Quel CDN protège vraiment ton site d'une attaque DDoS ?

Cloudflare ne mesure pas la protection DDoS : elle est illimitée sur Free, Pro, Business et Enterprise, sans surcoût le jour de l'attaque. Le pare-feu applicatif (WAF) et un jeu de règles gérées sont aussi inclus dès le plan gratuit. Pour la plupart des petits sites, c'est la réponse complète, à 0 $.

Là où le plan gratuit montre ses limites, c'est la limitation de débit. Une seule règle en Free, qui compte sur 10 secondes et bloque 10 secondes. Pro en donne 2, Business 5. Mets ta règle unique sur la page de connexion ou le formulaire de recherche, là où une attaque applicative fait le plus mal. Sur un WordPress, ajoute une règle de pare-feu qui bloque /xmlrpc.php : c'est une cible classique, et le blocage ne coûte rien.

Deux pièges remontent des forums. Le mode « I'm Under Attack » fait passer un défi de quelques secondes à chaque visiteur, et il casse les flux RSS et les appels d'API : active-le pendant l'attaque, pas en permanence. Et les récits de sites qui ont tenu une très grosse attaque viennent rarement de comptes gratuits : sans chat ni engagement de disponibilité avant Business, tu es seul au pire moment. Le DDoS réseau pur (Magic Transit), pour protéger un réseau entier et pas seulement un site, reste réservé aux contrats Enterprise.

Bunny.net vend son CDN au volume, à partir de 0,01 $ par Go en Europe et en Amérique du Nord, avec 1 $ par mois au minimum. La protection passe par Bunny Shield, une couche à activer sur ta zone. Le plan Basic est gratuit : un jeu de règles WAF de base, 2 règles de limitation de débit et une détection simple des robots, avec une page de blocage aux couleurs de Bunny.

Le vrai seuil est Advanced, à 9,5 $ par mois : 10 règles de limitation, 10 règles personnalisées, et les règles DDoS gérées par l'équipe de Bunny. Business, à 99 $ par mois, monte à 25 règles. Attention, les requêtes inspectées sont comptées par plan, puis facturées au million (0,70 $ en Basic, 0,65 $ en Advanced) : pendant une attaque applicative, regarde ce compteur.

Les retours de terrain sont partagés. Un utilisateur au niveau de protection maximal raconte qu'aucune requête de l'attaque n'a atteint son serveur. À l'inverse, un hébergeur de blogs est passé de Bunny à Cloudflare après des attaques venues de Tor, parce que le filtrage utile demandait le plan payant. Retiens-en une chose : Bunny est d'abord un CDN, très bon et très bien supporté, avec une couche de sécurité qui progresse.

Le risque n°1 d'AWS, ce n'est pas que ton site tombe : c'est la facture. AWS Shield Standard, gratuit et actif par défaut, arrête les attaques réseau. Mais il protège la disponibilité, pas ton budget : sur la facturation à l'usage, chaque requête d'une attaque applicative est comptée. Un développeur raconte une facture de 4 500 $ après une boucle de requêtes, et un autre voit environ 200 $ de plus par mois à cause de requêtes suspectes.

Les forfaits CloudFront règlent ce problème. Free (1 million de requêtes, 100 Go, 5 règles WAF), Pro à 15 $ (10 millions, 50 To, 25 règles), Business à 200 $ (125 millions, 50 To, 50 règles), Premium à 1 000 $ (500 millions). Aucun dépassement n'est facturé, même pendant une attaque. La protection DDoS avancée n'arrive qu'en Business.

Au-dessus, AWS Shield Advanced coûte 3 000 $ par mois et par compte payeur, avec un engagement d'un an et les frais de transfert en plus. Il ajoute la règle DDoS applicative gérée et une équipe de réponse, accessible seulement avec un support Business ou Enterprise. C'est pour les grands comptes, pas pour une PME.

