Objectif

Ce guide présente les fonctionnalités de l'OVHcloud Web Application Firewall (OWAF) et vous accompagne dans sa configuration de bout en bout pendant le programme alpha, de la demande d'accès au réglage de la protection et à la surveillance du trafic en temps réel dans la console WAF. Il décrit également les scénarios de configuration les plus courants et les bonnes pratiques.

Prérequis

• Disposer d'un compte OVHcloud actif
• Disposer d'un accès validé au programme alpha de l'OVHcloud Web Application Firewall (voir Étape 1 : Rejoindre l'alpha)
• Disposer d'un token d'accès de compte fourni par OVHcloud lors de l'intégration, utilisé pour vous connecter à la console WAF
• Disposer d'un serveur backend (origine) accessible en HTTP ou HTTPS qui recevra le trafic relayé
• Pouvoir faire pointer un domaine (enregistrement DNS A) vers l'instance WAF et autoriser les adresses IP de sortie (egress) du WAF sur le pare-feu de votre origine
• Utiliser un navigateur récent — Chrome, Firefox, Edge ou Safari (deux dernières versions)
• Avoir des connaissances sur le trafic HTTP/HTTPS, les concepts de sécurité des applications web et l'OWASP Core Rule Set

Présentation de l'OVHcloud Web Application Firewall

L'OWAF est un pare-feu applicatif web (WAF) haute performance qui inspecte, filtre et bloque le trafic HTTP/HTTPS malveillant avant qu'il n'atteigne vos applications backend, sans aucune modification de code sur le service protégé. Son moteur de règles repose sur l'OWASP Core Rule Set (CRS) et couvre les vecteurs d'attaque courants tels que l'injection SQL (SQLi), le cross-site scripting (XSS), l'exécution de code à distance (RCE), l'inclusion de fichier local (LFI), l'injection de template côté serveur (SSTI) et la détection de scanners. Le WAF s'administre via la console WAF, une application web de configuration et de surveillance en temps réel.

Le trafic client est envoyé à l'instance WAF sur le port 443 (HTTPS), où chaque requête est inspectée par rapport au jeu de règles actif et évaluée par rapport au seuil d'anomalie. Les requêtes qui passent l'inspection sont transmises au backend défini par l'Origin URL ; les requêtes qui dépassent le seuil en mode Blocking sont rejetées avec une réponse 403 Forbidden. Les opérateurs configurent le moteur et consultent les métriques en temps réel dans la console WAF, entièrement indépendante du chemin de données.

Pour une présentation plus détaillée de l'OWAF, consultez la page OVHcloud Labs.

Cas d'usage

Les cas d'usage suivants seront pris en charge à la disponibilité générale :

Capacités et limites du service

Avant de configurer l'OWAF, prenez connaissance des capacités et des contraintes suivantes.

Ce que l'OWAF peut faire

• Inspection complète des requêtes du trafic HTTP/HTTPS entrant, y compris les en-têtes, le corps, l'URI, les cookies et les paramètres de requête.
• Couverture de l'OWASP Core Rule Set avec des règles gérées détectant les SQLi, XSS, RCE, LFI, SSTI, la détection de scanners et d'autres catégories d'attaques courantes.
• Contrôle règle par règle depuis l'onglet Rules — parcourez le jeu de règles actif, filtrez par catégorie ou par type, et activez ou désactivez chaque règle.
• Listes d'autorisation et de blocage d'IP gérées depuis l'onglet Advanced, appliquées sous forme de règles personnalisées évaluées avant le jeu de règles géré.
• Trois modes de fonctionnement — Blocking (les requêtes correspondantes reçoivent une réponse 403 Forbidden), Detection (les règles sont évaluées et journalisées mais le trafic passe) et Disabled (le trafic est transmis sans inspection).
• Score d'anomalie qui agrège les scores de toutes les règles correspondantes et ne bloque la requête que lorsque le total atteint le seuil configuré, ce qui aide à réduire les faux positifs.
• Paranoia Levels 1 à 4 pour régler l'agressivité avec laquelle le moteur signale le trafic suspect.
• Journaux d'événements de sécurité en temps réel dans l'onglet Logs et tableau de bord du trafic en temps réel dans l'onglet Metrics.
• Application immédiate — les modifications de configuration prennent effet aussitôt, sans redémarrage.

