Des milliers d’adresses ayant attaqué d’autres serveurs ce matin sont bloquées dans ipset ou nftables avant même que leur première tentative ne vous atteigne, et chaque attaque détectée dans vos propres journaux est signalée. Un seul binaire statique pour les hébergeurs et les administrateurs exploitant des services Web, de messagerie, FTP et DNS sur les mêmes machines. Un serveur est inclus dans la formule Pro.
14
types de sources de journaux que l'installateur reconnaît tout seul : SSH, web, messagerie, FTP, DNS, le panneau de contrôle et le noyau, chacun avec son propre seuil.
15 min
entre deux actualisations de la liste communautaire sur un serveur sous licence. Une liste inchangée coûte un 304 et aucun transfert.
1 binaire
statique, pour amd64 et arm64. Pas de cgo, pas d'interpréteur, aucun environnement d'exécution à mettre à jour sur l'hôte.
Zéro
ligne de journal, payload ou User-Agent ne nous est envoyé. Un rapport comprend une adresse, des identifiants de catégorie et une phrase générée.
Une seule machine ou une baie entière : l'agent s'installe sans poser une seule question, trouve lui-même ses journaux et se met à jour tout seul, sur amd64 comme sur arm64.
Hébergeurs Web et revendeurs
Web, messagerie, FTP, DNS et le panneau de contrôle sur une seule machine. L'installateur lit la configuration du serveur Web lui-même et trouve seul chaque journal d'hôte virtuel, chaque source reçoit son propre seuil, et un site ajouté demain est couvert sans toucher à la configuration. Rien du trafic de vos clients ne quitte la machine.
La détection en détailCentres de données et serveurs infogérés
Une seule commande sans intervention pour Ansible ou cloud-init, des mises à jour automatiques signées, des bannissements par groupe pour qu'une adresse qui frappe une baie soit rejetée sur toutes les autres, et un état en JSON avec un modèle Zabbix officiel pour le NOC. Le tarif dégressif descend jusqu'à 1,40 € par serveur.
Exemples de déploiementAgences et administrateurs
Un serveur est inclus dans Pro. Installez l'agent, lancez la première synchronisation, lisez status : la machine est sur le réseau en quelques minutes, et un essai à blanc sur vos journaux réels montre ce qu'elle aurait banni avant de rejeter le moindre paquet.
Guide d'installationUn serveur d'hébergement n'est pas un seul service. C'est le Web, la messagerie, le FTP, le DNS et un panneau de contrôle sur la même machine, qui écrivent à eux tous quelques centaines de fichiers journaux, et chaque type d'attaque arrive dans un fichier différent. Surveiller tout cela à la main représente une journée de travail, et la limite reste la même : une liste de bannissement construite à partir de vos propres journaux ne contient que ce qui vous a trouvé en premier. Ainsi, chaque serveur sur Internet apprend la même leçon séparément, à ses propres frais, tentative après tentative.
La même machine, les mêmes journaux, sept situations tirées d'une semaine ordinaire chez un hébergeur. La différence : ce serveur est-il le seul à en tirer des leçons ?
