L’hébergement Web constitue l’épine dorsale de votre présence en ligne, mais il peut également devenir votre plus grand risque de sécurité.
Alors que de nombreux propriétaires de sites investissent dans des plugins, des pare-feu et CDN En matière de protection, ils négligent souvent les vulnérabilités inhérentes à leur environnement d'hébergement. Il peut s'agir de faiblesses dans l'hébergement mutualisé, de failles d'isolation des VPS, de logiciels serveur obsolètes ou de contrôles d'accès défaillants.
Que vous utilisiez un hébergeur économique ou une plateforme basée sur le cloud, votre site Web peut être exposé à des menaces telles que DDoS attaques, injections de logiciels malveillants, configurations non sécurisées, etc.
Dans cet article, nous expliquerons 14 vulnérabilités courantes de l'hébergement Web, comment ils affectent votre site Web et ce que vous pouvez faire pour rester protégé.
Générez gratuitement et en illimité SSLs d'un seul endroit
Gérer plusieurs SSLs sur différentes plates-formes peut être frustrant. ZéroSSL.com vous permet de générer et de gérer un nombre illimité de SSL certificats pour seulement 10 $ par mois – Sécurisez vos sites en seulement 5 minutes.
1. Tentatives de création de botnet
Il est connu que des acteurs malveillants ciblent des serveurs web entiers pour créer des botnets. Ces tentatives ciblent souvent des infrastructures de serveurs web et impliquent généralement des exploits accessibles au public.
Ces efforts avancés et concentrés peuvent souvent surmonter les fournisseurs d'hébergement Web moins résilients. Heureusement, une fois découvertes, les vulnérabilités sont généralement corrigées assez rapidement par la plupart des hébergeurs Web.
2. DDoS Attaques
Le déni de service distribué (DDoS) n'est pas une vulnérabilité, mais comme son nom l'indique, est une forme d'attaque. Des acteurs malveillants tentent d'inonder un serveur (ou un service particulier) avec une quantité écrasante de données.
Les services d'hébergement Web qui ne sont pas préparés à cela peuvent être paralysés par ces attaques. Au fur et à mesure que les ressources sont consommées, les sites Web du serveur sont incapables de répondre aux véritables requêtes des visiteurs.
3. Mauvaise configuration du serveur Web
Les propriétaires de sites web basiques, notamment ceux qui utilisent un hébergement mutualisé bon marché, ignorent souvent si leurs serveurs sont correctement configurés. De nombreux problèmes peuvent survenir en raison de serveurs mal configurés.
Par exemple, l'exécution d'applications non corrigées ou obsolètes. Bien qu'il existe des mécanismes de gestion des erreurs pour les problèmes techniques qui surviennent pendant l'exécution, les failles peuvent rester invisibles jusqu'à ce qu'elles soient exploitées.
Une configuration inexacte dans le serveur peut empêcher le serveur de vérifier correctement les droits d'accès. Masquer les fonctions restreintes ou les liens vers l'URL seul est insuffisant car les pirates peuvent deviner les paramètres probables, les emplacements typiques, puis effectuer un accès par force brute.
À titre d'exemple, un attaquant peut utiliser quelque chose d'aussi petit et simple qu'un JPEG non protégé pour obtenir un accès administrateur au serveur. Ils modifient un paramètre simple qui pointe vers un objet dans le système, puis ils y sont.
4. Manque d'isolement dans les environnements d'hébergement partagé
Les environnements d’hébergement partagé n’isolent pas réellement les sites Web.
Bien que chaque compte dispose de son propre répertoire et de ses propres ressources, tous les sites résident sur le même serveur physique. Cela signifie que le système de fichiers, la mémoire et le processeur sous-jacents sont partagés entre des centaines d'utilisateurs.
Si un compte est compromis, par exemple à cause d'un mot de passe faible ou d'un plugin obsolète, un attaquant peut accéder latéralement à d'autres sites sur le même serveur. Même si les fichiers ne sont pas directement exposés, des logiciels malveillants accapareurs de ressources ou DDoS les attaques sur un site peuvent ralentir ou faire planter d'autres.
En résumé : si votre hébergeur n'implémente pas de conteneurisation stricte ou de contrôles de ressources au niveau du compte, le sort de votre site est lié à celui de vos voisins.
5. Logiciels non corrigés et vulnérabilités connues
Les logiciels non corrigés sont l’une des vulnérabilités d’hébergement les plus exploitées.
