrêt d'urgence et comment revenir à la normale.
Le bouton Arrêt d'urgence sert quand un blocage à tort touche la production et que vous n'avez pas encore trouvé la règle en cause.
- Il mémorise le mode de chaque site, puis passe tous les sites en Détecter et suspend les bannissements.
- Il s'applique immédiatement, sans passer par le bouton Appliquer.
- Le trafic continue de passer et tout reste journalisé : vous pouvez chercher la cause dans les journaux.
- Pendant l'arrêt, un bandeau rouge s'affiche, et le bouton devient ACTIVER WAF. Un clic remet chaque site dans son mode d'origine.
Arrêt d'urgence actif. Tous les sites affichent Détecter. Un clic sur ACTIVER WAF, puis Confirmer, rend à chacun son mode d'avant.
Après un arrêt d'urgence, faut-il repasser chaque site en mode Bloquer à la main ?
4.4 Repérer les scanners
- Comprendre comment kokiGUARD repère un scanner qui ne déclenche aucune règle.
- Choisir entre Désactivée, Détection seule et Bannir.
- Reconnaître une ligne « Scan » dans les journaux.
Un scanner discret se présente comme un navigateur et demande des chemins simples, l'un après l'autre : aucune règle ne réagit. Ce sont ses erreurs qui le trahissent. Sur une boutique, en octobre 2026, un tel robot a obtenu des milliers de réponses 404 sans une seule détection. HAProxy compte donc, pour chaque adresse, les réponses d'erreur que vos sites lui renvoient. Au-delà du seuil, l'adresse apparaît dans les journaux et dans la réputation, au plus une fois toutes les 10 minutes.
0Désactivée
HAProxy ne compte rien.
Seulement si ces signalements ne vous servent pas : sans compteur, plus rien n'est signalé.
1Détection seule
L'adresse apparaît dans les journaux et la réputation, sans point de bannissement. C'est le réglage par défaut.
Pour observer d'abord, et toujours derrière un CDN qui ne transmet pas l'adresse du visiteur.
2Bannir
L'adresse reçoit les points Scan (erreurs HTTP) du profil de bannissement par défaut : 60 par défaut, soit un ban de 10 minutes dès le premier signalement, puis 6 heures et 24 heures si le scan reprend.
Quand les lignes « Scan » des journaux ne montrent que des robots.
- Ouvrez Paramètres, carte Détection des scanners.
- Choisissez le Mode, puis vérifiez le Seuil (erreurs par minute) (60 par défaut), les Codes comptés (
400,403,404,405,410,414) et les Chemins non comptés (/.well-known/). - Cliquez sur Enregistrer la détection. Le seuil et le choix entre détection et bannissement agissent tout de suite. L'activation, l'arrêt, les codes et les chemins demandent un Appliquer.
Détection des scanners. Les réglages par défaut. Chaque champ a son aide sous lui. Les deux réglages du challenge (chapitre 4.5) sont dans la même carte.
Ne sont jamais comptés : les refus de kokiGUARD lui-même (blocage, limite de débit, vérification JavaScript, maintenance, blocage par pays), les codes 401, 407 et 429, la validation des certificats, le trafic de confiance et les adresses privées.
Ce que vous devez voir
Des scanners dans les journaux. Une ligne « Scan · N/min » donne le nombre d'erreurs par minute au moment du signalement. Elle n'a ni site, ni chemin, ni score WAF. Ici, la liste est filtrée sur l'ID de règle 199990, celui des scans.
Une ligne « Scan » ne se corrige pas comme un faux positif. Pour une source légitime, par exemple un outil qui vérifie vos liens, mettez son adresse en trafic de confiance (chapitre 3.2), ou ajoutez le chemin qu'il visite aux Chemins non comptés.
Un scan n'a pas de site : seul le profil de bannissement par défaut compte, et le ban vaut pour tous vos sites, même ceux en mode Détecter. Derrière un CDN ou un proxy qui ne transmet pas l'adresse du visiteur à HAProxy, chaque adresse du CDN additionne les erreurs de nombreux visiteurs : en mode Bannir, elle serait bannie et tous les sites derrière elle coupés. Restez alors en Détection seule, et demandez à Kokiris de faire rétablir l'adresse du visiteur.
- Le seuil vaut par nœud. Les visiteurs derrière une même adresse (entreprise, opérateur mobile) s'additionnent.
- Chaque Appliquer remet les compteurs à zéro.