| La situation | Sans l'agent | Avec l'agent |
|---|---|---|
| Une adresse a attaqué quarante autres hôtes ce matin et frappe maintenant à votre porte | Elle passe ses premières tentatives jusqu'à ce que votre propre seuil se déclenche. | Rejetée dans le noyau avant que son premier paquet n'arrive. |
| Une attaque par force brute sur les connexions WordPress, répartie sur 300 vhosts | Chaque site voit quelques tentatives, et aucune ne ressemble à une attaque. | Comptée sur tous les journaux vhost de la machine, bannie et signalée une seule fois. |
| Une pulvérisation de mots de passe contre vos boîtes mail depuis un lot d'adresses neuves | Apprise une adresse à la fois, à partir de vos propres échecs de connexion. | Apprise une fois par le premier touché, et rejetée uniquement sur vos ports mail. |
| L'attaquant passe du serveur 1 au serveur 2 | Le serveur 2 repart de zéro. | Avec un groupe, le serveur 2 le rejette dès que le serveur 1 le signale. |
| Un nouveau serveur entre dans la baie | Liste de bannissement vide, jusqu'à ce qu'il ait été assez attaqué pour apprendre. | Des milliers d'attaquants connus dans le noyau dès la première synchronisation. |
| Les attaques que seule cette machine voit | Ses propres journaux sont la seule source, ils restent donc complets. | Les mêmes quatorze sources de journaux, et chaque détection est signalée pour épargner l'opérateur suivant. |
| Ce que coûte l'apprentissage | Une tentative réussie par leçon, payée avec le trafic de vos clients. | De 4,90 € jusqu'à 1,40 € par serveur et par mois, TTC. Un serveur inclus dans Pro. |
La détection, le blocage local et les signalements fonctionnent avec toutes les formules, même avec une clé gratuite. Une licence serveur ajoute le flux communautaire dans le noyau, et la formule Pro ajoute les bannissements par groupe sur tout votre parc. Rien ci-dessous n'est un appât pour une fonctionnalité qui s'avérerait verrouillée.
Les étiquettes indiquent ce dont une fonctionnalité a besoin. Une licence serveur est incluse dans Pro, trois dans Business.
Les adresses qui ont attaqué d'autres serveurs ce matin sont rejetées avant que leur premier paquet n'atteigne le vôtre. C'est ce qu'achète une licence serveur ; tout ce qui suit fonctionne sans.
7En savoir plus Le blocage en détail Licences
Un serveur d'hébergement écrit chaque type d'attaque dans un journal différent. L'agent les lit tous, chaque source avec son propre seuil, et l'installateur les trouve sans une seule règle écrite à la main.
15En savoir plus Détection et règles Configuration
Une détection est bannie localement, signalée au réseau et ne bloque jamais ceux qui doivent passer. Chaque étape peut être observée avant de lui faire confiance.
9En savoir plus Blocage local
Aucun détecteur n'est caché dans le binaire. Chacun est un fichier YAML avec un motif, la position de l'adresse et ses propres exemples, et vos règles se placent à côté de celles qui sont livrées.
8En savoir plus Écrire des règles
Conçu pour l'opérateur qui a cinquante serveurs autant que pour celui qui n'en a qu'un. Ce qu'un hôte apprend, les autres peuvent s'en servir, et personne n'a besoin d'être connecté pour que tout reste à jour.
8En savoir plus Exemples de déploiement Groupes
Un agent sur cinquante serveurs ne reste bon marché que s'il se fait discret. Il remonte son état à la supervision que vous utilisez déjà et envoie un e-mail quand quelque chose change, pas un par événement.
8En savoir plus Supervision Exploitation
Un hébergeur répond du trafic de chaque client sur la machine. L'agent est conçu pour que cette réponse reste courte.
6En savoir plus Ce qui quitte la machine Installation
Pro inclut un serveur, Business trois. Chaque serveur supplémentaire est une licence, et le palier atteint s'applique à toutes les licences réservées, pas seulement à celles qui le dépassent. Tous les prix sont TTC.
| Licences réservées | Par serveur et par mois | Par serveur et par an | Paiement annuel, par mois |
|---|---|---|---|
| 1 à 4 | 4,90 € | 49,00 € | 4,08 € |
| 5 à 9 | 3,90 € | 39,00 € | 3,25 € |
| 10 à 24 | 2,90 € | 29,00 € | 2,42 € |
| 25 à 49 | 1,90 € | 19,00 € | 1,58 € |
| 50 et plus | 1,40 € | 14,00 € | 1,17 € |
Ce que coûte un parc par mois, formule comprise
Jusqu'à 200 licences se réservent dans le portail ; au-delà, le prix est fixé dans un contrat Enterprise. Un serveur sans licence continue de détecter, de bloquer et de signaler, seul le flux communautaire est mis en pause.
