Auteur Sujet: Le forum attaqué par des IP Free Pro le 19 octobre 2026 (Lu 2881 fois)

simon · « **Réponse #60 le:** **Aujourd'hui** à 15:36:36 »

Citation de: Leon le Aujourd'hui à 11:20:05

Il n'y a aucune volonté de nuisance derrière ces activités, c'est juste surprenant comment c'est volumineux.

Il y a tout de même une absence de respect des normes établies et façons de faire sur Internet (DoS presque distribué, où les acteurs utilisent énormément d'adresses IP différentes pour outrepasser les limitations de connexions par IP ou le tarpitting, non respect de robots.txt, etc.).
Ce n'est pas comme si c'était un simple gus avec curl qui faisait crasher le forum à cause d'un bug dans le code PHP...

simon · « **Réponse #61 le:** **Aujourd'hui** à 15:41:12 »

Citation de: vivien le Aujourd'hui à 13:11:55

Je vois qu'il y a de fausses requêtes Google

Code: [Sélectionner]

::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/app/.env.production?import&raw?? HTTP/2.0" 404 107 "-" "DuckAssistBot/1.1 (https://duckduckgo.com/duckassistbot)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /.env?import&raw HTTP/2.0" 404 107 "-" "DuckAssistBot/1.1 (https://duckduckgo.com/duckassistbot)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /.env?raw HTTP/2.0" 404 107 "-" "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/app/.env?import&raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko); compatible; GPTBot/1.4; +https://openai.com/gptbot"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/app/.env.local?import&raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/.env?raw&url?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 (compatible; Meta-WebIndexer/1.0; +https://developers.facebook.com/docs/sharing/webmasters/crawler)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/..%252f..%252f..%252f..%252f..%252froot/.env?raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; Perplexity-User/1.0; +https://perplexity.ai/perplexity-user)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/.env?import&?raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 (compatible; Googlebot/2.1; +http://www.google.com/bot.html)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/..%252f..%252f..%252f..%252f..%252fproc/self/environ?raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 (compatible; KimiBot/1.0; +https://kimi.ai/)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /.env.supabase HTTP/2.0" 404 107 "-" "Mozilla/5.0 (compatible; Bravebot/1.0; +https://brave.com/search/)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/var/run/secrets/kubernetes.io/serviceaccount/ca.crt?raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/605.1.15 (KHTML, like Gecko) Version/17.0 Safari/605.1.15 (Applebot/0.1; +http://www.apple.com/go/applebot)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/src/.env?import&raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 (compatible; cohere-ai; +https://cohere.com/crawler)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/../.env?import&raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 (compatible; KimiBot/1.0; +https://kimi.ai/)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:47 +0000] "GET /@fs/var/run/secrets/kubernetes.io/serviceaccount/token?raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; ClaudeBot/1.0; +claudebot@anthropic.com)"
::ffff:34.39.209.31 - - [22/Oct/2026:16:07:48 +0000] "GET /@fs/proc/self/cmdline?raw?? HTTP/2.0" 404 107 "-" "Mozilla/5.0 (compatible; ChatGLM-Spider/1.0; +https://zhipuai.cn/)"

Venant d'une IP Google Cloud. Les bots mentent clairement sur le user agent, on ne peut pas s'y fier.

Ces scans commencent à prendre une proportion de dingue... je suis à 2 doigts de firewaller le port 443 en IPv4 (étrangement, ils ne savent pas faire de v6, contrairement aux requêtes légitimes).

Hugues · « **Réponse #62 le:** **Aujourd'hui** à 15:44:04 »

Citation de: simon le Aujourd'hui à 15:36:36

Il y a tout de même une absence de respect des normes établies et façons de faire sur Internet (DoS presque distribué, où les acteurs utilisent énormément d'adresses IP différentes pour outrepasser les limitations de connexions par IP ou le tarpitting, non respect de robots.txt, etc.).
Ce n'est pas comme si c'était un simple gus avec curl qui faisait crasher le forum à cause d'un bug dans le code PHP...

