CDN et disponibilité du site : ce qu'il protège vraiment
La disponibilité constitue le premier critère de sécurité qu’un dirigeant perçoit : un site inaccessible se voit immédiatement. Un réseau de diffusion de contenu améliore cette disponibilité en servant les pages depuis des serveurs proches du visiteur et en absorbant les pics. Il ne protège ni l’application, ni les comptes, ni les données.
La disponibilité, critère de sécurité à part entière
Les référentiels de sécurité des systèmes d’information classent les besoins selon quatre critères : disponibilité, intégrité, confidentialité et traçabilité. La confidentialité concentre l’attention des directions, la disponibilité concentre les conséquences visibles. Un site marchand hors ligne un samedi matin perd son chiffre d’affaires de la journée et une part de sa crédibilité, sans qu’aucune donnée n’ait fuité.
Le Panorama de la cybermenace 2025 publié par l’ANSSI recense 1 366 incidents traités par l’agence sur l’année, avec des opérations de déstabilisation par déni de service régulièrement revendiquées par des groupes hacktivistes contre des cibles européennes. Ces attaques ne cherchent pas à voler des données : elles cherchent à rendre un service indisponible, donc à frapper précisément ce critère.
Pour une entreprise, la disponibilité du site se traite comme les autres critères, avec un niveau d’exigence défini à l’avance. Nos cinq critères de sécurité d’un système d’information détaillent cette grille d’analyse et permettent de fixer un objectif chiffré plutôt qu’une intention.
Ce qu’un réseau de diffusion de contenu apporte réellement
Le principe tient en une phrase : les fichiers de votre site sont copiés sur des serveurs répartis géographiquement, et chaque visiteur est servi depuis le point de présence le plus proche de lui.
Le cache en périphérie décharge l’origine
Le cache en périphérie joue ici le rôle principal. Images, feuilles de style, scripts et polices représentent la majorité du poids d’une page. Servis depuis le cache, ils ne sollicitent plus votre serveur, qui se consacre aux requêtes dynamiques. Un site vitrine bien configuré peut voir la quasi-totalité de ses requêtes traitées sans jamais réveiller l’origine.
L’absorption des pics de trafic
Une mention dans la presse locale, une campagne d’emailing ou un produit qui circule sur les réseaux sociaux produisent des pics soudains. Sans répartition, le serveur d’origine sature et refuse les connexions au pire moment. La capacité mutualisée d’un réseau de diffusion absorbe ces variations sans intervention.
L’atténuation des attaques par déni de service
Une attaque volumétrique consiste à saturer la bande passante ou les connexions du serveur. Répartir la charge sur des dizaines de points de présence dilue mécaniquement ce type d’assaut, et les opérateurs de ces réseaux filtrent en amont une partie du trafic malveillant. La protection reste partielle : les attaques applicatives, qui imitent des visiteurs légitimes en sollicitant des pages coûteuses, passent souvent le filtre volumétrique.
Le chiffrement et le filtrage géographique
La terminaison du chiffrement TLS au point de présence simplifie la gestion des certificats et supprime une source classique d’indisponibilité, le certificat expiré. Le filtrage par pays répond à un besoin ponctuel, par exemple bloquer les requêtes de zones d’où vous n’attendez aucun client, sans remplacer un pare-feu applicatif.
Les écarts entre offres portent sur le nombre de points de présence, la finesse des règles de cache, la journalisation et la facturation à la bande passante. Une lecture comparative aide à cadrer ces critères, et une analyse approfondie d’un service de diffusion de contenu permet de se faire une opinion sur le type d’usage couvert avant de solliciter un devis. Confrontez ensuite les conclusions à votre propre trafic : la géographie de vos visiteurs et la part de contenu dynamique changent complètement l’intérêt du dispositif.
Ce que le dispositif ne protège pas
Le point aveugle de beaucoup de projets tient dans cette confusion : la couche de diffusion accélère et absorbe, elle ne corrige rien en amont.
- Les vulnérabilités applicatives restent exploitables. Un module d’extension obsolète, un formulaire sans validation ou une injection possible en base de données produisent le même dégât, cache ou pas cache
- Les comptes d’administration restent la cible favorite. Un mot de passe réutilisé sur un site tiers compromis ouvre l’accès au tableau de bord, comme le rappellent nos bonnes pratiques pour sécuriser un site internet
- Les sauvegardes restent votre responsabilité. Aucun réseau de diffusion ne conserve une version restaurable de votre base de données
- Les données personnelles restent soumises au RGPD. Les journaux de connexion traités par le prestataire, et la localisation de ses serveurs, entrent dans votre registre des traitements
La règle de lecture est simple : un réseau de diffusion traite le transport, pas le contenu ni les accès. Un site compromis servira son contenu malveillant plus vite qu’avant, voilà tout.