À qui s'adresse ce produit ?
Hébergeurs, agences et administrateurs qui exploitent toute la pile Linux : Web, messagerie, FTP, DNS et un panneau de contrôle sur les mêmes machines, avec un serveur ou cinquante.
# At a terminal: it shows the terms of use and takes a yes, then
# asks for your key, then three short questions, and Enter takes the
# safe answer every time.
curl -fsSL https://reportedip.com/agent/install.sh | sh
# For automation, and for fifty hosts: nothing is asked, the terms
# are accepted up front.
curl -fsSL https://reportedip.com/agent/install.sh | REPORTEDIP_ACCEPT_TERMS=1 REPORTEDIP_KEY="YOUR_API_KEY" shLa première chose que le script affiche, ce sont les conditions d'utilisation, et il lui faut un yes avant de télécharger quoi que ce soit. Il vérifie qu'il tourne en root, que la plateforme est Linux, que l'architecture est amd64 ou arm64 et qu'un outil de somme de contrôle existe. Il télécharge ensuite avec votre clé la version correspondant à votre architecture, la vérifie contre SHA256SUMS et l'installe dans /usr/local/bin. À partir de là, la mise en place détecte quels services tournent, quels ports écoutent et où cette distribution range ses journaux, et écrit elle-même la configuration. Prenez la seconde forme dès qu'un script lance ceci, car elle ne demande rien et n'a pas besoin de terminal.
reportedip-agent syncL'installation ne touche aucune règle de pare-feu : ni chaîne, ni ensemble, ni saut. C'est cette exécution qui crée tout cela et charge les cinq listes par service, et c'est pourquoi l'installateur termine en vous disant de la lancer. Jusque-là l'hôte est exactement tel qu'il était, et une installation contre laquelle vous décidez coûte un rm de deux répertoires.
reportedip-agent status
reportedip-agent doctor
reportedip-agent test /var/log/auth.log
reportedip-agent rules listLa commande « status » affiche le nombre d’entrées par liste, l’état de la chaîne, la Whitelist et l’état de la licence de cet hôte ; un seul écran suffit donc pour savoir si l’installation a fonctionné. La commande « doctor » indique ce que cet hôte contient et ce qui manque, sans rien modifier : ni fichier, ni règle, ni ensemble. La commande « test » exécute les détecteurs sur un journal réel, fichiers compressés au format gzip compris, et affiche quelle adresse aurait dépassé quel seuil et à quel moment, sans signaler ni bloquer quoi que ce soit. La commande « rules list » affiche chaque détecteur sous la forme du fichier qu’il représente, en précisant la couche d’où il provient et s’il est activé.
Cet hôte rejette dès sa première synchronisation, car c'est ce que l'installation écrit. Répondez log si vous voulez d'abord lire pendant une semaine ce qui aurait été coupé. La documentation parcourt la même installation en entier : chaque option, chaque clé de configuration, et les questions plus fines que la voie rapide saute.
Notes de version, guides et rapports, du plus récent au plus ancien.
Quatre choses s'y opposent, et les trois premières ne peuvent pas être désactivées. Les plages privées, le loopback, les adresses propres de ce serveur et l'adresse SSH depuis laquelle l'installation a été lancée ne sont jamais signalées ni bloquées. Votre propre whitelist passe avant chaque rejet. La liste est notée, et c'est vous qui choisissez le seuil : à partir de 75 sur un serveur sous licence, ou plus haut pour ne garder que les entrées les plus sûres. L'hôte rejette dès la première synchronisation, et si vous voulez d'abord lire cela pendant une semaine, répondez log au lieu de drop pendant l'installation.
