Tout ce qu'InfraFence détecte et bloque
Chaque couche de détection et de réponse, dans chaque offre, et ce qu'ajoutent Pro et AutoMode. Ouvrez les détails techniques pour les motifs, fichiers et contrôles exacts.
SSH et force brute
Les tentatives de deviner les mots de passe s'arrêtent au pare-feu, et les récidivistes restent dehors de plus en plus longtemps.
Les attaques par force brute sont repérées dans le journal SSH en temps réel et l'adresse est bannie au pare-feu. Chaque nouvelle tentative la bannit plus longtemps, ou pour la durée de votre choix.
Détails techniques
- 15 motifs : mots de passe erronés, utilisateurs inexistants, échecs PAM, scans avant authentification, incompatibilités de protocole et coupures de l'échange de clés
- Bannissements progressifs : 24 heures, 7 jours, 30 jours, puis définitif, ou la durée que vous fixez
- Détection de force brute pour Postfix, Dovecot, MySQL, PostgreSQL, MongoDB, Pure-FTPd, ProFTPD et vsftpd
- En option : une adresse bannie sur un serveur l'est sur tous vos serveurs
Web Application Firewall
Chaque visiteur reçoit un score de risque : l'attaquant est ralenti, puis bloqué, puis banni.
Chaque détection ajoute des points au score du visiteur, qui baisse de 5 points par minute. Niveaux d'action : observer (30) → ralentir (60) → bloquer (80) → bannir au pare-feu (100). Depuis le tableau de bord, vous voyez chaque règle intégrée, modifiez poids, seuils et mode par type, désactivez des schémas précis et ajoutez vos propres règles.
| Type d'attaque | Points | Mode |
|---|---|---|
| RCE / Web shell / Shellshock | +50 | Par score |
| UA de scanner (sqlmap, nikto, nmap, nuclei…) | +50 | Par score |
| Injection SQL / SSRF / Exploit web | +40 | Par score |
| Piège honeypot (chemins leurres que vous définissez) | +40 | Par score |
| Path traversal / Injection d'en-têtes | +30 | Par score |
| Force brute WordPress | +30 | Seuil (10 req. / 2 min) |
| XSS / Recherche de .env / XMLRPC | +25 | Par score |
| Recherche de fichiers de configuration | +20 | Par score |
| Rafale de 404 | +15 | Seuil (15 req. / 5 min) |
Gestion des bots
Les moteurs de recherche passent, les scrapers et les faux robots non. Vous décidez, robot par robot.
Environ 1 500 robots reconnus grâce à des listes publiques mises à jour chaque jour. Pour chaque catégorie, ou chaque robot, vous choisissez : autoriser, journaliser seulement ou bloquer.
Détails techniques
- Catégories : moteurs de recherche, robots d'IA, outils SEO, scanners, supervision, aperçus de liens et plus
- Les robots qui se présentent comme un moteur de recherche sont vérifiés par leur adresse, et les faux sont démasqués
- Chaque robot est expliqué en langage clair
Scanner de malwares
Trouve web shells, portes dérobées et mineurs de cryptomonnaie, et vous explique exactement pourquoi.
Vos sites et le système sont analysés selon un calendrier et à la demande. Chaque détection indique pourquoi elle a été signalée, sa gravité et le fichier concerné, avec son SHA-256.