Limites actuelles (alpha)

En pratique

Étape 1 : Rejoindre l'alpha

L'OWAF est actuellement disponible en alpha fermée. Pour demander un accès, remplissez le formulaire sur la page OVHcloud Labs avec les informations suivantes :

• Votre identifiant client OVHcloud (NIC handle)
• Une brève description de votre cas d'usage
• L'URL de l'application que vous souhaitez protéger
• Le nom de domaine qui pointe vers l'OWAF

Une fois votre demande approuvée, l'équipe OVHcloud crée votre configuration WAF et vous communique un token d'accès de compte pour vous connecter à la console.

Étape 2 : Se connecter à la console WAF

Connectez-vous avec votre token d'accès de compte pour accéder à votre configuration WAF.

1. Ouvrez votre navigateur et accédez à la console WAF.
2. Sur la carte Control Plane Access, collez votre token d'accès de compte dans le champ Access token (un préfixe Bearer éventuel est retiré automatiquement).
3. Cliquez sur Sign In.

Vous êtes redirigé vers la page My Web Application Firewall, qui affiche votre configuration WAF.

Étape 3 : Ouvrir votre configuration WAF

La page My Web Application Firewall affiche votre configuration WAF et un résumé de son état en temps réel.

Le résumé indique :

Cliquez sur votre configuration pour ouvrir sa page de détail.

La page de détail organise la configuration en six onglets :

• General Information — voyez où se situe le WAF et où il transmet le trafic, afin d'y faire pointer votre domaine.
• Protection — contrôlez l'agressivité du blocage et basculez entre les modes Detection et Blocking.
• Rules — consultez le jeu de règles actif et activez ou désactivez chaque règle.
• Advanced — autorisez ou bloquez des clients par adresse IP.
• Logs — analysez les requêtes que le WAF a bloquées ou détectées.
• Metrics — surveillez le volume de trafic, le taux de blocage et l'origine des attaques.

Étape 4 : Consulter les informations générales et configurer le DNS

L'onglet General Information indique où se situe le WAF et où il transmet le trafic légitime. Utilisez-le pour faire pointer votre domaine vers le WAF et pour autoriser la sortie (egress) du WAF sur votre origine.

La carte Configuration répertorie :

Le schéma Traffic path illustre le flux : Client (Internet) → WAF → Origin.

Pour router votre domaine à travers le WAF :

1. Connectez-vous à la console de gestion de votre fournisseur DNS (par exemple, l'espace client OVHcloud, Cloudflare ou Route 53).

2. Repérez la zone DNS du domaine que vous souhaitez protéger.

3. Créez ou modifiez un enregistrement A faisant pointer votre domaine (ou sous-domaine) vers l'Ingress IP affichée dans l'onglet General Information :

   Champ	Valeur
   Type	A
   Name	Le nom d'hôte que vous souhaitez protéger (par exemple, www ou @ pour le domaine apex)
   Target	L'Ingress IP affichée dans la console WAF
   TTL	3600 (ou la valeur par défaut de votre fournisseur)

4. Sur le pare-feu de votre serveur d'origine, autorisez les connexions entrantes depuis les adresses Egress IP listées dans l'onglet.

5. Sauvegardez l'enregistrement DNS et attendez sa propagation. Vous pouvez le vérifier avec dig +short votre-domaine.example.com ; la réponse doit renvoyer l'adresse IP d'entrée du WAF.

