Un pare-feu pour DirectAdmin après CSF

• ConfigServer a arrêté le développement de CSF et de lfd le 31 août 2025. Avant de fermer, la société a publié le code sous GPLv3, et ses serveurs de téléchargement et de mise à jour ont été coupés : ne faites plus rien pointer vers download.configserver.com.
• DirectAdmin n'a pas abandonné CSF. Depuis DirectAdmin 1.682 (25 août 2025), CustomBuild vérifie et installe lui-même les mises à jour de CSF, avec la mise à jour automatique propre à CSF désactivée, et DirectAdmin 1.689 (12 novembre 2025) est passé à CSF 15.05, avec l'analyse des journaux des versions récentes d'OpenSSH et de nouveaux réglages par défaut. La page CSF de DirectAdmin le documente toujours.
• cPanel maintient son propre fork, mais uniquement pour les serveurs cPanel & WHM. En dehors de cPanel, des forks communautaires comme Aetherinox/csf-firewall font vivre CSF, à leur propre rythme.

CSF continue donc de fonctionner sous DirectAdmin et reçoit des correctifs via CustomBuild. Ce qui a changé, c'est que plus personne ne le développe comme le faisait ConfigServer : de nouvelles fonctionnalités sont peu probables.

• Garder CSF via CustomBuild

  Le bon choix si vous gérez un ou quelques serveurs et que vous appréciez les fichiers de CSF et l'écran CSF de DirectAdmin. Tenez CustomBuild à jour pour que CSF reçoive les mises à jour de DirectAdmin.

• Passer à firewalld ou nftables, avec fail2ban

  Les outils de la distribution, maintenus en amont. Vous perdez l'écran CSF de DirectAdmin, et son Brute Force Monitor bloque via CSF : prévoyez comment il bloquera sans lui.

• Ajouter InfraFence à côté de l'un ou de l'autre

  Pour les agences et les équipes qui ont beaucoup de serveurs : un seul tableau de bord en temps réel pour tous, les attaques bannies au niveau du pare-feu, le trafic sortant et l'intégrité des fichiers surveillés, et des correctifs vérifiés puis annulés si SSH ou un site cesse de répondre.

InfraFence ne remplace pas tel quel le filtre de paquets de CSF : il ne définit pas votre politique de base (quels ports sont ouverts au monde). Gardez CSF, firewalld ou nftables pour cela. InfraFence travaille par-dessus et n'ouvre jamais un port que cet outil a fermé.

• Il reconnaît DirectAdmin à partir de /usr/local/directadmin, lit sa version avec directadmin v et affiche les deux dans le tableau de bord.
• Il lit le trafic de chaque domaine. Il liste les domaines à partir du domains.list de chaque utilisateur et lit les journaux d'accès par domaine dans /var/log/httpd/domains, pour que le pare-feu web voie les requêtes vers chaque site (Pare-feu web).
• Il ne touche pas aux fichiers de CustomBuild. Sous un panneau d'hébergement, l'agent ne modifie jamais la configuration du serveur web : ni règles ModSecurity, ni blocage par user agent. Les bots réglés sur Bloquer sont bannis au niveau du pare-feu à la place.
• Il bannit au niveau du pare-feu pour la force brute SSH et les attaques web, et peut fermer les ports de base de données ouverts sur internet quand vous le demandez depuis le tableau de bord (Ports et blocage sortant). Ses bannissements, la liste blanche et les blocages par pays s'appliquent à l'IPv4 ; les ports fermés, à l'IPv4 et à l'IPv6.
• Il surveille ce que CSF ne voit pas : les connexions qui quittent le serveur vers des adresses malveillantes connues, les réponses DNS, les malwares dans les sites et les modifications des fichiers système.

Les tests de version de l'agent installent CSF (le fork communautaire sous GPLv3) sur le même hôte, lancent csf -r et vérifient que les chaînes et les bannissements de l'agent reviennent, que SSH continue de répondre et que les règles de CSF restent exactement telles que CSF les a écrites. La liste complète des outils est dans Coexistence.

1. Lancez d'abord le contrôle en lecture seule : le --dry-run de l'installeur signale tout ce qui pourrait gêner, sans rien modifier.
2. Dans le tableau de bord, Serveurs › Ajouter un serveur crée un jeton d'installation, valable une heure.
3. Lancez la commande d'installation en root via SSH. Rien ne doit changer dans DirectAdmin ni dans CustomBuild.

curl -fsSL https://github.com/infrafence/infrafence-agent/releases/latest/download/install.sh | sudo bash -s -- --dry-run

Les systèmes pris en charge par DirectAdmin, comme AlmaLinux, Rocky Linux, Debian et Ubuntu, font partie des 15 distributions sur lesquelles l'agent est testé avant chaque version (Distributions prises en charge).