Une seule commande. L'installateur vérifie quels services tournent, quels ports écoutent et où cette distribution place ses journaux, puis écrit lui-même la configuration, avec un seuil par source plutôt qu'un unique chiffre global. Quelques dizaines de lignes de configuration couvrent des centaines de journaux d'hôtes virtuels. Il n'y a aucune règle de collecte à écrire par service, ni à maintenir lorsqu'un site est ajouté, puisque les chemins sont pris par globs.
L'adresse, les identifiants de Threat Category et une phrase générée. En aucun cas une ligne de journal, un nom d'utilisateur, le corps d'une requête, un User-Agent ou une URL. Un serveur s'identifie à l'aide d'un install id aléatoire créé lors de l'installation, et non à l'aide de son nom.
Seul le téléchargement du flux est mis en pause. La liste déjà présente dans le noyau est conservée et continue de bloquer les menaces ; la détection et le blocage locaux continuent de fonctionner, les Reports continuent d'être générés et l'agent continue de se mettre à jour. Un serveur ne se retrouve jamais sans protection en raison d'une facture impayée.
Chaque licence supplémentaire coûte 4,90 € par mois ou 49 € par an, TVA comprise, et le prix par licence diminue à mesure que le nombre augmente : 3,90 € à partir de cinq licences, 2,90 € à partir de dix, 1,90 € à partir de vingt-cinq et 1,40 € à partir de cinquante. Le seuil atteint s'applique à toutes les licences, et pas seulement à celles situées au-dessus. Sans licence, l'agent fonctionne aussi avec la formule Free : il détecte et bloque en local sans restriction et signale ce qu'il trouve. Seul le flux communautaire nécessite une licence serveur ; Pro en inclut une, Business trois.
Non. Les serveurs constituent un pool distinct, comptabilisé séparément des domaines du plugin Hive. Le multiplicateur de volume « Business » augmente le nombre de domaines, mais pas le nombre de serveurs inclus.
Sur un serveur sous licence de la formule Pro, l'agent actualise les données toutes les 15 minutes et récupère tout ce qui a obtenu un Confidence Score de 75 ou plus. La requête est conditionnelle : ainsi, une liste qui n'a pas changé renvoie un code 304 et ne transfère aucune donnée, ce qui explique pourquoi un intervalle court est peu coûteux. Le transfert vers les ensembles du noyau est atomique ; il n'y a donc jamais de moment où un ensemble est vide. Ce qu'une formule achète, ce sont l'actualité et la profondeur du flux ; la détection locale, le blocage local et la génération de rapports n'en dépendent pas.
Oui. L'agent n'écrit jamais que ses propres ensembles et sa propre chaîne, et il ne touche jamais à une règle ou à un ensemble qu'il n'a pas créé : une autre liste, une installation de pare-feu existante ou une chaîne écrite à la main continue donc de fonctionner à côté de lui. Si vous voulez voir ce que l'agent ajouterait avant de vous engager, faites-le tourner en log mode et comparez.
Oui, et chaque détecteur fourni en est déjà une : un fichier YAML contenant un modèle, un bloc qui précise l'emplacement de l'adresse dans la ligne, un seuil et ses propres exemples. Un fichier que vous créez dans /etc/reportedip-agent/rules.d/ ajoute une règle ou remplace une règle fournie champ par champ, et l’agent le détecte en moins d’une minute. reportedip-agent rules check nomme chaque erreur avec le fichier et la ligne avant que le démon ne la voie, et test avec --rule exécute une règle sur un journal réel. Trois mécanismes vous protègent contre une règle qui analyserait le mauvais champ : les exemples sont vérifiés à chaque chargement du fichier, une nouvelle règle que vous créez bloque les adresses mais ne les signale pas pendant les premières 24 heures, et une règle dont le seuil est atteint par des adresses figurant sur votre propre Whitelist cesse automatiquement de générer des Reports.