Je vais me faire l'avocat du diable pour une fois :
- Beaucoup de sites bloquent déraisonnablement les IP classés comme hosting
- Beaucoup de gros sites ont mis des ACL tellement violentes par IP que parfois si tu veux crawler, t'as pas trop le choix

Après bon, les vrais experts dans le domaine ils se font pas choper en écroulant des sites web, là c'est juste fait à l'arrache.

Leon · « **Réponse #63 le:** **Aujourd'hui** à 15:44:19 »

Citation de: turold le Aujourd'hui à 14:40:32

Une autre parade est malheureusement en train de s'étendre au-delà des sites d'informations comme Next: le Premium.

Tu veux dire "premium = payant"?
Il ne faut faire payer que si le forum n'a pas les moyens financiers pour survivre. Sinon, ça n'aurait pas de sens: récupérer de l'argent pour quoi faire? Faire fuir les gens?
Et si on a vraiment besoin d'argent, je préfère largement que ça se fasse par des dons basés sur le volontariat, ça fonctionnerait forcément avec notre communauté. Je serais partant pour contribuer financièrement, personnellement, pas de pb.

Pour en revenir aux "parades", je pense qu'on est allé au bout de ce qu'il est possible et pertinent de faire avec le filtrage IP, il faut clairement passer à l'étape suivante.
Vivien, tu es d'accord avec ça?

Je ne sais pas si le code du forum (SMF) permet de le faire, mais présenter aux visiteurs (=non inscrits) un site statique, sans aucun chichi (pas d'heure, de compteur, d'affichage des membres présent, de temps de génération de page, d'affichage customisable), tout ça utilisant fortement le cache, ça serait sans doute très bénéfique.

Il y a la solution des systèmes de captcha visibles ou invisibles.

Il y a enfin la solution des proxy de type Cloudflare.

Leon.

simon · « **Réponse #64 le:** **Aujourd'hui** à 15:49:45 »

Citation de: Hugues le Aujourd'hui à 15:44:04

Je vais me faire l'avocat du diable pour une fois :
- Beaucoup de sites bloquent déraisonnablement les IP classés comme hosting
- Beaucoup de gros sites ont mis des ACL tellement violentes par IP que parfois si tu veux crawler, t'as pas trop le choix

Fair enough, mais si un admin bloque des IP classées comme hosting, c'est parce qu'il ne veut peut-être pas de ce traffic? My network, my rules?

J'entends l'argument technique, mais "si tu veux scraper, t'as pas le choix", c'est un peu comme de dire que si tu veux voler des playstations, faut des cagoules et des barres à mines : ca reste des méthodes de sagouins, et c'est pas honnête.

hwti · « **Réponse #65 le:** **Aujourd'hui** à 15:54:00 »

Citation de: numel1 le Aujourd'hui à 13:39:43

Question naïve : la plupart des IP venant de free-pro (ex jaguar?), pourquoi ne pas simplement bloquer leur AS d'origine? Avec un bel écran leur demandant de demander à leur opérateur de prendre contact avec le gestionnaire du site (vivien?) pour le faire débloquer?
Il y a de plus en plus de forums qui mettent en liste noire des AS qu'ils estiment perturbateurs voir nuisibles, ils se genent pas.

Il faudrait pouvoir distinguer les IP des abonnés Freebox Pro de celles des serveurs.

Citation de: acut3 le Aujourd'hui à 13:44:19

En regardant les headers retournés par le serveur je vois un Expires: Mon, 26 Jul 1997 05:00:00 GMT. Je doute que les bots l'utilisent, mais si ils le font, ça ne doit pas les aider à prendre une décision éclairé.

Le Last-Modified est aussi toujours la date courante, mais c'est par nature du fonctionnement de SMF (et même sans compte, le nombre de lectures d'un sujet change, etc...).
Et même si les bots envoient le If-Modified-Since comme un navigateur (pas sûr), SMF ne peut pas leur répondre un "304 Not Modified".

