Votre maison a une porte d’entrée, avec une serrure. Vous ouvrez au facteur, au voisin, à vos petits-enfants. Vous n’ouvrez pas à n’importe qui à trois heures du matin. Un serveur a besoin exactement de la même chose : quelqu’un qui décide qui entre.
À quoi sert un pare-feu ?
Un serveur est un ordinateur branché en permanence à Internet. Il a donc une adresse, son adresse IP, que n’importe qui dans le monde peut trouver. La plupart des gens qui arrivent à cette adresse sont des visiteurs normaux qui veulent lire votre site.
Mais il y a aussi des robots. Ce sont des programmes automatiques qui frappent à toutes les portes de tous les serveurs, jour et nuit, pour voir si l’une d’elles est mal fermée. Ils ne vous visent pas personnellement. Ils essaient tout le monde, au hasard, comme un démarcheur qui sonnerait à chaque appartement d’un immeuble.
Le pare-feu est là pour eux. Il regarde chaque demande qui arrive et applique des règles simples : « ceci, je laisse passer », « cela, je bloque ».
Comment ça marche concrètement ?
Un serveur a plusieurs portes d’entrée. On les appelle des ports. Un port, c’est un numéro qui indique à quel service la demande s’adresse. Imaginez un grand immeuble de bureaux avec une seule adresse postale, mais plusieurs guichets numérotés à l’intérieur.
Quelques numéros reviennent tout le temps :
- Le port 80 : l’entrée des visiteurs du site, version non protégée.
- Le port 443 : l’entrée des visiteurs du site avec le cadenas, le HTTPS.
- Le port 22 : l’entrée de service, réservée à la personne qui gère le serveur, pour s’y connecter à distance.
Un pare-feu bien réglé ouvre les ports 80 et 443 à tout le monde, parce qu’un site est fait pour être vu. Il garde fermés tous les autres. Et il surveille de près la porte de service.
Quand un visiteur passe le pare-feu, sa demande arrive au serveur web, le programme qui accueille les visiteurs et leur envoie les pages du site. Le pare-feu ne fabrique rien et n’affiche rien. Il trie, c’est tout. Mais sans lui, tout le monde pourrait essayer toutes les portes.
Un exemple réel
Sur un petit serveur qui vient d’être mis en ligne, les premières tentatives d’intrusion arrivent très vite, souvent dans les heures qui suivent. Des robots essaient de se connecter par la porte de service avec des mots de passe classiques : « admin », « 123456 », « password ». Ils recommencent sans se lasser.
Un outil comme fail2ban repère ce manège. Après plusieurs essais ratés venant de la même adresse, par exemple 203.0.113.42, il demande au pare-feu de bloquer cette adresse pendant un certain temps. Le robot se heurte alors à une porte qui ne répond plus. Pendant ce temps, vos vrais visiteurs continuent de lire votre site sans rien remarquer.
Les mots qu’on vous dira
- Firewall : le mot anglais pour pare-feu. C’est la même chose.
- Ouvrir un port : autoriser l’entrée par une porte précise. On le fait seulement quand un service en a vraiment besoin.
- UFW : un pare-feu facile à régler, très utilisé sur les serveurs Linux comme Ubuntu. Son nom anglais veut dire « pare-feu pas compliqué ».
- fail2ban : le petit programme qui repère les tentatives répétées et fait bannir l’adresse qui insiste.
- Règle : une ligne de consigne, du genre « autoriser le port 443 pour tout le monde ».
Ce que vous avez à retenir
Votre box internet a déjà un pare-feu, qui protège les appareils de la maison. Le serveur de votre site a besoin du sien, séparé, parce qu’il est exposé à tout Internet en permanence. Certains hébergeurs proposent aussi un filtrage en amont, avant même que les demandes atteignent votre machine.
Un pare-feu ne remplace pas le reste. Il faut aussi des mots de passe solides, des mises à jour régulières et des sauvegardes. Mais c’est la première ligne de défense, et elle se règle une bonne fois pour toutes à l’installation du serveur.
Si quelqu’un installe votre serveur pour vous, posez une seule question : « Le pare-feu est-il activé, et quels ports sont ouverts ? » La bonne réponse ressemble à : « Oui, 80 et 443 pour le site, et l’accès de service est protégé. »