Avec la même commande que vous taperiez à la main, les réponses étant fournies par des variables d'environnement : REPORTEDIP_ACCEPT_TERMS=1 et REPORTEDIP_KEY évitent toutes les questions, l'installateur n'a donc pas besoin de terminal. La documentation propose des exemples prêts à l'emploi pour Ansible, cloud-init, les hôtes avec panneau de contrôle et les serveurs de messagerie et de bases de données. Ensuite, le parc s'entretient seul : chaque hôte cherche une nouvelle version toutes les six heures et ne l'installe qu'après avoir vérifié lui-même la signature Ed25519.
status renvoie le code de sortie 0 quand l'hôte est sain, 1 quand il est dégradé (par exemple une liste vide, une chaîne absente ou un démon arrêté) et 2 quand un humain doit regarder la configuration, si bien que Nagios, Icinga et Checkmk peuvent l'exécuter sans wrapper. status --json donne le même verdict sous forme d'un document unique, avec une raison par problème ainsi que des compteurs et des âges par section, sans aucune requête vers notre API. Pour Zabbix 7, il existe un modèle officiel, et le guide de supervision couvre aussi Prometheus.
Oui, avec un groupe. Chaque clé de votre compte peut rejoindre un groupe, et chaque adresse signalée par un membre est rejetée sur tous les autres membres pendant la durée du groupe, 24 heures par défaut, sur tous les ports. Pro inclut un groupe de dix clés, Business trois groupes de cinquante clés chacun. Un groupe a sa propre Whitelist dans le portail, et un Webhook signé informe vos propres outils de chaque bannissement.
Un signalement contient l'adresse de l'attaquant, les identifiants de catégorie de menace et une phrase générée par l'agent. Aucune ligne de journal, aucun nom d'utilisateur, aucune URL, aucun payload ni aucun User-Agent ne quitte la machine : rien de vos clients ni de leurs visiteurs n'est transmis. L'API et le flux tournent sur une infrastructure située dans l'UE, exploitée depuis l'Allemagne, et l'installateur écarte tout journal d'accès écrit avec des adresses anonymisées, pour qu'une adresse réseau ne soit jamais signalée comme attaquant.
Même ensemble de données, forme différente.
Plugin WordPress · Gratuit
Sécurité WordPress en temps réel grâce à 16 capteurs de détection, un Web Application Firewall, quatre méthodes d'authentification à deux facteurs (2FA) et un réseau communautaire de détection des menaces accessible sur inscription. Gratuit et open source pour toujours.
REST Threat Intelligence · Formule Free
Le moteur de réputation qui est au cœur de tout. Interrogez des adresses IP, envoyez des rapports, récupérez la Blacklist et effectuez des opérations en masse depuis n'importe quel langage, votre SIEM, votre pare-feu ou votre panneau d'hébergement.
Flux à télécharger · Gratuit
Community Blacklist, notée automatiquement à partir de Reports en temps réel. Formats texte brut, JSON et CSV, compatibles avec iptables, nftables, nginx ou tout autre outil utilisant des Blocklists.
Add-on DNSBL en temps réel · version Pro
Posez une question au DNS plutôt que de télécharger une liste : votre serveur de messagerie vérifie l'adresse en temps réel, de la même manière qu'il interroge déjà Spamhaus. Pas d'importation, des informations toujours à jour.
Diagnostics DNS · Gratuit
Diagnostic de domaine à partir d'environ 100 résolveurs dans plus de 50 pays. Validez SPF, DKIM, DMARC et DNSSEC, interrogez les DNSBL et suivez la propagation lors des migrations.
Vérification PTR · Gratuit
Résolvez l'enregistrement PTR d'une adresse IPv4 ou IPv6 et vérifiez s'il renvoie bien l'adresse d'origine. Un enregistrement PTR non validé est la raison la plus courante pour laquelle un serveur de messagerie est bloqué à l'entrée.
Un serveur inclus à partir de la formule Pro, trois avec Business. Serveurs supplémentaires à partir de 4,90 € par mois, TTC.