Étape 5 : Définir le profil de protection

L'onglet Protection contrôle l'agressivité avec laquelle le WAF applique le jeu de règles. Pour un premier déploiement, commencez en mode Detection afin d'observer ce qui serait bloqué avant d'appliquer quoi que ce soit.

1. Ouvrez l'onglet Protection.

2. Sous Enforcement mode, cliquez sur la carte du mode que vous souhaitez appliquer :

   Mode	Comportement
   Detection	Surveille et journalise les attaques sans les bloquer. Commencez ici pour voir ce qui serait détecté, puis activez le blocage.
   Blocking	Applique la protection — une requête est rejetée avec une réponse 403 dès que son score de règles cumulé dépasse le seuil d'anomalie. Recommandé en production.
   Disabled	Le trafic passe sans inspection. À utiliser uniquement pour le débogage.

3. Sous Paranoia level, sélectionnez le niveau dans la liste déroulante (PL1 à PL4) :

   Niveau	Description
   PL1	Uniquement les schémas d'attaque les plus courants et fiables. Taux de faux positifs le plus faible. Recommandé pour la plupart des déploiements.
   PL2	Couverture de détection plus large. Peut produire quelques faux positifs.
   PL3	Détection agressive. Attendez-vous à davantage de faux positifs. Recommandé pour les applications à haute sécurité.
   PL4	Détection maximale. Produira de nombreux faux positifs. Adapté aux environnements critiques en matière de sécurité, avec un réglage minutieux.

4. Ajustez éventuellement le champ Anomaly threshold. Il s'agit du score à partir duquel une requête est bloquée. Chaque règle correspondante ajoute son score (5 par défaut) au total de la requête ; si le total atteint ou dépasse le seuil, la requête est bloquée. Une valeur plus basse est plus stricte ; une valeur plus élevée est plus permissive.

5. Cliquez sur Apply changes.

Le bouton Apply changes n'est actif que lorsque vos modifications diffèrent de la configuration actuelle. Les modifications sont appliquées immédiatement.

Étape 6 : Vérifier la configuration

Après les étapes 4 et 5, vérifiez que le WAF traite le trafic comme prévu :

1. Depuis un client, envoyez une requête normale vers votre domaine protégé en HTTPS et confirmez que la réponse provient bien de votre backend.
2. Envoyez une requête malveillante connue, par exemple une tentative de traversée de répertoire (GET /.env) ou une simple sonde d'injection SQL dans un paramètre de requête (?id=1' OR '1'='1).
3. Ouvrez l'onglet Logs et confirmez que la requête apparaît comme un événement de sécurité. En mode Detection, la requête malveillante est journalisée mais laissée passer ; en mode Blocking, elle est rejetée avec une réponse 403 Forbidden.
4. Ouvrez l'onglet Metrics et confirmez que les compteurs Total requests et Blocked augmentent.

Gestion du TLS

Le TLS est entièrement géré par OVHcloud. Vous n'avez pas besoin de provisionner des certificats, de configurer un reverse proxy ni de gérer les renouvellements.

• Envoyez votre trafic vers l'instance WAF en HTTPS sur le port 443. Le trafic HTTP est automatiquement redirigé vers HTTPS.
• Les certificats sont émis et renouvelés automatiquement pour le nom d'hôte public du WAF via Let's Encrypt, à condition que votre domaine résolve vers l'adresse IP d'entrée du WAF (voir Étape 4).
• Aucune configuration TLS n'est requise de votre côté. Le provisionnement, le renouvellement des certificats et la terminaison TLS sont entièrement pris en charge par OVHcloud.

Consulter le jeu de règles

L'onglet Rules vous permet de parcourir l'OWASP Core Rule Set et les règles gérées fournies avec votre configuration, et d'activer ou de désactiver chaque règle.

Une note en haut de l'onglet indique le mode d'application actuel et son effet : en mode Blocking, les règles correspondantes sont appliquées avec l'action affichée ; en mode Detection, elles sont seulement journalisées ; en mode Disabled, rien ne s'exécute.