Détails techniques
- Analyse par signatures — 28 schémas intégrés pour les web shells, portes dérobées, mineurs de cryptomonnaie et kits de phishing
- Moteur YARA — règles communautaires pour les menaces web, mises à jour chaque jour (nécessite l'outil yara, installable en un clic depuis le tableau de bord)
- Chaque détection explique pourquoi elle a été signalée, sa gravité et le SHA-256 du fichier, avec des liens pour le vérifier dans des bases publiques de malwares
- Détection des frameworks — WordPress, Laravel, Django, Symfony, CakePHP, CodeIgniter, Node/Express, Rails, Joomla, Drupal
- Contrôles de sécurité des frameworks — .env exposé, mode DEBUG, APP_KEY, permissions trop larges, Telescope, wp-config
- Heuristiques — détection d'entropie de Shannon, anomalies de date dans les dossiers d'upload
- Intégrité du système — binaires système modifiés (dpkg -V / rpm -Va), indices de rootkit
- Analyse des identifiants — fichiers .env exposés, permissions des clés SSH, .git dans le dossier web, identifiants cloud
- Analyse de la base WordPress — scripts injectés dans les articles et options, administrateurs illégitimes
- Détection des processus — mineurs de cryptomonnaie en cours d'exécution, reverse shells, scripts suspects dans /tmp
- Quarantaine — un clic déplace un fichier malveillant en quarantaine, d'où il peut être restauré
- Ignorer — signalez un faux positif une fois et les analyses suivantes l'ignorent
- Analyses planifiées toutes les 3, 6, 12 ou 24 heures, plus "Analyser maintenant" depuis le tableau de bord
- Surveillance en temps réel — vérifie toutes les 30 secondes les dossiers d'upload à la recherche de nouveaux fichiers PHP
- Prévention des faux positifs — sommes de contrôle du cœur de WordPress, gravité selon le contexte
WAF en ligne ModSecurity (optionnel)
Stoppe les attaques web dès la première requête, avant qu'elles n'atteignent votre application.
Une couche en ligne optionnelle pour Apache avec mod_security2. Elle reste éteinte tant que vous n'autorisez pas les modifications du serveur web, et ne touche jamais un serveur dont la configuration est gérée par un panneau d'hébergement.
Détails techniques
- Seulement si vous autorisez les modifications du serveur web dans les Paramètres — désactivé par défaut
- Jamais sur les serveurs dont la configuration est gérée par un panneau d'hébergement ou un outil de gestion de configuration
- Pour Apache avec mod_security2
- 13 règles — injection SQL, XSS, RCE, SSRF, path traversal, Shellshock, Log4Shell, Spring4Shell, blocage des scanners
- Bloque dès la première requête, avant que le trafic n'atteigne votre application
- Sûr : si le test de configuration d'Apache échoue, la modification est annulée
- Les bannissements actifs sont aussi appliqués par ModSecurity, pour les visiteurs derrière un proxy ou un CDN
Intégrité des fichiers et surveillance de la persistance
Sachez à l'instant où un fichier système change ou quelqu'un se ménage un accès de retour.
Les fichiers critiques sont enregistrés une fois puis surveillés. Toute modification déclenche aussitôt une alerte, y compris aux endroits que les attaquants utilisent pour garder l'accès après un redémarrage.
Détails techniques
- Fichiers système principaux — /etc/passwd, /etc/shadow, /etc/group, /etc/sudoers (+ sudoers.d/*), /etc/ssh/sshd_config, /etc/hosts, /etc/resolv.conf
- Persistance par tâches planifiées — /etc/crontab, /etc/cron.d/* et les crontabs de chaque utilisateur
- Persistance SSH — authorized_keys de root et de chaque utilisateur dans /home/*
- Points de rootkit / détournement — /etc/ld.so.preload (le détournement LD_PRELOAD classique en espace utilisateur)
- Persistance systemd — /etc/systemd/system/*.service et *.timer
Détection des menaces sortantes et DNS
Repère un serveur compromis qui communique avec ceux qui le contrôlent.
InfraFence surveille ce que le serveur envoie vers l'extérieur avec la même attention que ce qui entre : c'est ainsi qu'on repère une machine déjà compromise.
Détails techniques
- Connexions sortantes vers des IP figurant sur des listes publiques de renseignement sur les menaces
- Inspection DNS — chaque requête DNS est lue (sans rien modifier) et reliée au programme qui l'a faite : requêtes vers des serveurs DNS inattendus ou malveillants, domaines qui pointent vers des IP malveillantes connues, tunnels DNS et malwares qui génèrent des domaines aléatoires (DGA)
- Le service DNS du serveur lui-même et les requêtes des antivirus et antispams sont reconnus et ne sont pas signalés
Score de risque des sessions SSH
Transforme des signaux épars en une seule alerte sur la personne qui était connectée.
Chaque session SSH est suivie de la connexion à la déconnexion et reçoit un score de 0 à 100. Si un autre détecteur se déclenche pendant que la session est ouverte, son score grimpe : vous savez qui était sur le serveur à ce moment-là.
