Sécurité et isolation
Chaque site que nous hébergeons s’exécute dans sa propre cage au niveau du noyau, surveillé par un pare-feu proactif et une analyse des logiciels malveillants. Un site compromis ou attaqué ne peut pas voir ses voisins, épuiser les ressources du serveur ou pénaliser d’autres sites. Il s’agit de la pile technologique que nous avons conçue pour héberger plus de 700 000 sites dans le monde entier, et ce socle de base est inclus dans chaque forfait. Disponibilité : la régulation de base de données par site est en cours de développement et n’est pas encore disponible. Tout le reste décrit ici est opérationnel dès aujourd’hui.
CloudLinux LVE et CageFS fournissent à chaque site sa propre cage de ressources et sa propre vue du système de fichiers. Un processus incontrôlé, un pic de trafic ou une intrusion reste contenu à l’intérieur de cette cage au lieu de se propager sur le serveur.
Les environnements virtuels légers plafonnent le processeur (CPU), la mémoire vive (RAM), les entrées/sorties (IO), les IOPS, les processus et les processus d’entrée par site. Un site attaqué ou hors de contrôle est bridé dans sa propre cage, de sorte qu’un mauvais voisin ne puisse pas faire tomber le serveur.
Chaque locataire bénéficie d’une vue isolée du système de fichiers et ne peut pas voir les autres locataires, les autres sites ou les fichiers système sensibles. Une faille sur un site est contenue, et non partagée.
CloudLinux MySQL Governor régule l’utilisation de la base de données par site, évitant ainsi que les requêtes lourdes d’un site ne ralentissent le serveur pour tous les autres. De plus, le cache d’objets Redis soulage la pression de lecture.
CloudLinux alt-PHP offre à chaque site son propre sélecteur de version, ses propres extensions et des paramètres renforcés, avec des workers LSAPI restreints par les limites LVE du site.
Imunify360 s’exécute sur chaque worker sous la forme d’une couche intégrée unique : il recherche les compromissions, bloque les exploits avant qu’ils ne surviennent et peut nettoyer une infection en un seul clic.
Les attaques volumétriques sont absorbées à la périphérie, les attaques au niveau du réseau sont filtrées en amont et la couche serveur contient tout ce qui l’atteint. Une attaque ciblant un site reste le problème de ce site.
Cloudflare absorbe les attaques volumétriques grâce à un WAF L7, une limitation de débit par site, la gestion des bots et des tests gérés avant même que le trafic n’atteigne le serveur d’origine.
La protection DDoS au niveau du fournisseur filtre les saturations de la couche réseau en amont de l’infrastructure, avec des fonctionnalités avancées d’atténuation d’entreprise disponibles pour les sites à haut risque.
La limitation des connexions et des requêtes de LiteSpeed, le pare-feu réseau d’Imunify360, les limites de connexion par IP et les plafonds de processus d’entrée LVE maintiennent tout afflux massif contre un site confiné dans la cage de ce site.
Les éléments essentiels protègent l’ensemble de la flotte, ils ne sont donc jamais facultatifs. Une protection plus renforcée peut être achetée lorsque le profil de risque d’un site l’exige.
Le socle de base est inclus dans chaque forfait : l’isolation au niveau du noyau par LVE et CageFS, le WAF proactif et l’analyse des logiciels malveillants. Nous les incluons car un site infecté ou abusif menace ses voisins ainsi que la réputation de notre IP, nous ne pouvons donc pas laisser la protection optionnelle. Le nettoyage en un clic, les règles WAF améliorées, l’analyse prioritaire et les niveaux DDoS supérieurs sont disponibles sous forme de modules complémentaires lorsqu’un site en a besoin.
Non. Chaque site fonctionne dans sa propre cage de ressources CloudLinux LVE et son propre environnement de système de fichiers CageFS. Un site incontrôlable, attaqué ou compromis est limité et confiné dans sa propre cage — il ne peut pas voir vos fichiers, épuiser les ressources partagées ou faire tomber le serveur. MySQL Governor applique les mêmes limites par site à la charge de la base de données.
Chaque site que nous hébergeons fait l’objet d’une analyse quotidienne visant à détecter les logiciels malveillants, et tout élément suspect est immédiatement signalé. Vous pouvez déclencher un nettoyage en un clic pour y remédier, et les cas graves ou non résolus sont mis en quarantaine hors ligne avec des fichiers verrouillés afin d’empêcher l’infection de se propager tout en préservant les preuves. Étant donné que les sauvegardes sont immuables, externalisées et isolées de l’infrastructure en cours d’exécution, une restauration saine est toujours disponible en tant que solution de repli.
La défense est multicouche. Cloudflare absorbe les attaques volumétriques et les flux L7 en périphérie grâce à la limitation de débit par site et à la gestion des bots ; la protection au niveau du fournisseur filtre les attaques de la couche réseau en amont ; et sur le serveur, la régulation LiteSpeed, le pare-feu Imunify360 et les plafonds de processus d’entrée LVE permettent de confiner à un seul site toute saturation le ciblant. Une gestion avancée des bots et des paliers de protection DDoS sont disponibles pour les sites à plus haut risque.
Le WAF proactif d’Imunify360 bloque les techniques d’exploitation connues avant même qu’un correctif n’existe pour la vulnérabilité sous-jacente, plutôt que de simplement réagir aux signatures après coup. Il fonctionne aux côtés d’un pare-feu réseau, d’une protection contre les attaques par force brute et d’un filtrage de la réputation des adresses IP, tous inclus dans chaque forfait.
Oui. Un certificat TLS gratuit est émis pour les domaines de votre site et renouvelé automatiquement avant son expiration, vous n’avez donc rien à mémoriser ni à installer. Un simple bouton dans l’onglet SSL du site force chaque visiteur à utiliser le protocole HTTPS. Si vous préférez utiliser un certificat acheté ailleurs, vous pouvez l’installer vous-même, et si vous avez besoin d’un niveau d’assurance plus élevé, nous proposons également des certificats wildcard, multi-domaines et à validation étendue aux côtés du certificat gratuit.
L’isolation au niveau du noyau, un WAF proactif et l’analyse des logiciels malveillants sont activés dès le déploiement. Essayez-le avec un essai de 14 jours sans carte bancaire, assorti d’une garantie satisfait ou remboursé de 30 jours, de migrations gratuites et sans dépendance envers un fournisseur.
Commencer gratuitement