Quel serveur dédié anti-DDoS choisir pour ne plus tomber ?

OVHcloud a fait de l'anti-DDoS un argument depuis plus de dix ans, et ça se voit dans les détails. La protection est déployée par défaut sur tous ses produits, sans surcoût quel que soit le volume de l'attaque. La détection tourne en permanence, la mitigation démarre en quelques secondes et dure tant que l'attaque dure. C'est aussi le seul hébergeur de ce comparatif qui annonce une capacité de filtrage : plusieurs Tbit/s à l'échelle mondiale.

Le premier étage s'appelle l'Edge Network Firewall. Tu y poses jusqu'à 20 règles par adresse IP, pour ne laisser passer que tes ports utiles avant même que le trafic n'atteigne ton serveur. Deux limites à connaître : il ne gère que l'IPv4, et il rejette le trafic QUIC en bordure, quel que soit ton réglage. Concrètement, ton site ne pourra pas servir de HTTP/3 derrière lui. Pendant une attaque, il s'active de force, même si tu l'avais laissé éteint.

Pour le jeu, la gamme Game ajoute un pare-feu de couche 7 qui comprend les protocoles de plus de 35 jeux. Il est inclus, mais il faut l'activer adresse par adresse. Un jeu sans profil, comme FiveM, reste mal couvert : sur le forum d'OVHcloud, un administrateur raconte qu'une attaque de 80 Mbit/s suffisait à faire tomber son serveur. Le ticket a reçu une réponse en quatre jours. Le prix d'entrée de la gamme Game est élevé (Game-1 à 279,99 € HT par mois, autant d'installation) : pour un petit serveur communautaire, une machine Rise avec un pare-feu bien réglé suffit souvent.

Hetzner protège gratuitement tous ses clients contre les DDoS, et précise que cette protection n'a pas fait monter ses prix. Le filtrage repose sur du matériel Arbor et Juniper. Il reconnaît automatiquement les schémas d'attaque par volume, par paquets et par type, et filtre les attaques connues : réflexion DNS et NTP, inondations UDP, inondations SYN, paquets invalides. Hetzner reste prudent dans ses propres mots : il reconnaît « presque tous » les schémas, et le trafic légitime n'est « en général » pas touché.

Ce qui manque : aucune capacité chiffrée, et rien sur la couche 7. Sur LowEndSpirit, un client de longue date résume la situation : Hetzner qualifie lui-même sa protection de basique, suffisante pour un usage courant. Un autre rapporte qu'elle peut mettre jusqu'à cinq minutes à s'activer sur un serveur de jeu. Pour un site web, ces minutes passent presque inaperçues si Cloudflare est devant. Pour un serveur de jeu en UDP, tous les joueurs sont déconnectés.

Le pare-feu du Robot (l'espace client) est simple : sans état, 10 règles maximum par sens, IPv4 par défaut. Piège classique : si tu l'actives sans règle, il bloque tout, et les réponses TCP demandent une règle explicite sur le drapeau ACK. Le prix compense largement : l'AX41 coûte 59 € HT par mois, sans frais d'installation, avec un trafic illimité.

IONOS inclut une protection DDoS sur ses serveurs dédiés, avec un pare-feu IP réglable dans son panneau. Sa page d'offre a une honnêteté rare : la protection « ne peut malheureusement pas être garantie à 100 % ». C'est vrai chez tous les hébergeurs, mais IONOS est le seul à l'écrire.

Sa documentation technique décrit une protection de base, active par défaut, centrée sur les couches 3 et 4 : détection permanente, confinement automatique des inondations UDP et SYN. Pour la couche 7, elle renvoie vers un CDN. Une offre avancée ajoute un support expert 24 h sur 24, des alertes et des rapports, sans prix public. Aucune capacité de filtrage n'est publiée.

Là où IONOS se distingue, c'est l'accompagnement : support par téléphone, chat ou email, et un conseiller attitré. Pour une PME sans administrateur système, ce contact vaut plus que quelques Tbit/s de capacité théorique. Chaque adresse IPv4 en plus coûte 5 € HT par mois, utile si tu dois changer d'adresse après une fuite. Le prix du serveur s'affiche au moment de le configurer : compare-le au premier mois réel d'OVHcloud et de Hetzner.

Kimsufi est la gamme d'entrée d'OVHcloud. Elle profite du même réseau anti-DDoS, inclus comme sur tous les produits de l'éditeur. La différence se joue au premier étage : la documentation d'OVHcloud prévient que l'Edge Network Firewall peut être indisponible ou limité sur les serveurs Eco, dont Kimsufi fait partie. Tu dois donc filtrer tes ports avec le pare-feu de ton système (iptables ou nftables).

Les retours de terrain décrivent une mitigation qui se déclenche après détection, avec une brève perte de connexion au moment où elle s'active. Pour un blog ou un serveur de sauvegarde, c'est sans conséquence. Pour un serveur de jeu, chaque déclenchement déconnecte tout le monde.

L'autre limite est la disponibilité : les modèles les moins chers affichent souvent « prochainement disponible ». À 9,99 € HT par mois pour le KS-B, Kimsufi reste le moyen le moins cher d'avoir une machine entière protégée par le réseau d'OVHcloud.