Cela s'applique aux systèmes d'exploitation, aux panneaux de contrôle (comme cPanel ou Plesk), aux serveurs de messagerie et même aux CMS installés. Sur les serveurs partagés, où chaque compte peut exécuter des scripts ou des applications différents, le risque est multiplié.
Les hébergeurs web qui ne mettent pas régulièrement à jour leurs logiciels serveur ou ne surveillent pas les CVE (vulnérabilités et expositions courantes) laissent la porte ouverte aux exploits connus. Dans certains cas, une simple bibliothèque ou un seul plugin obsolète peut compromettre l'ensemble du serveur.
Un hôte responsable doit corriger rapidement les vulnérabilités et utiliser des outils tels que des scanners de vulnérabilité pour surveiller les menaces en permanence.
6. Injection de logiciels malveillants et exploitation du système de fichiers
De la même manière que les vulnérabilités logicielles, les logiciels malveillants peuvent avoir un impact profond sur un serveur d'hébergement partagé. Ces programmes malveillants peuvent trouver leur chemin sur les comptes d'hébergement partagé de plusieurs façons.
Il existe tellement de types de virus, chevaux de Troie, vers et logiciels espions que tout est possible. la nature de l'hébergement partagé, si votre voisin l’a, vous l’attraperez probablement aussi, un jour ou l’autre.
7. Risques liés aux adresses IP partagées dans l'hébergement
Dans la plupart des configurations d'hébergement mutualisé, tous les sites web du serveur utilisent la même adresse IP publique. Si un site envoie du spam, héberge des logiciels malveillants ou adopte un comportement abusif, cette adresse IP peut être signalée ou mise sur liste noire.
Cela affecte tous les utilisateurs de la même adresse IP. Vos e-mails peuvent finir dans les spams, les moteurs de recherche peuvent limiter votre visibilité ou les services de sécurité peuvent bloquer l'accès. Pire encore, demander le retrait d'une adresse IP est fastidieux et n'aboutit pas toujours.
Les adresses IP dédiées peuvent réduire ce risque, mais tous les fournisseurs d’hébergement partagé ne les proposent pas ou facturent un supplément lorsqu’ils le font.
8. Attaques de falsification de requête intersite (CSRF)
Également connue sous le nom de falsification de requête intersite (CSRF), cette faille affecte généralement les sites web dont l'infrastructure est faiblement sécurisée. Il arrive que les utilisateurs enregistrent leurs identifiants sur certaines plateformes, ce qui peut s'avérer risqué si le site web concerné ne dispose pas d'une infrastructure robuste.
Ceci est particulièrement courant sur les comptes d'hébergement Web auxquels on accède régulièrement. Dans ces scénarios, l'accès est répétitif et les informations d'identification sont généralement enregistrées. Grâce à la falsification, les utilisateurs sont encouragés à effectuer une action qu'ils n'avaient pas prévue en premier lieu.
Ces techniques ont récemment mis en évidence une faiblesse potentielle aux prises de contrôle de comptes sur diverses plateformes d'hébergement populaires, notamment Bluehost, Dreamhost et HostGator.
Considère ceci:
Un exemple de ceci peut être présenté comme un scénario typique de fraude financière.
Les attaquants peuvent cibler les personnes vulnérables au CSRF qui visitent une URL valide. Un extrait de code masqué exécuté automatiquement sur le site peut demander à la banque de la cible de transférer des fonds automatiquement.
L'extrait de code peut peut-être être enterré derrière une image, en utilisant des codes tels que les suivants:
*Remarque: Ceci n'est qu'un exemple et le code ne fonctionnera pas.
9. Injections SQL
Pour tout site Web ou plate-forme en ligne, le composant le plus important est les données. Il est utilisé à des fins de projection, d'analyse et à diverses autres fins. Deuxièmement, si des informations financières confidentielles telles que les épingles de carte de crédit tombent entre de mauvaises mains, cela peut créer d'énormes problèmes.
Les données envoyées vers et depuis un serveur de base de données doivent transiter par une infrastructure fiable. Les pirates informatiques tenteront d'envoyer des scripts SQL aux serveurs afin d'extraire des données telles que des informations clients. Cela signifie que vous devez analyser toutes les requêtes avant qu'elles n'atteignent le serveur.