Détails techniques
- Ce qui compte : méthode d'authentification, réputation de l'adresse source, heure de connexion et commandes privilégiées (sudo, useradd, passwd, crontab, su)
- Corrélation Sigma : le pare-feu web, l'intégrité des fichiers, les malwares, les scans de ports, le trafic sortant et le DNS augmentent le score de chaque session ouverte
- Chaque session reçoit son score final à sa fermeture
Durcissement, vulnérabilités et score de sécurité
Montre à quel point chaque serveur est exposé, quoi corriger d'abord et comment.
Au-delà des attaques, InfraFence contrôle le serveur lui-même chaque jour, ou à la demande : réglages, services exposés, paquets obsolètes. Et vous dit quoi corriger en premier.
Détails techniques
- De 40 à 50 vérifications de durcissement selon le serveur — réglages SSH, permissions des fichiers sensibles, bases de données ouvertes sur internet, comptes, réglages du serveur web, secrets exposés, logiciels obsolètes
- Corrections en un clic pour celles qui sont sûres : chaque modification est placée dans un fichier dédié, testée avant de recharger le service et annulable. Les modifications qui pourraient vous bloquer dehors ou casser un site sont expliquées pas à pas
- Vulnérabilités connues (CVE) des paquets installés, issues des suivis de sécurité de Debian, Ubuntu, AlmaLinux et Rocky Linux — en séparant ce qu'une mise à jour corrige tout de suite de ce qui n'a pas encore de correctif
- Un score de sécurité de 0 à 100, avec ce qui le fait baisser
Durcissement de PHP
Repère les paramètres PHP risqués dans chaque runtime et pool, et corrige ceux qui sont sûrs.
InfraFence lit la configuration effective de chaque version de PHP du serveur et de chaque pool PHP-FPM, et signale les paramètres risqués avec le fichier et la ligne d'où ils viennent. Il surveille ces fichiers et vous alerte quand une valeur dangereuse apparaît. C'est du durcissement et de la surveillance de configuration : rien n'est chargé dans PHP, et ce n'est pas une protection qui tourne à l'intérieur de vos applications.
Détails techniques
- PHP de la distribution, ondrej, remi, cPanel EA4, Plesk et CloudLinux alt-php, avec chaque pool PHP-FPM et les sites qu'il sert
- Vérifiés par runtime et par pool : allow_url_include, display_errors, expose_php, cgi.fix_pathinfo, disable_functions, open_basedir sur les pools partagés, les drapeaux des cookies de session et allow_url_fopen
- Surveillance en temps réel : une alerte quand allow_url_include ou display_errors est activé, avec le nom du fichier
- Correctifs en un clic pour allow_url_include, display_errors et expose_php, qu'AutoMode peut aussi appliquer de lui-même ; cgi.fix_pathinfo et disable_functions seulement avec votre approbation, en montrant les fichiers des sites concernés ; pour open_basedir et les valeurs qu'un pool définit dans son propre fichier, la ligne exacte à changer à la main
- Chaque correctif va dans un fichier drop-in propre à InfraFence, est testé avec php-fpm -t, rechargé en douceur (jamais redémarré) et annulé si un site cesse de répondre
- Sur cPanel, Plesk et CloudLinux, la configuration de PHP est signalée, jamais modifiée
Et aussi
- Protection de la messagerie, des bases de données et du FTP — détection de force brute pour Postfix, Dovecot, MySQL, PostgreSQL, MongoDB, Pure-FTPd, ProFTPD et vsftpd
- Compatible Docker — trouve les logs des conteneurs web et protège les ports publiés des conteneurs
- Blocage par pays depuis le tableau de bord
- Panneaux d'hébergement reconnus — cPanel/WHM, Plesk, DirectAdmin, CyberPanel, HestiaCP, Coolify, Easypanel et 17 autres ; InfraFence ne modifie jamais une configuration gérée par un panneau
- LiteSpeed et OpenLiteSpeed reconnus
- Les modifications faites depuis le tableau de bord arrivent sur vos serveurs en une seconde environ
- Mode surveillance — tout détecter, ne rien bloquer
