veilletech.frCe qui se passe
Read the Docs, l'hébergeur de documentation utilisé par une grande partie de l'écosystème Python, a publié le retour d'expérience de l'attaque par déni de service distribué encaissée à la mi-juin 2026. Elle a duré près de dix jours.
Les chiffres donnent l'échelle : 5,5 millions de requêtes par minute au pic, contre moins de 100 000 en pointe un jour ordinaire — environ cent fois le trafic habituel.
Pourquoi les défenses réflexes n'ont rien donné
Trois caractéristiques de l'attaque annulent chacune une contre-mesure classique.
Origine : des millions d'adresses IP distinctes, réparties sur des centaines de réseaux, aussi bien résidentiels que chez de grands et petits hébergeurs, dans tous les pays à la fois. Bloquer un pays ou limiter par adresse ne mord sur rien.
Signature : les en-têtes HTTP et les paramètres TLS étaient tirés au hasard
d'une requête à l'autre, ce qui vide de sens toute règle écrite sur un
User-Agent ou une combinaison d'en-têtes.
Cible : les URL choisies étaient celles qui ratent le cache — des 404, des redirections 302. Chaque requête traversait donc jusqu'au serveur d'origine, là où une page populaire aurait été servie par le CDN sans coût.
À quoi s'ajoute l'adaptation : les tactiques changeaient dès qu'une défense était déployée, ce qui interdit la règle écrite une fois pour toutes.
Ce qui a fonctionné
- Mettre tout en cache, agressivement, y compris les réponses qu'on ne pense pas à cacher : les redirections, même sur une fenêtre de quelques secondes, suffisent à couper l'accès à l'origine.
- Noter la requête, pas son émetteur : empreinte TLS, anomalies de protocole, motif d'appel, combinés à un score de probabilité de robot puis à une limite par IP. C'est le renversement central du billet — la défense porte sur ce à quoi ressemble la requête, pas sur d'où elle vient.
- Une penalty box appliquée aux empreintes, aux ASN et aux domaines suspects.
- Les règles gérées en Terraform, ce qui ramène le déploiement d'une nouvelle règle de quelques heures à quelques minutes — en pleine attaque, c'est la différence entre suivre l'attaquant et le précéder.
À retenir
L'équipe l'écrit elle-même : ces règles attrapent aussi des utilisateurs légitimes. D'où le choix de présenter un défi (challenge) plutôt que de bloquer sec, pour laisser une porte de sortie à ceux qui sont pris à tort.
La question à se poser ce matin ne demande pas d'être attaqué pour être utile : que sert votre CDN sur un 404 ? Sur une redirection ? Si la réponse est « il demande à l'origine », vous connaissez le chemin qu'emprunterait la prochaine attaque.
Source : Understanding the recent DDoS attack against Read the Docs