Si un système de filtrage sécurisé n'est pas en place, des données client importantes peuvent être perdues. Il convient toutefois de noter qu'une telle mise en œuvre augmentera le temps nécessaire à l'extraction des enregistrements.
10. Exploits de script intersite (XSS)
Les attaques XSS injectent des scripts malveillants dans le frontend de votre site Web.
Utilisation la plus fréquente JavaScript : les attaquants intègrent du code dans les zones de commentaires, les champs de recherche ou d'autres zones de saisie utilisateur. Lorsqu'un visiteur charge la page, le script s'exécute dans son navigateur, ce qui peut voler des cookies de session, des jetons de connexion ou des données de formulaire.
Certaines charges utiles XSS redirigent les utilisateurs vers des sites d'hameçonnage ou affichent de faux formulaires de connexion. D'autres suivent discrètement l'activité des utilisateurs ou modifient le contenu du site web à leur insu.
Même si votre hébergeur n'est pas directement responsable de la vulnérabilité, un filtrage d'entrée côté serveur faible et des versions CMS obsolètes peuvent rendre votre site plus vulnérable.
11. Cryptage faible et protocoles cryptographiques non sécurisés
Certains hébergeurs prennent encore en charge des versions obsolètes SSL/versions TLS ou utilisez des sources aléatoires médiocres.
Le chiffrement moderne repose sur des algorithmes puissants et une génération sécurisée de nombres aléatoires. Sur certains serveurs d'hébergement (notamment ceux ne disposant pas de licences Open Source récentes),SSL mises à jour), l'entropie est faible, ce qui augmente les chances de clés de chiffrement prévisibles.
Cela affaiblit HTTPS Sécurité, mettant en danger les identifiants de connexion, les informations de paiement et les données personnelles. Les attaquants peuvent exploiter ces faiblesses pour déchiffrer les données interceptées ou se faire passer pour des utilisateurs légitimes.
Un hôte sécurisé doit appliquer des versions TLS fortes (1.2 ou supérieures), désactiver les chiffrements obsolètes et utiliser des bibliothèques mises à jour pour SSL génération.
12. Évasion de machine virtuelle dans les environnements VPS et Cloud
L'évasion de la machine virtuelle (VM) est une menace rare mais grave pour les environnements VPS et cloud.
Dans une configuration virtualisée, plusieurs machines virtuelles fonctionnent sur le même matériel physique via un hyperviseur. Si l'hyperviseur présente une vulnérabilité, un attaquant pourrait s'extraire de leur machine virtuelle et accéder à d'autres machines virtuelles.
Bien que la plupart des principaux fournisseurs de cloud corrigent rapidement ces problèmes, les hébergeurs VPS bon marché peuvent être en retard dans les mises à jour de sécurité. Des failles d'échappement de machines virtuelles comme VENOM ou L1TF ont prouvé que l'isolation au niveau de l'hyperviseur n'est pas infaillible.
Choisissez un fournisseur qui surveille activement ces menaces et maintient sa pile de virtualisation à jour.
13. Risques liés aux logiciels tiers et à la chaîne d'approvisionnement
Bien que la distribution des ressources soit un avantage majeur de l’hébergement cloud, elle peut également être un point faible.
Si vous avez entendu l'expression « vous n'êtes plus fort que votre maillon le plus faible », cela s'applique parfaitement au Cloud.
Cette attaque sophistiquée cible principalement les fournisseurs de services cloud. Ce phénomène n'est pas spécifique au cloud et peut survenir partout ailleurs. Les téléchargements depuis les serveurs de mise à jour en direct peuvent contenir des fonctionnalités malveillantes. Imaginez donc le nombre d'utilisateurs ayant téléchargé ce logiciel : leurs appareils seront infectés par ce programme malveillant.
14. Exposé et mal sécurisé APIs
Les API permettent aux développeurs de gérer des serveurs, d'automatiser des tâches et d'intégrer des services. Cependant, si ces interfaces ne disposent pas d'une authentification, d'une limitation de débit ou d'un chiffrement appropriés, elles deviennent des cibles faciles.
De nombreux hébergeurs cloud proposent des contrôles basés sur des API pour les enregistrements DNS, le provisionnement des machines virtuelles et l'accès au stockage. Si ces points de terminaison sont mal configurés ou exposés publiquement, des attaquants peuvent les exploiter par force brute ou par manipulation de jetons avec un minimum de compétences techniques.