- Métriques système — CPU, mémoire, disque et réseau
- Chaque événement expliqué en termes simples, en 6 langues
- En option : une adresse bannie sur un serveur est bannie sur tous vos serveurs
- Kubernetes — DaemonSet avec le chart Helm : une clé de cluster enregistre chaque nœud, et chaque nœud apparaît comme un serveur ; les mises à jour utilisent des images signées avec cosign
- Vulnérabilités par risque réel : d'abord celles déjà exploitées (CISA KEV), puis par probabilité d'exploitation (EPSS)
- Analyse instantanée de chaque incident — cause probable, risque et que faire maintenant, gratuite et calculée dans le tableau de bord ; approfondissement par IA à la demande
- Réseau InfraFence facultatif — les adresses qui attaquent plusieurs clients sont signalées, et les connexions SSH inhabituelles (nouveau compte, nouveau pays) ressortent
- Alertes par e-mail, Slack, Discord, Telegram ou webhook, plus un résumé hebdomadaire par e-mail
- Authentification à deux facteurs et journal d'activité de qui a changé quoi
Pro et AutoMode : une sécurité qui agit, sans risque
Trouver le problème, c'est la moitié du travail. Avec Pro, l'IA vous dit quoi faire et vous l'appliquez en un clic ; avec AutoMode, elle le fait pour vous. Toujours dans des limites strictes, et toujours avec un retour arrière possible.
Les approbations exigent l'authentification à deux facteurs : seul un propriétaire ou un admin connecté avec le code d'une application d'authentification peut approuver ou refuser, alors activez-la avant de compter sur AutoMode.
Uniquement des actions sûres et connues
AutoModeAutoMode choisit dans un catalogue fixe : bannissements, blocage de pays, corrections de durcissement (dont allow_url_include, display_errors et expose_php de PHP), mises à jour de sécurité dans votre fenêtre de maintenance, fermeture de ports, blocages sortants, correctifs virtuels et analyses. Il n'exécute jamais ses propres commandes, ne bloque jamais vos adresses ni les endroits d'où vous vous connectez, laisse tranquilles les serveurs en mode surveillance, et un interrupteur le met en pause.
Approbation d'un geste pour tout ce qui est risqué
AutoModeUn changement qui pourrait bloquer l'accès à quelqu'un, la mise à jour d'un paquet critique, un port hors de la liste sûre : AutoMode ne le fait pas de lui-même. Il vous le demande, et vous approuvez ou refusez d'un geste dans le tableau de bord, avec l'authentification à deux facteurs. Le lien de l'alerte ouvre seulement la demande, donc un message transféré ne peut rien approuver. Les demandes sans réponse expirent au bout de 24 heures.
Vérifié après chaque changement, annulé si ça casse
Toutes les offresAprès chaque changement sur un serveur (une règle de pare-feu, une correction de durcissement, un correctif virtuel), l'agent vérifie que SSH accepte toujours les connexions sur chaque port utilisé et que chaque site surveillé répond toujours, sans nouvelles erreurs. Sinon, il annule le changement de lui-même et vous dit pourquoi.
Correctifs virtuels pour les vulnérabilités exploitées
Pro · AutoModeQuand un serveur fait tourner un logiciel avec une vulnérabilité activement exploitée, une règle ModSecurity ciblée peut le protéger jusqu'à ce que vous installiez la mise à jour. Dans cette version : Apache avec ModSecurity. La configuration est testée avant le rechargement et restaurée en cas d'échec.
Fermer les ports exposés, bloquer les destinations dangereuses
Pro · AutoModeUne base de données ou un service d'administration (MySQL, PostgreSQL, Redis, MongoDB, Elasticsearch, l'API Docker…) ouvert sur internet et attaqué voit son port fermé. Un serveur qui communique avec une adresse malveillante connue voit cette destination bloquée. Les ports SSH ne sont jamais fermés, ni 80/443 tant qu'un serveur web les utilise, ni un port avec une connexion active. Tout peut être annulé.