Cartes de résumé

Trois cartes résument le jeu de règles :

• Total rules — le nombre total de règles, avec le nombre de règles actives en dessous.
• Built-in — les règles explicitement marquées comme intégrées.
• Custom — les règles restantes, y compris les entrées du Core Rule Set géré.

Tableau des règles

Chaque règle est affichée sous forme de ligne avec les colonnes suivantes :

Actions des règles

La colonne Action indique ce que fait le WAF lorsqu'une règle se déclenche, en tenant compte du mode d'application actuel :

Pendant l'alpha, l'action d'une règle est fixée par le jeu de règles géré et ne peut pas être modifiée individuellement depuis la console. Pour chaque règle, vous pouvez uniquement l'activer ou la désactiver (voir ci-dessous) ; le comportement d'application global (Detection, Blocking ou Disabled) se définit dans l'onglet Protection.

Rechercher et filtrer les règles

Utilisez les filtres au-dessus du tableau pour affiner la liste :

• La liste déroulante category restreint l'affichage à un seul type d'attaque.
• La liste déroulante type filtre par All, Built-in ou Custom.
• Le champ de recherche filtre par nom, ID ou catégorie de règle.

Le tableau est paginé (25 règles par page) ; utilisez les boutons Prev et Next pour naviguer entre les pages.

Activer et désactiver une règle

1. Repérez la règle dans le tableau, à l'aide des filtres ou de la recherche si nécessaire.
2. Cliquez sur l'interrupteur Enabled de la ligne de la règle pour la désactiver, ou cliquez à nouveau pour la réactiver.

La modification prend effet immédiatement. Désactiver une règle la met en sourdine sans affecter le reste du jeu de règles.

Gérer les listes d'autorisation et de blocage d'IP

L'onglet Advanced vous permet d'autoriser ou de bloquer des clients par adresse IP. Ces listes sont appliquées sous forme de règles personnalisées sur l'instance WAF (correspondant à l'adresse IP du client), évaluées avant le jeu de règles géré.

La carte IP whitelist affiche le nombre actuel d'entrées autorisées et bloquées, avec un bouton Configure.

Modifier les listes d'autorisation et de blocage

1. Dans l'onglet Advanced, cliquez sur Configure. Un panneau s'ouvre sur le côté droit de l'écran.
2. Dans le champ Allowlist, saisissez une adresse IPv4/IPv6 ou une plage CIDR par ligne. Les adresses autorisées sont laissées passer.
3. Dans le champ Blocklist, saisissez une adresse IPv4/IPv6 ou une plage CIDR par ligne. Les adresses de cette liste sont bloquées.
4. Cliquez sur Save pour appliquer, ou sur Cancel pour annuler.

Les listes sont enregistrées sous forme de deux règles personnalisées dédiées sur la configuration et prennent effet immédiatement. Vider une liste désactive sa règle.

Analyser les événements de sécurité

L'onglet Logs fournit un flux des requêtes que le WAF a bloquées ou détectées, que vous pouvez rechercher et filtrer par période, afin d'analyser les attaques et de comprendre pourquoi chaque requête a été traitée.

• Utilisez les pastilles de période — Yesterday, Today, Past 3 days, Past 7 days, Past 30 days — pour délimiter le flux. La valeur par défaut est Today.
• La liste se rafraîchit automatiquement toutes les quelques secondes ; un indicateur « live » et le nombre d'événements sont affichés au-dessus du tableau.
• Utilisez la liste déroulante Verdict (All, Blocked, Detected) et le champ Search path, IP, rule, reason… pour affiner les résultats.

Chaque événement est une ligne comportant les colonnes suivantes :

Cliquez sur une ligne pour ouvrir le panneau Security event, qui affiche l'ensemble des détails de la requête, dont la règle correspondante et la raison, ainsi que la ligne de log brute.