L’architecture qui tient : trois couches distinctes
Une petite structure gagne à raisonner en trois couches indépendantes, chacune avec son propre point de défaillance.
L’hébergement d’origine constitue la base : version de langage à jour, correctifs appliqués, isolation des sites entre eux, accès administrateur restreint par authentification forte. Un hébergement mutualisé bas de gamme reste un maillon faible, quel que soit l’habillage placé devant.
La couche de diffusion s’ajoute ensuite, avec des règles de cache explicites : durée de conservation par type de fichier, purge automatisée à chaque publication, exclusion des pages de connexion et du tunnel de commande. Une règle mal réglée provoque des incidents typiques, comme un visiteur qui voit le panier d’un autre.
La sauvegarde ferme le dispositif. Le principe des trois copies sur deux supports différents dont une hors site, détaillé dans notre article sur la stratégie de sauvegarde 3-2-1, reste la seule réponse aux scénarios de destruction. La copie hors site doit être hors de portée des identifiants de production, sans quoi un attaquant l’efface avec le reste.
Le cas du nom de domaine
Un maillon échappe souvent à l’inventaire : la zone du serveur de noms. Une expiration de domaine, une modification malveillante d’enregistrement ou une panne du fournisseur de résolution rendent le site injoignable alors que tout fonctionne en coulisses. Verrouillez le domaine chez le bureau d’enregistrement, activez le renouvellement automatique, et limitez le nombre de comptes habilités à modifier la zone.
Les indicateurs à suivre, sans usine à gaz
Quatre mesures suffisent à piloter la disponibilité d’un site d’entreprise, relevées mensuellement.
- Le taux de disponibilité mesuré par une sonde externe, interrogeant le site depuis plusieurs pays à intervalle court
- Le temps de réponse du serveur d’origine, à distinguer du temps perçu par le visiteur derrière le cache
- Le taux de succès du cache, indicateur direct de l’efficacité des règles de conservation
- Le délai de restauration constaté lors du dernier test de sauvegarde réel, exercice à programmer au moins une fois par semestre
Le dernier indicateur est le plus négligé et le plus révélateur. Une sauvegarde jamais restaurée reste une hypothèse. La date du dernier test réussi mérite sa place dans le tableau de bord de direction, au même titre que le taux de disponibilité.
Coût du dispositif contre coût de l’indisponibilité
L’arbitrage se pose en euros, pas en principes. Estimez d’abord ce que coûte une heure d’indisponibilité : chiffre d’affaires en ligne perdu, temps administratif consacré à la gestion de crise, appels clients, retard de production. Une TPE de services chiffre parfois cette heure à quelques centaines d’euros, un site marchand actif à plusieurs milliers.
Comparez ensuite au coût annuel du dispositif : abonnement au réseau de diffusion, supervision externe, temps d’administration, tests de restauration. Le rapport se lit immédiatement. Un site institutionnel qui génère peu de trafic direct ne justifie pas le même investissement qu’une plateforme de réservation.
Trois questions cadrent la décision :
- Combien de temps votre activité peut-elle fonctionner sans le site, en pratique et non en théorie
- Quelle perte de données est acceptable en cas de restauration, une heure, une journée
- Qui décide et qui agit pendant l’incident, avec quels accès et quels numéros de téléphone
Ces questions sont celles du plan de continuité d’activité, transposées au périmètre du site web. Y répondre par écrit prend une matinée et transforme un sujet technique en décision de gestion.
Journalisation et preuve
La traçabilité mérite un paragraphe. Les journaux d’accès remontés par la couche de diffusion contiennent les adresses IP des visiteurs, donnée personnelle au sens du RGPD : leur durée de conservation et leur localisation entrent dans votre registre des traitements. Ces journaux servent aussi à l’analyse après incident, quand il faut établir la chronologie d’une attaque. Vérifiez donc deux points au contrat : la durée de rétention proposée et la possibilité d’exporter ces données vers votre propre outil de supervision, faute de quoi la preuve disparaît en même temps que l’abonnement.
Un maillon, pas une assurance
Le réseau de diffusion de contenu mérite sa place dans l’architecture d’un site professionnel : il améliore le temps de chargement, absorbe les variations et dilue les attaques volumétriques les plus courantes. Il ne remplace ni la mise à jour du socle applicatif, ni la protection des accès, ni la sauvegarde testée. Cette hiérarchie rejoint les principes exposés dans notre article sur la sécurité du réseau d’entreprise : chaque couche traite un risque précis, aucune ne couvre les autres.
Prochaine étape : mesurez votre disponibilité réelle sur trente jours avec une sonde externe, puis testez une restauration complète depuis votre sauvegarde. Ces deux chiffres diront si le sujet prioritaire se trouve dans la diffusion ou ailleurs.