Le réseau InfraFence, en temps réel
AutoModeQuand deux organisations AutoMode différentes qui partagent le renseignement sur les menaces bannissent la même adresse en moins d'une heure, chacune avec des preuves solides, toutes les organisations AutoMode qui partagent la bloquent aussi, pendant 6 heures. Cela ne touche jamais votre liste blanche, vos adresses à ne jamais bloquer ni les réseaux d'où vous vous connectez.
Interrogez votre serveur
Pro · AutoModeDemandez avec vos mots : qui a tenté de se connecter cette nuit, pourquoi une adresse a été bannie, ce qui s'est passé sur un serveur cette semaine. L'assistant lit vos événements, bannissements, incidents, sessions SSH, analyses et actions d'AutoMode (en lecture seule) et peut proposer une correction à appliquer en un clic. 200 questions par jour avec Pro, 500 avec AutoMode.
Brouillons de rapports NIS2 et RGPD
Pro · AutoModeÀ partir d'un incident ou d'une période, InfraFence rédige l'alerte précoce NIS2 (24 h), la notification d'incident (72 h) et le rapport final, ainsi que l'évaluation de la violation au titre de l'article 33 du RGPD, dans votre langue, avec une chronologie construite à partir des événements. Ce sont des brouillons à relire et compléter, pas un conseil juridique, et rien n'est envoyé à aucune autorité.
Comment fonctionne la notification NIS2Score de sécurité
Toutes les offresUn score de 0 à 100 pour chaque serveur et pour l'organisation : résultats du durcissement, vulnérabilités ouvertes (celles qui sont exploitées pèsent le plus), ports à risque ouverts, malware, mode surveillance, version de l'agent et authentification à deux facteurs. Avec son évolution et les 3 corrections les plus utiles. Toutes les offres le voient ; appliquer les corrections en un clic, c'est Pro.
Rapport mensuel de valeur
Offres payantesLe premier jour de chaque mois, par e-mail et dans le tableau de bord : attaques bloquées, bannissements, corrections appliquées, actions et approbations d'AutoMode, évolution du score et une estimation des heures gagnées, avec la méthode de calcul.
Attaqué ? Un bouton rouge.
Appuyez sur « Je suis attaqué » dans le tableau de bord et, pendant les 24 heures suivantes, l'IA répond seule à l'attaque, avec le même catalogue sûr et les mêmes limites : elle bannit les attaquants, active des protections supplémentaires, applique des corrections sûres et des mises à jour urgentes pour les failles exploitées. Tout apparaît dans l'activité, avec Annuler. Deux fois tous les 30 jours avec Basic et Pro, chaque fois que nécessaire avec AutoMode.
Panneaux d'hébergement
cPanel & WHM: DisponiblePlesk: En développementPour les hébergeurs, les agences et les infogérants. Blocages, malwares détectés, événements de sécurité et analyses par site dans le panneau que votre équipe utilise déjà, sur chaque serveur. Aucun identifiant stocké dans le panneau, inclus dans Basic, Pro et AutoMode.
- État de la protection, score de sécurité, événements critiques et carte des attaques
- Adresses bannies : déblocage sur ce serveur uniquement, ou ajout à la liste blanche
- Malwares et intégrité des fichiers, événements de sécurité récents
- Coexistence avec CSF/lfd, Imunify360, cPHulk, fail2ban, CrowdSec, Plesk Firewall et d'autres
- Sites et domaines avec leur couverture antimalware, et Analyser pour un seul site
- Aucun identifiant dans le panneau ; root et administrateur uniquement
cPanel & WHM
DisponibleWHM » Plugins » InfraFence
RPM pour AlmaLinux 8, 9, 10 et CloudLinux · .deb pour Ubuntu 24.04
Plesk
En développementPlesk Obsidian 18.0.60 ou ultérieur, dans la navigation de gauche
Extension zip, installée avec le gestionnaire d'extensions de Plesk
Montrez à vos clients qu'ils sont protégés
Placez le badge « Surveillé par InfraFence » sur votre site. Il renvoie vers une page de transparence publique sur infrafence.com avec l'heure de la dernière vérification, les attaques bloquées ces 30 derniers jours et les protections actives.
- Une image dans un lien : aucun script et aucun cookie sur votre site.
