Citadel · Protection DDoS de couche 7Citadel se place devant vos applications HTTP/HTTPS et décide, pour chaque requête, s’il faut la laisser passer, la soumettre à un défi, la ralentir, la servir depuis le cache, durcir le contrôle ou la bloquer, avant que votre serveur d’origine ne dépense du CPU, des requêtes en base de données et de la bande passante.
Journal des décisions
Mise en place
Cloudflare reste votre DNS et votre edge. Citadel est le reverse proxy placé derrière, qui décide quelles requêtes atteignent votre serveur d’origine.
VisiteurNavigateur, bot ou flood
Edge CloudflareEnregistrement A avec proxy (nuage orange)CitadelLe reverse proxy contrôle chaque requête
Votre serveurNe reçoit que du trafic légitimeSaisissez l’IP ou le nom d’hôte de votre serveur d’origine, le port et le réglage TLS vers l’origine.
Copiez l’IP d’entrée (ingress) depuis la page du domaine. Dans le DNS Cloudflare, faites pointer le domaine racine et chaque nom d’hôte protégé vers cette IP avec le proxy activé, puis réglez SSL/TLS sur Full.
Citadel vérifie la connexion environ toutes les minutes, mais vous pouvez aussi sélectionner « Check connection ». Le domaine passe alors de « Awaiting DNS » à « Active ».
| Type | Nom | Contenu | Statut du proxy |
|---|---|---|---|
A | @ | IP d’entrée Citadel | Avec proxy |
A | www | IP d’entrée Citadel | Avec proxy |
MX | @ | Votre serveur de messagerie | DNS uniquement |
Les enregistrements de messagerie, TXT et autres enregistrements non web ne changent pas. Un enregistrement web en DNS uniquement (nuage gris) contourne Citadel. Guide de configuration Cloudflare (en anglais)
Citadel protège le trafic HTTP/HTTPS de couche 7. L’atténuation au niveau de la couche réseau est une tâche distincte, assurée à l’edge.
Chronologie d’une attaque
Un flood HTTP de 17 minutes, représenté avec les séries Edge, Proxy et Blocked de Citadel Analytics. Parcourez le graphique pour lire chaque moment de l’attaque.
Pourquoi la couche 7 est différente
Une attaque DDoS de couche 7 inonde un site de requêtes HTTP qui ressemblent à celles de vrais visiteurs : chargements de pages, connexions, recherches et appels d’API. Les filtres de bande passante ne suffisent pas à l’arrêter. C’est pourquoi Citadel se concentre sur les requêtes, les chemins et les sessions, au lieu de traiter chaque problème DDoS comme un simple problème de bande passante.
Un volume élevé de requêtes qui semblent assez légitimes pour faire réellement travailler l’application et la base de données.
Auto avec un préréglage de limitation de débit. Auto renforce le contrôle pendant le flood et revient à la normale quand le trafic se calme.
Des tentatives de connexion répétées qui ciblent les chemins de connexion coûteux plutôt que le site entier.
Interaction pendant un abus en cours. Placez d’abord les chemins d’API et de webhooks sur liste d’autorisation, car ils ne peuvent pas cliquer.
Des bots et des scrapers capables de passer de simples contrôles réseau, mais qui ne se comportent pas comme une session de navigateur normale.
JS ou Auto. Les clients incapables de réussir le contrôle du navigateur s’arrêtent à l’edge.
Des pics brefs qui ne doivent pas bloquer durablement un client, mais qui exigent tout de même une réponse immédiate.
Préréglages de limitation de débit avec pénalités. Le client est débloqué automatiquement à l’expiration du blocage.
Contrôles
Citadel est conçu pour qu’un opérateur comprenne pourquoi l’état du trafic a changé, sans avoir à deviner ce qu’une boîte noire invisible a décidé.
Choisissez le niveau de friction qu’impose un domaine. Sélectionnez un niveau pour voir qui passe.
Part d’un niveau de base modéré, se renforce pendant une attaque et revient à la normale quand le trafic se calme. Le réglage de départ pour les sites publics.
Les clients correspondants contournent les défis, y compris en mode Lockdown.
/api/203.0.113.0/24StatusMonitor/2.1Les récidivistes subissent une escalade progressive plutôt qu’une règle unique et brutale.
Les réponses statiques éligibles sont servies depuis le cache, ce qui épargne à l’origine le traitement des requêtes répétées.
.css.jsimagespolices/api//admin/Événements par e-mail et webhook, ainsi que des sondes de santé indiquant la latence et le statut.
Collez une structure HTML par type de page. Citadel y insère les véritables contrôles de vérification.
<h1>{{BRAND}}</h1>
<p>{{MESSAGE}}</p>Entrées d’accès avec méthode, chemin, statut, IP, ASN, pays et latence. Entrées de sécurité pour les défis, blocages, limitations de débit et exemptions. Entrées d’erreur pour les codes 502, 503 et 504 de l’origine. Suivez une requête grâce à son identifiant. Conservation pendant 15 jours, avec masquage des valeurs sensibles des paramètres de requête.
r-7f3aGET/pricing200Transmiser-81c2POST/login403Défi échouér-9d04GET/search?q=[redacted]429Débit limitér-a6e1POST/api/webhook200Exemptée (liste d’autorisation)r-b257GET/checkout502Origine injoignabler-c9f8GET/reports504Délai dépassé (origine)Portail Citadel
Chaque réglage présenté sur cette page est en libre-service. La facturation, les factures et les tickets restent dans l’espace client StealthRDP.
Offres
Commencez gratuitement, puis augmentez votre quota lorsque le nombre de sites protégés ou le volume de trafic légitime progresse.
Pour les petits sites qui veulent les mêmes contrôles essentiels sur les requêtes.
Pour les sites en production qui ont besoin de plus de domaines protégés et de trafic.
Pour les déploiements multisites et les volumes de trafic légitime plus importants.
CitadelCommencez avec l’offre gratuite, puis ajustez la protection par domaine et par chemin à mesure que le trafic évolue.