QuestionRelu par Hugo Berton
Attaque DDoS sur un site internet : que faire et comment s'en protéger
Attaque DDoS : ne pas payer la rançon, filtrer les requêtes, vérifier qu'elle ne masque pas un vol de données, porter plainte. La fiche officielle de juillet 2026.
Par Hugo Berton · · 2 min de lecture · relu le 14 septembre 2026
En bref
Face à une attaque DDoS, Cybermalveillance.gouv.fr, dans sa fiche mise à jour le 8 juillet 2026, demande d'abord de ne pas payer la rançon exigée, puis de filtrer les requêtes de l'attaquant au pare-feu ou chez l'hébergeur, de conserver les preuves, de vérifier que l'attaque n'a pas servi de diversion à un vol de données, de changer les mots de passe au moindre doute et de porter plainte. Pour s'en protéger, la fiche recommande notamment de demander à son hébergeur une réponse au niveau de ses infrastructures.
- 150 000 €d'amende et cinq ans d'emprisonnement encourus pour entrave au fonctionnement d'un système, article 323-2 du Code pénal cité par la fiche
- 4mesures de protection listées par la fiche, dont solliciter son hébergeur
Attaque DDoS : de quoi il s'agit
La fiche « Attaque DDoS, que faire ? », publiée le 9 octobre 2019 et mise à jour le 8 juillet 2026, définit le déni de service distribué comme une attaque qui rend un serveur inaccessible, par l'envoi de multiples requêtes jusqu'à saturation ou par une faille de sécurité. Pendant l'attaque, le site n'est plus utilisable ou difficilement, avec des pertes directes de revenus pour les sites marchands.
Les motivations citées vont de la revendication politique au chantage, à la vengeance ou à la concurrence. Surtout, l'attaque « peut être utilisée pour faire diversion d'une autre attaque visant à voler des données sensibles ».
Les gestes, dans l'ordre de la fiche
Le premier conseil vaut dès la menace, avant même que l'attaque ne commence.
| Geste | Ce que précise la fiche |
|---|---|
| Ne pas payer la rançon | sans garantie que l'attaque n'aura pas lieu |
| Filtrer les requêtes | au niveau du pare-feu ou de l'hébergeur |
| Conserver les preuves | copie de la machine et de sa mémoire, journaux du pare-feu, du proxy et des serveurs |
| Évaluer les dégâts | chercher une activité anormale dans les journaux, analyse antivirus approfondie |
| Changer les mots de passe | au moindre doute, et envisager une réinstallation depuis des sauvegardes saines |
| Se faire assister | par des professionnels qualifiés au besoin |
| Porter plainte | commissariat, gendarmerie ou procureur de la République |
| Notifier la CNIL si besoin | si des données personnelles ont été rendues indisponibles, modifiées ou supprimées |
La rançon : ne pas payer
Payer, écrit la fiche, reviendrait à alimenter « le système mafieux », sans garantie que l'attaque n'aura pas lieu. Elle rapporte le témoignage du DSI d'une PME de 200 salariés du Grand Est, menacée d'une attaque faute de verser une rançon de plusieurs milliers d'euros. L'entreprise n'a pas pris la menace au sérieux ; son site s'est retrouvé paralysé puis fortement perturbé pendant plusieurs jours, le temps de contenir l'attaque avec ses prestataires et son opérateur.
Se protéger : l'hébergeur en première ligne
Les quatre mesures de la fiche : appliquer les mises à jour de sécurité, paramétrer un pare-feu qui ferme les ports inutilisés, imposer des mots de passe complexes en supprimant ceux par défaut, et solliciter son hébergeur « afin qu'il prévoie une réponse à ce type d'attaque au niveau de ses infrastructures ». La fiche « Mon site Internet est-il sécurisé ? » ajoute que l'opérateur ou l'hébergeur peuvent mettre en place des solutions pour absorber la surcharge de trafic.
C'est donc une question à poser avant de choisir une offre. Parmi celles que nous avons relues, o2switch annonce une protection anti-DDoS Arbor sans frais supplémentaires sur ses trois offres, selon sa page tarifs consultée le 12 septembre 2026 (nos relevés). Les autres contrôles sont sur notre page sur la sécurisation d'un site internet.
Ce que prévoit le code pénal
L'incrimination principale est l'entrave à un système de traitement automatisé de données. L'article 323-2 du Code pénal, qui vise le fait « d'entraver ou de fausser le fonctionnement » d'un système, prévoit cinq ans d'emprisonnement et 150 000 euros d'amende. L'accès frauduleux, article 323-1, est passible de trois ans et 100 000 euros, portés à cinq ans et 150 000 euros en cas de suppression ou de modification de données. Les tentatives sont passibles des mêmes peines.
Ce que cette page ne dit pas
Nous n'avons pas testé la protection anti-DDoS des hébergeurs. Si l'attaque s'accompagne d'une intrusion, voir notre page sur le piratage informatique. Fiche lue le 14 septembre 2026.
Questions fréquentes
Faut-il payer la rançon d'une menace d'attaque DDoS ?
Non : Cybermalveillance.gouv.fr déconseille de payer, ce qui alimenterait le système mafieux sans garantie que l'attaque n'aura pas lieu.
Comment arrêter une attaque DDoS ?
La fiche conseille de filtrer ou de faire filtrer les requêtes de l'attaquant au niveau du pare-feu ou de l'hébergeur, avec l'aide de professionnels au besoin.
Une attaque DDoS peut-elle cacher autre chose ?
Oui, elle peut servir de diversion à une attaque visant à voler des données : la fiche demande de vérifier les journaux de connexion et de lancer une analyse antivirus approfondie.
Mon hébergeur peut-il me protéger d'une attaque DDoS ?
La fiche recommande de le solliciter pour qu'il prévoie une réponse au niveau de ses infrastructures ; certaines offres annoncent une protection anti-DDoS incluse.
Sources consultées
- Cybermalveillance.gouv.fr — Attaque DDoS, que faire ? (mise à jour le 8 juillet 2026)cybermalveillance.gouv.fr · consulté le 14 septembre 2026
- Cybermalveillance.gouv.fr — Mon site Internet est-il sécurisé ? (mise à jour le 25 août 2025)cybermalveillance.gouv.fr · consulté le 14 septembre 2026