Surveiller le trafic et les attaques

L'onglet Metrics est un tableau de bord en temps réel du volume de trafic, du blocage et de l'origine des attaques.

Utilisez les mêmes pastilles de période que l'onglet Logs pour délimiter le tableau de bord. Il se rafraîchit automatiquement.

• Cartes d'indicateurs — Total requests, Blocked, Block rate, P99 latency (5 dernières minutes) et Active connections (maintenant), chacune légendée avec la période sélectionnée.
• Traffic — un graphique en aires traçant les requêtes par seconde et les requêtes bloquées par seconde sur la période, avec les étiquettes de pic.
• Blocked — by category — un graphique en anneau qui totalise les requêtes bloquées par catégorie d'attaque (par exemple, Lfi, Rce, ScannerDetection, DataLeakage), avec le total au centre.
• Top attacker IPs et Top attacked URLs — des diagrammes à barres établis à partir des événements de sécurité de la période.

Bonnes pratiques

Les recettes ci-dessous couvrent les tâches opérationnelles les plus courantes pendant l'alpha. Chacune s'appuie sur les étapes de la section En pratique ci-dessus.

Intégrer un nouveau site web en toute sécurité

Pour commencer à protéger un nouveau site web sans risquer d'interruption :

1. Dans l'onglet General Information, vérifiez que l'Origin URL pointe vers votre backend et que le DNS résout vers l'adresse IP d'entrée (voir Étape 4).
2. Dans l'onglet Protection, réglez le mode d'application sur Detection et appliquez.
3. Envoyez du trafic représentatif à travers le WAF pendant quelques heures (trafic manuel ou trafic miroir depuis un load balancer).
4. Ouvrez les onglets Logs et Metrics et examinez les catégories bloquées et les correspondances de règles.
5. Ajustez les règles trop sensibles dans l'onglet Rules (désactivez-les ou appuyez-vous sur le seuil d'anomalie).
6. Lorsque le taux de faux positifs est acceptable, basculez le mode d'application sur Blocking dans l'onglet Protection et appliquez.

Réduire les faux positifs

1. Dans les onglets Metrics et Logs, identifiez les catégories ou les règles qui traitent du trafic légitime.
2. Choisissez l'une des solutions suivantes :
   • Désactivez la règle en cause dans l'onglet Rules si elle n'est pas pertinente pour votre application.
   • Abaissez le Paranoia Level dans l'onglet Protection pour désactiver les règles les plus strictes.
   • Augmentez le champ Anomaly threshold dans l'onglet Protection pour exiger davantage de correspondances de règles avant le blocage.

Tester des modifications sans affecter les utilisateurs

1. Dans l'onglet Protection, basculez le mode d'application sur Detection et appliquez.
2. Appliquez la modification de règle ou de seuil que vous souhaitez évaluer.
3. Surveillez les onglets Logs et Metrics pour examiner ce qui aurait été bloqué.
4. Une fois la modification validée, rebasculez sur Blocking.

Restreindre l'accès par IP

Utilisez l'onglet Advanced pour n'autoriser que les adresses IP clientes de confiance, ou pour bloquer des plages malveillantes connues. Comme ces listes sont évaluées avant le jeu de règles géré, elles constituent une première ligne de défense efficace pour restreindre l'accès aux applications sensibles.

Résolution de problèmes

Si vous rencontrez des problèmes avec l'OWAF, suivez les vérifications ci-dessous.

Si les étapes ci-dessus ne résolvent pas le problème, rassemblez :

• La requête exacte qui échoue (méthode, chemin, en-têtes, extrait du corps de la requête).
• L'ID et la catégorie de la règle correspondante depuis l'onglet Logs, si vous les connaissez.
• Une capture d'écran de l'onglet Metrics au moment où le problème survient.

Signalez ensuite le problème à votre interlocuteur OVHcloud.

Glossaire

Aller plus loin

Échangez avec notre communauté d'utilisateurs.