Hugues · « **Réponse #66 le:** **Aujourd'hui** à 16:02:02 »

Citation de: simon le Aujourd'hui à 15:49:45

Fair enough, mais si un admin bloque des IP classées comme hosting, c'est parce qu'il ne veut peut-être pas de ce traffic? My network, my rules?

J'entends l'argument technique, mais "si tu veux scraper, t'as pas le choix", c'est un peu comme de dire que si tu veux voler des playstations, faut des cagoules et des barres à mines : ca reste des méthodes de sagouins, et c'est pas honnête.

Absolument, on est sur deux réalités pas forcément réconciliables

turold · « **Réponse #67 le:** **Aujourd'hui** à 16:26:47 »

Citation de: Leon le Aujourd'hui à 15:44:19

Tu veux dire "premium = payant"?
Il ne faut faire payer que si le forum n'a pas les moyens financiers pour survivre. Sinon, ça n'aurait pas de sens: récupérer de l'argent pour quoi faire? Faire fuir les gens?
Et si on a vraiment besoin d'argent, je préfère largement que ça se fasse par des dons basés sur le volontariat, ça fonctionnerait forcément avec notre communauté. Je serais partant pour contribuer financièrement, personnellement, pas de pb.

Oui, d'où mon "malheureusement", et plus loin dans mon mesage: "C'est juste une info, pas une suggestion. ".

Le pire forum publique que je connaisse en accès est l'officiel de swtor, et bien avant l'arrivée des IA.
- avec un compte gratuit: lecture seule
- avec un compte premium ou anciennement premium: lecture et écriture
Et pour le moment, sans compte c'est encore en lecture seule. Donc un premium en lecture de forum publique n'est visiblement pas encore retenu, même quand un système freemium existe.

Citation de: Leon le Aujourd'hui à 15:44:19

Pour en revenir aux "parades", je pense qu'on est allé au bout de ce qu'il est possible et pertinent de faire avec le filtrage IP, il faut clairement passer à l'étape suivante.
Vivien, tu es d'accord avec ça?

Je ne sais pas si le code du forum (SMF) permet de le faire, mais présenter aux visiteurs (=non inscrits) un site statique, sans aucun chichi (pas d'heure, de compteur, d'affichage des membres présent, de temps de génération de page, d'affichage customisable), tout ça utilisant fortement le cache, ça serait sans doute très bénéfique.

Il y a la solution des systèmes de captcha visibles ou invisibles.

Il y a enfin la solution des proxy de type Cloudflare.

SMF 2.1 a déjà des améliorations techniques qui peuvent aider (IPv6 natif, gestion des Reverse Proxies, etc).

acut3 · « **Réponse #68 le:** **Aujourd'hui** à 16:47:24 »

Citation de: turold le Aujourd'hui à 16:26:47

SMF 2.1 a déjà des améliorations techniques qui peuvent aider (IPv6 natif, gestion des Reverse Proxies, etc).

C'est quelle version sur le forum ?

J'ai parlé d'enlever les PHPSESSID des URLs mais ils sont en fait ajoutés par SMF et pas directement par PHP, donc session.use_only_cookies = 1 ne suffit pas. Mais je vois que la version 2.1.7 de SMF supprime l'injection de PHPSESSID des URLs (https://github.com/SimpleMachines/SMF/pull/8394).

turold · « **Réponse #69 le:** **Aujourd'hui** à 17:06:21 »

Citation de: acut3 le Aujourd'hui à 16:47:24

C'est quelle version sur le forum ?

La 2.0 : https://lafibre.info/forum/mentions-legales/msg542247/#msg542247

acut3 · « **Réponse #70 le:** **Aujourd'hui** à 17:12:57 »

Donc c'est le moment d'updater, la 2.0 étant end of life depuis peu.

D'ailleurs dans la même PR on voit aussi "It goes a bit further and will not write sessions where cookies are not present/allowed. I believe this last part can significantly decrease MySQL CPU workload for websites that are getting crawled heavily" donc c'est aussi bon à prendre