OVHcloud active l'anti-DDoS par défaut sur toutes ses offres d'hébergement web, sans surcoût. Le CDN ajoute une option à 2,19 € HT par mois (2,63 € TTC), avec l'anti-DDoS inclus, un réseau Anycast et le certificat SSL. Il est offert avec l'hébergement Performance. Pour avoir le WAF, il faut CDN Security, à 5,49 € HT ; CDN Advanced, à 10,99 € HT, ajoute le reste. Tout se paie à l'année.

La limite se lit sur le forum d'OVHcloud. Un site WordPress en mutualisé dépassait ses ressources à cause d'une « attaque » qui était surtout une rafale de requêtes sur /xmlrpc.php, /wp-cron.php et /wp-login.php. L'anti-DDoS réseau ne la voit pas : ces requêtes ressemblent à des visites. C'est le rôle du WAF de CDN Security, ou d'un blocage de ces adresses dans ton fichier .htaccess.

Autre retour : quand une attaque n'est pas assez volumineuse pour déclencher la protection, le support la juge hors de son périmètre. Ce CDN est pratique et français, mais il ne sort pas de l'hébergement web OVHcloud. Pour un serveur dédié, regarde les serveurs dédiés anti-DDoS.

Sucuri n'est pas d'abord un CDN : c'est un pare-feu applicatif qui passe devant ton site, avec un CDN en prime. Il annonce le blocage des attaques DDoS en couches 3, 4 et 7, par un réseau Anycast. Le pare-feu coûte 9,99 $ par mois en Basic et 19,98 $ en Pro, pour un seul site. Plusieurs sites passent par un devis.

Son atout, ce sont des règles déjà pensées pour WordPress : la page de connexion, xmlrpc.php et les extensions vulnérables sont couvertes sans que tu aies à écrire une règle. Pour un responsable de site qui n'a pas envie d'apprendre la syntaxe d'un pare-feu, c'est le plus court chemin.

Les limites remontent souvent dans les avis : des faux positifs qui affichent « Access Denied » sur ta propre interface d'administration, et un support jugé lent. Ajoute ton IP à la liste blanche dès l'installation. Et compare avec Cloudflare Pro, qui coûte à peine plus et protège tous les sous-domaines.

Gcore offre le premier To de CDN chaque mois, puis 0,01 € par Go jusqu'à 500 To, sans abonnement. C'est le meilleur prix au volume de ce comparatif. Mais la sécurité est vendue à part : le CDN à l'usage ne dit pas inclure de WAF ni de filtrage applicatif.

Le pare-feu s'appelle NextGen WAF (WAAP). Il existe en Free, Start, Pro et Enterprise, facturé au million de requêtes, de 2 € à 1 € HT selon le plan, avec 10 € par domaine en Pro. Le plan Pro a 30 jours d'essai. Pour protéger un réseau entier, l'anti-DDoS en couches 3 et 4 se paie 3,90 € par Mbit/s de trafic propre, et la taille de l'attaque ne change pas la facture.

Notre réserve : la grille de prix du pare-feu est difficile à lire, et les quotas de chaque plan demandent une question au commercial. Fais simuler ton coût mensuel avec ton trafic réel avant de signer.

Fastly a l'un des réseaux les plus rapides du marché, mais c'est le moins lisible sur la protection. Son option DDoS Protection donne 500 000 requêtes gratuites par mois, puis coûte 1 $ par tranche de 10 000 requêtes. Autrement dit, plus l'attaque est grosse, plus la ligne peut monter, à l'inverse de Cloudflare ou des forfaits CloudFront.

Le pare-feu Next-Gen WAF est vendu sur demande, sans prix public. Le CDN donne 100 Go et 1 million de requêtes gratuits par mois et par région, puis 0,12 $ par Go en Amérique du Nord et en Europe.

Notre avis : Fastly a du sens pour une équipe qui configure tout par code et négocie un contrat. Pour une PME, le modèle à la requête fait peser le risque de l'attaque sur ta facture.