Accélérer et protéger son site e‑commerce Magento avec un WAF

Accueil » blog » Accélérer et protéger son site e-commerce Magento avec un WAF

Suite de nos précédents articles sur les solutions pour accélérer votre site e-commerce sous Magento, nous abordons l’idée d’installer un firewall applicatif  WAF.

Qu’est-ce qu’un WAF et en quoi il peut apporter quelque chose à mon site e-commerce ?

Un Web Application Firewall (WAF) est un pare-feu logiciel conçu pour protéger les applications web. C’est donc une solution de sécurité informatique spécialisée. Un WAF est conçu pour protéger vos applications (sites web) contre des attaques malveillantes, des vulnérabilités et des failles de sécurité.

En quoi une solution de protection WAF peut « accélérer » mon site e-commerce ?

Il y a plusieurs raison à celà :

• • • Filtrer le traffic légitime du traffic malveillant : une des sources des lenteurs de votre site e-commerce réside dans une sur-sollicitation de l’applicatif. Nous l’avons vu dans notre article « Pourquoi votre site est trop lent sous Magento« .
      Se débarrasser du traffic illégitime peut sembler a priori insignifiant. A y regarder de prêt cela l’est beaucoup moins. Chez XTAND, dans nos expertises de sites, l’analyse des logs nous fait constater quasi systématiquement un traffic assez considérable en provenance de bots et de tentatives de hack. Magento, comme WordPress, victime de son succès est la source de tentatives malveillantes. Le traffic chez certains de nos clients peut représenter jusqu’à 200% des requêtes « légitimes ».
      Nous savons désormais qu’un système de serveurs faisant tourner votre infrastructure e-commerce est conçu pour traiter un certain nombre de requêtes simultanées. Eliminer ce traffic non désiré, c’est mathématiquement alléger votre infrastructure pour le même nombre de requêtes à traiter. Faites le calcul, en intégrant un service de WAF en amont, vous économisez automatiquement sur votre infra serveur e-commerce.Avec un WAF vous réalisez une économie :

       

       

      • • en nombre de serveurs
        • en puissance processeur
          
        • en mémoire allouée
        • en bande passante
    • Un service WAF peut accélérer votre site car il vous apporte souvent bien plus qu’une protection en amont. Adjoints au service de protection vous trouverez souvent un système de cache intégré. Vous trouverez parfois également des services spécialisés pour accélérer les sites sur mobiles.

Enfin, en gérant des données sensibles de vos clients un site e-commerce est naturellement la cible d’attaques. Un WAF va vous apporter à la fois plus de sérénité et de sécurité dans l’exploitation de votre site marchand. 

Comment fonctionne un WAF ?

Un WAF fonctionne en inspectant le trafic entrant et sortant des applications web. Il analyse les requêtes HTTP/HTTPS et les réponses du serveur pour détecter les attaques courantes telles que les injections SQL, les attaques par déni de service (DDoS), les tentatives de contournement de l’authentification, les attaques de cross-site scripting (XSS) et bien d’autres.

Lorsqu’une attaque est détectée, le WAF peut prendre différentes mesures pour la contrer, telles que le blocage de la requête, la modification des données, la mise en quarantaine du trafic suspect, l’envoi d’alertes ou la redirection vers une page d’erreur personnalisée.

Il peut être installé et configuré sur vore réseau en tant que matériel dédié. 

Dans le cadre de services web, comme un site e-commerce, il est généralement souscrit dans une offre de service SaaS auprès de sociétés spécialisées dans la sécurité des réseaux et applicatifs.

Comment installer un WAF sur mon site e-commerce Magento ?

Lorsque vous souhaitez protéger un site e-commerce, l’installation d’un WAF est une opération délicate. Les points importants à considérer sont :
– la parfaite connaissance de votre infrastructure matérielle et logicielle;
– la parfaite connaissance de Magento;
– un fournisseur de service WAF accessible et réactif.

L’opération consiste à intercaler votre WAF entre le traffic entrant (DNS) et vos serveurs. Un protocole est établit en amont de l’installation pour s’assurer d’une installation sûre et rapide afin de minimiser l’impact sur votre activité.

Les règles du pare-feu sont déterminées à l’avance. Elles intègrent les routes et autorisations nécessaires au travail de vos équipes (installations et services autorisés). Elles intègrent toutes les autorisations pour permettre un fonctionnement de tous les services intégrés (communications externes entre le site et des APIs externes ou l’inverse)…

Il sera important de disposer d’outils pour tester le bon fonctionnement du WAF, de logs pour analyser les éventuels problèmes et les résoudre facilement. D’où un choix judicieux du prestataire et des services proposés pour votre protection WAF.

Enfin, une surveillance et une maintenance continue de la part de votre prestataire sera nécessaire et vous permettra de ne profiter que des avantage offerts par le service.

Doit-on faire appel à un prestataire de service français pour son WAF ?

A priori, pour une fois  ce n’est pas une question de budget. On trouve des offres de fournisseurs de services de protection par WAF français à des prix équivalents à ceux proposés par d’autres prestataires plus connus et étrangers.

Nous avons l’expérience de clients fonctionnant avec des solutions Pro de fournisseurs étrangers type CloudFlare, Sucuri,… et dont nous assurons la liaison avec leurs équipes techniques. Il faut avoir l’expérience de ce type de relation et un background technique supérieur à la moyenne afin d’assurer au client final un service irréprochable.

Il peut être toutefois intéressant de se tourner vers des prestataires français pour diverses raisons :

– un support technique plus présent et plus à même de répondre rapidement à une demande urgente;
– une relation avec des interlocuteurs français ce qui va faciliter la communication, les échanges techniques;
– des services équivalents à ceux proposés par les géants de la protection que ce sont CloudFlare et Sucuri;
– des services disposant de serveurs situés en France ayant un temps de latence inférieur à ceux étrangers. Si votre clientèle est basée en France autant en profiter;
– un respect des lois européennes et françaises accru : en utilisant les services d’un prestataires français vous êtes certains de respecter à tous les niveaux les exigeances en terme de RGPD et de protection des données.