- L'arrêt d'urgence suspend aussi les bans de scanners.
Vos sites sont derrière un CDN qui ne transmet pas encore l'adresse des visiteurs à HAProxy. Quel mode choisissez-vous pour la détection des scanners ?
4.5 Le challenge au lieu du bannissement
- Comprendre ce que voit une adresse soumise au challenge.
- Savoir quand préférer le mode Challenge au mode Bannir.
- Lever un challenge.
Un ban coupe l'adresse pour tout le monde, sur tous les sites. C'est trop brutal quand plusieurs clients partagent la même adresse (une entreprise, un opérateur mobile), ou quand il s'agit d'un robot à ralentir plutôt qu'à couper. Le mode Challenge d'un site (chapitre 2.1) remplace alors le ban par une épreuve que seul un vrai navigateur sait passer.
- Le site bloque comme en mode Bloquer, et chaque blocage ajoute des points de réputation à l'adresse, comme en mode Bannir.
- Quand l'adresse atteint un seuil du profil de bannissement, elle n'est pas bannie : pendant la durée de la prison (10 minutes, 6 heures ou 24 heures), elle doit résoudre le challenge sur les sites en mode Challenge.
- Une adresse qui provoque trop d'erreurs (20 par minute par défaut, réglage Challenge immédiat) reçoit le challenge tout de suite, sans attendre sa réputation. Ce compteur est celui de la détection des scanners (chapitre 4.4) : il ne fonctionne que si elle est active.
Le navigateur du visiteur fait un petit calcul (une preuve de travail), sans rien lui demander : en général moins d'une seconde. Une fois le calcul fait, il continue sa navigation. Un script ou un client sans JavaScript reste bloqué.
Ce que voit l'adresse soumise au challenge. La page par défaut s'affiche en français ou en anglais selon le navigateur. Vous pouvez y mettre votre logo, ou la remplacer par la vôtre (chapitre 2.3).
Ne sont jamais soumis au challenge : une adresse qui l'a déjà résolu, un robot vérifié, le trafic de confiance, le panel kokiGUARD et la validation des certificats. Une attaque, elle, reçoit toujours la page 403 du WAF.
- Pour passer un site en Challenge : fiche du site, carte Général, carte Challenge de la chaîne de protection, puis enregistrez et appliquez.
- Pour voir les adresses concernées : page Fail2Ban, onglet Réputation. Une adresse soumise au challenge porte le badge challenge (10m), challenge (6h) ou challenge (24h) ; l'historique note le challenge à la place du ban.
- Pour lever un challenge avant son terme : bouton Lever le challenge dans la réputation ou dans les détails de l'IP. Effacer la réputation ne le lève pas.
Dans Paramètres, carte Détection des scanners, un administrateur règle aussi :
- Challenge immédiat (erreurs par minute) : 20 par défaut ;
- Difficulté du challenge : 5 par défaut, de 3 à 6. Chaque cran multiplie le calcul par 16 : environ 0,1 s à 4, 1 s à 5, 10 s à 6 sur un PC portable. À 6, un appareil lent peut ne jamais passer.
Ces deux réglages s'appliquent au prochain Appliquer.
Le calcul coûte autant à un attaquant équipé qu'à un visiteur : il arrête les scripts simples et les clients sans JavaScript, pas quelqu'un qui le résout exprès. Contre une attaque déterminée, restez en mode Bannir. Sur une plateforme mutualisée, le mode Challenge est réservé à l'hébergeur, car il alimente la réputation partagée.
La Vérification JS du chapitre 3.3 s'applique à tous les visiteurs, sur les chemins que vous listez. Le challenge ne vise que les adresses qui ont accumulé des blocages ou des erreurs, sur tout le site.
Votre boutique reçoit beaucoup de clients derrière le même proxy d'entreprise, et un robot insistant passe par lui aussi. Quel mode limite les dégâts ?
- Comprendre la réputation d'une adresse et les quatre prisons.
- Bannir et débannir à la main, et adapter un profil de bannissement.
- Retrouver une IP et lire ses détails dans Fail2Ban.
- Repérer une campagne sur le radar des menaces, par pays ou par réseau (AS), et bannir les blocs d'un réseau.
- Utiliser l'arrêt d'urgence et revenir à la normale.
- Repérer les scanners par leurs erreurs, et choisir entre détection et bannissement.
- Faire passer un challenge au lieu de bannir, et le lever.