- N'affiche jamais d'adresses, de détections ni de scores, et passe au gris neutre quand une vérification est en retard.
- Une preuve de surveillance pour vos clients et pour les questionnaires fournisseurs, comme ceux liés à NIS2.
Ce que vous obtenez
| InfraFence | |
|---|---|
| Tableau de bord en direct pour tous vos serveurs | Oui, mis à jour en temps réel |
| Installation | Une commande, avec une vérification préalable en lecture seule |
| Force brute SSH | 15 schémas, bannissements croissants |
| Risque des sessions SSH | Oui, corrélé avec tous les autres détecteurs |
| Web application firewall | 15 types d'attaque, modifiables depuis le tableau de bord |
| Bots | ~1 500 reconnus ; autoriser, journaliser ou bloquer par catégorie ou par bot |
| Malwares | Signatures + YARA, avec quarantaine et ignorer |
| Intégrité des fichiers et persistance | Sur tout le système |
| Menaces sortantes et DNS | DNS inspecté paquet par paquet, relié au programme |
| Docker | Oui : logs des conteneurs et ports publiés |
| Kubernetes | DaemonSet Helm, un serveur par nœud |
| Alertes | E-mail, Slack, Discord, Telegram, webhooks |
| Analyse des incidents | Instantanée et gratuite, IA à la demande |
| Mode surveillance (détection seule) | Oui |
| Corrections appliquées pour vous | AutoMode : catalogue fixe, approbations, vérification, avec Annuler |
| Vulnérabilités exploitées | Correctifs virtuels en attendant la mise à jour (Apache + ModSecurity) |
| Rapports d'incident | Brouillons NIS2 et RGPD à relire |
| Désinstallation | Supprime tout ce qu'il a ajouté |
| Prix | 8,90 €/serveur/mois, 1 serveur gratuit |
Sécurité et confiance
Utiliser cet agent, c'est lui donner un accès privilégié à votre serveur — c'est une vraie demande, et nous ne la prenons pas à la légère. Voici exactement ce qui justifie cette confiance en production :
- Code source disponible et auditable
- L'agent est sous licence BSL 1.1. Il est 100 % gratuit pour un usage interne en production, entièrement transparent, et vous pouvez auditer chaque ligne avant de l'installer.
- Il vérifie avant de modifier
- Une analyse en lecture seule du serveur est lancée avant l'installation puis chaque jour. Les modifications du serveur web et le blocage par listes de menaces restent désactivés jusqu'à ce que vous les activiez, et ne se font jamais là où un panneau d'hébergement gère la configuration.
- Ce qu'il lit
- Pour détecter les menaces, il lit les logs du système et du serveur web, les fichiers des sites pour l'analyse de malwares (y compris .env et fichiers de configuration), les articles et utilisateurs WordPress pour l'analyse WordPress, ainsi que le trafic DNS et les connexions réseau du serveur.
- Ce qu'il envoie
- Uniquement des événements de sécurité : IP de l'attaquant, type, heure et les détails nécessaires pour les comprendre — pour une attaque web, la seule ligne de log qui l'a déclenchée ; pour un malware, le chemin du fichier et le texte trouvé. Les logs et fichiers complets ne quittent jamais votre serveur. Aucune télémétrie. Rien n'est partagé avec des tiers, sauf pour les fonctions d'IA : quand vous demandez une analyse, utilisez l'assistant ou préparez un rapport, et tant qu'AutoMode ou le mode urgence est actif, les événements nécessaires sont envoyés à Anthropic pour produire la réponse.
- Chaîne de pare-feu dédiée
- Toutes ses règles se trouvent dans ses propres chaînes INFRAFENCE, restaurées automatiquement si un autre outil les supprime. Vos règles existantes ne sont jamais modifiées.
- Binaires signés
- Chaque version est compilée par la CI GitHub Actions avec des signatures Cosign et une attestation de provenance de la compilation.
- Mode surveillance
- Tout détecter, ne rien bloquer — activez la protection quand vous êtes prêt.
- Désinstallation propre
- Une commande supprime l'agent et tout ce qu'il a ajouté : chaînes de pare-feu, modifications du serveur web et le service.