Protection – Adresses IP WEDOS

Dans cet article, vous apprendrez :

• Comment WGP influence le trafic vers votre serveur d’origine
• Comment autoriser les adresses IP de WGP sur votre serveur d’origine
• Des exemples de configuration de votre pare-feu
• Pourquoi bloquer tout le reste du trafic
• Comment vérifier votre configuration
• Comment maintenir la liste d’IP à jour
• Questions fréquentes

---

Trafic vers votre serveur d’origine

Lorsque votre domaine est protégé par WEDOS Protection (WGP), tout le trafic web passe par notre réseau de proxys avant d’atteindre votre serveur d’origine. De ce fait, votre serveur d’origine perçoit différemment le trafic entrant :

• Les adresses IP réelles des visiteurs ne sont pas visibles directement. Au lieu de cela, tout le trafic semble provenir des adresses IP de WEDOS Global.
• De grands volumes de requêtes proviennent d’un petit nombre d’IP. Les outils de sécurité (pare-feu, protections d’hébergement, extensions) peuvent :
  • bloquer ces IP
  • appliquer des limites de débit
  • les signaler comme suspectes

---

Autoriser les adresses IP de WEDOS Global

Pour que votre site web fonctionne correctement, veillez à toujours autoriser le trafic provenant des plages d’IP de WEDOS Global sur votre serveur d’origine.

Vous trouverez la liste complète ici :

• https://ips.wedos.global/ips.json ⧉
• https://ips.wedos.global/ips.txt ⧉

Cela se configure généralement dans :

• le pare-feu du serveur (iptables, ufw, firewalld)
• le pare-feu cloud
• le fichier .htaccess de votre site web

L’autorisation des plages d’IP de WEDOS n’est pas possible si vous utilisez des créateurs de sites gérés comme Wix, Squarespace, Shopify et autres.

---

Exemples de configuration de pare-feu

Les exemples suivants montrent comment autoriser le trafic entrant sur les ports 80 et 443 uniquement depuis les plages d’IP de WEDOS.global. Il s’agit de points de départ qui doivent être adaptés à l’environnement, à la distribution et aux règles de pare-feu existantes. Dans tous les exemples, remplacez les plages d’IP fictives par les entrées actuelles issues de https://ips.wedos.global/ips.json ou https://ips.wedos.global/ips.txt.

iptables

# Allow traffic on ports 80 and 443 from WEDOS.global IP ranges
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 1.2.3.0/24 -j ACCEPT
iptables -A INPUT -p tcp -m multiport --dports 80,443 -s 5.6.7.0/24 -j ACCEPT

# Drop all other traffic on ports 80 and 443
iptables -A INPUT -p tcp -m multiport --dports 80,443 -j DROP

Pour IPv6, utilisez ip6tables avec les plages IPv6 correspondantes de la liste d’IP.

nftables

table inet filter {
    set wedos_ips_v4 {
        type ipv4_addr
        flags interval
        elements = { 1.2.3.0/24, 5.6.7.0/24 }
    }

    set wedos_ips_v6 {
        type ipv6_addr
        flags interval
        elements = { 2a02:2b88::/32 }
    }

    chain input {
        type filter hook input priority 0; policy drop;

        tcp dport { 80, 443 } ip saddr @wedos_ips_v4 accept
        tcp dport { 80, 443 } ip6 saddr @wedos_ips_v6 accept
    }
}

---

Bloquer l’accès direct à votre serveur d’origine

Pour une sécurité maximale, nous recommandons également de bloquer tout le reste du trafic entrant vers votre serveur web. La raison en est que si l’adresse IP de votre serveur d’origine devient connue via d’anciens enregistrements DNS, des en-têtes d’e-mail, un balayage direct ou d’autres techniques, un attaquant peut envoyer du trafic directement vers votre serveur, en contournant WGP ainsi que son WAF, sa limitation de débit et sa protection anti-DDoS.

Il est donc recommandé de :

• n’autoriser que les plages d’IP de WEDOS Global et vos propres IP de confiance (par exemple l’accès administrateur, les outils de supervision)
• bloquer tout le reste du trafic sur les ports 80 (HTTP) et 443 (HTTPS)

---

Vérifier la configuration

Après avoir appliqué les restrictions d’IP, vérifiez que le serveur d’origine est correctement protégé :

1. Accédez au site web via son domaine public. Le site doit se charger normalement, car le trafic est transmis par le proxy WGP.
2. Essayez de vous connecter directement à l’adresse IP du serveur d’origine depuis un réseau externe. La connexion doit être refusée ou expirer.
3. Consultez les journaux du serveur d’origine pour confirmer que les requêtes entrantes proviennent exclusivement des plages d’IP de WEDOS.global.

Si les connexions directes au serveur d’origine aboutissent toujours, vérifiez la configuration du pare-feu et du serveur web afin de vous assurer que la liste d’IP de WEDOS.global est correctement appliquée et qu’aucune règle contradictoire ne subsiste.

---

Maintenir la liste blanche d’IP à jour

La liste d’IP de WEDOS.global peut s’étendre à mesure que de nouveaux nœuds proxy sont ajoutés au réseau Anycast. Pour éviter les interruptions de service, la configuration du serveur d’origine doit rester synchronisée avec la liste officielle.

L’approche recommandée consiste à mettre en place un processus de mise à jour automatisé qui :

• télécharge périodiquement le fichier le plus récent ips.json ouips.txt une ou deux fois par jour.
• met à jour en conséquence la liste d’autorisation du pare-feu ou du serveur web.
• recharge le service concerné pour appliquer les modifications sans interruption.

Les mises à jour manuelles sont possibles, mais elles comportent le risque de configurations obsolètes, ce qui peut entraîner le blocage de trafic proxy légitime.

---

FAQ