Parce que APIs sont souvent réutilisés dans les applications et les services, une seule vulnérabilité peut avoir des effets d'entraînement dans tout votre environnement d'hébergement.
Comment vérifier si votre hébergeur protège contre ces menaces ?
Toutes les sociétés d'hébergement n'offrent pas le même niveau de protection (c'est pourquoi vous avez besoin d'une plateforme comme HostScore.net). Voici comment évaluer les fonctionnalités de sécurité de votre hébergeur avant que votre site ne devienne une cible.
- L'hôte inclut-il l'analyse et la suppression des logiciels malveillants ? Certains hébergeurs proposent un système intégré de détection des logiciels malveillants qui analyse votre site quotidiennement. Privilégiez les offres incluant la suppression automatique des logiciels malveillants ou des alertes. Par exemple : HostArmada inclut des analyses gratuites de logiciels malveillants sur tous les fichiers partagés et WordPress plans.
- Des pare-feu d’application Web (WAF) ou des pare-feu de serveur sont-ils en place ? Un pare-feu d'applications web (WAF) permet de filtrer le trafic malveillant comme les attaques XSS, les injections SQL et les tentatives de connexion par force brute. Certains services d'hébergement géré, notamment Kinsta et WP Engine incluent les WAF par défaut, tandis que d'autres nécessitent une configuration manuelle via des outils tels que Cloudflare ou Imunify360.
- Dans quelle mesure les sites sont-ils isolés sur des serveurs partagés ? Si vous utilisez un hébergement mutualisé, assurez-vous que le fournisseur prend en charge l'isolation au niveau du compte. Cela empêche la propagation des logiciels malveillants entre les comptes.
- Y at-il DDoS protection? Vérifiez si l'hôte inclut DDoS outils d'atténuation ou s'intègre avec des fournisseurs comme Cloudflare. Par exemple, Namecheap comprend les bases DDoS protection sur la plupart des plans, mais LiquidWeb partenaires avec Cloudflare Entreprise pour une atténuation de niveau supérieur. Consultez ce guide pour trouver hébergeur Web recommandé avec intégré DDoS protection.
- Le fournisseur prend-il en charge les mises à jour automatiques du logiciel ? Désuet WordPress Les cœurs, les plugins ou les logiciels serveur sont des points d'entrée faciles pour les attaquants. WordPress des hôtes comme Rocket.net et WP Engine mettre à jour automatiquement WordPress et des plugins, réduisant ainsi votre risque d'exécuter des versions vulnérables.
- Emplacements SSL certificats inclus et facile à installer ? Un valide SSL Ce certificat crypte et protège les données entre votre site et les visiteurs. De nombreuses sociétés d'hébergement offrir Let's Encrypt gratuitement SSL avec renouvellement automatique. Si votre hôte facture un supplément pour SSL ou rend la configuration difficile, envisagez de changer.
- L'hôte utilise-t-il des normes cryptographiques fortes ? Vérifiez si votre hébergeur applique les versions TLS modernes (1.2 ou 1.3), désactive les chiffrements faibles et prend en charge HTTP/2. Cela réduit le risque d'attaques par rétrogradation cryptographique ou de handshakes non sécurisés.
Réflexions finales
Lorsque la plupart d'entre nous envisagent la sécurité de nos sites web, c'est généralement sous l'angle de la correction des faiblesses de nos propres sites. Cependant, comme le souligne cet article, votre hébergeur joue un rôle essentiel dans la protection de votre site contre les menaces plus larges affectant l'infrastructure.
Un hébergeur sécurisé ne se contente pas de stocker votre site web : il isole également les comptes, filtre les attaques et corrige les vulnérabilités avant qu'elles n'atteignent vos fichiers. La sécurité de l'hébergement est donc tout aussi importante que celle des applications.
Vous ne pouvez pas forcer un hébergeur à améliorer ses défenses, mais vous pouvez en choisir un qui privilégie la sécurité des serveurs. Privilégiez les fournisseurs proposant des analyses anti-malware, des pare-feu, des environnements isolés et des mises à jour automatiques. Ces éléments indiquent qu'ils prennent la protection de leurs serveurs et de votre site au sérieux.
Évitez les hébergeurs qui négligent la sécurité. La véritable valeur de l'hébergement web va au-delà du stockage et de la vitesse ; cela inclut la confiance, la disponibilité et la tranquillité d'esprit.
