# Erreur 500 VPS Classic - reseller.mis.ovh.net\> Application is suspicious **URL:** \ **Category:** Bare Metal et VPS\ **Created:** [Octobre 11, 2019, 4:17 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895 "2019-10-11T16:17:24Z")\ **Posts on this page:** 12\ **Page:** 1
**Author:** ![FranckP19](https://community.ovhcloud.com/letter_avatar/franckp19/32/6_22734026db12803ebb3e059622ac3534.png) [@FranckP19](https://community.ovhcloud.com/u/FranckP19)\ **Post date:** [Octobre 11, 2019, 4:17 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/1 "2019-10-11T16:17:24Z")
Bonjour, Je rencontre de nombreuses difficultés avec mon hébergement VPS classic plesk. Le site principale est victime de requêtes multiples depuis des mois qui ont pour conséquence de rendre indisponible le site (erreur 500). Je peux constater de nombreuses requetes bien au dela du vrai traffic du site. J'ai déjà contacté le support sans réponse précise si ce n'est de me dire que le site est certainement infecté. J'ai fait intervenir experts et passé des scans et rien d'anormal a été détecté. J'ai fini par transférer mon site chez un autre hébergeur (Dynamixhost) et tout fonctionne à nouveau correctement. Aujourd'hui j'ai encore quelques domaines sur l’hébergement OVH VPS classic et je reçois des alertes de type [hr1913652596.reseller.mis.ovh.net](http://hr1913652596.reseller.mis.ovh.net)\> Application is suspicious. Sauf changer aussi d’hébergeur pour ces sites. Que faut-il faire ? Ces hébergement VPS classic semblent etre très peu sécurisés voir de vraies passoires, pourtant un anti DDOS est inclus dans l'offre. Je reçois des requetes avec des instruction wordpress meme sur des instances qui ne sont plus actives et meme sur des domaines redirigés vers un autre hébergeur ! Est ce que OVH peut apporter une solution, une démarche ? Merci ---
**Author:** ![system](https://community.ovhcloud.com/user_avatar/community.ovhcloud.com/system/32/5_2.png) [@system](https://community.ovhcloud.com/u/system)\ **Post date:** [Octobre 11, 2019, 4:26 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/2 "2019-10-11T16:26:12Z")
tu devrais éditer le titre de ton sujet pour choisir la catégorie cloud/VPS, tu auras des réponses plus adaptées tu devrais aussi indiquer des messages d'alertes ou d'erreurs complets ---
**Author:** ![FranckP19](https://community.ovhcloud.com/letter_avatar/franckp19/32/6_22734026db12803ebb3e059622ac3534.png) [@FranckP19](https://community.ovhcloud.com/u/FranckP19)\ **Post date:** [Octobre 11, 2019, 4:50 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/3 "2019-10-11T16:50:21Z")
Oui bonne remarque pour les messages d'erreurs. Concernant la rubrique, ce n'est pas l'offre VPS dans la rubrique serveur mais classic 1 qui est dans la catégorie hébergement web plesk **Mail d'alertes par OVH** The following WordPress installations are quarantined: WordPress Toolkit was not able to finish running an operation on this site in 60 seconds, so the operation was terminated. This could mean that your WordPress installation might be infected with malware. Check the wp-config.php file of the installation for potential malware code or run an anti-virus scan. If you cannot find any traces of malware, try running the operation again later. **coté log dans le plesk** 2019-10-11 11:19:58 Error 52.30.16.188 404 HEAD /database.s7z HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 5.82 K Apache SSL/TLS access 2019-10-11 11:50:40 Error 34.236.18.197 404 HEAD /admin.zip HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 5.82 K Apache SSL/TLS access 2019-10-11 12:21:51 Error 35.178.16.1 404 HEAD /admin.tar HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 142 Apache SSL/TLS access 2019-10-11 12:53:07 Error 52.30.16.188 404 HEAD /admin.tar.gz HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 142 Apache SSL/TLS access 2019-10-11 13:24:32 Error 34.230.156.67 404 HEAD /admin.7z HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 142 Apache SSL/TLS access 2019-10-11 13:56:06 Error 34.209.105.222 404 HEAD /admin.sql HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 142 Apache SSL/TLS access 2019-10-11 14:28:45 Error 34.241.77.13 404 HEAD /admin.tar.bz2 HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 142 Apache SSL/TLS access 2019-10-11 14:42:53 Error 141.101.76.73 403 GET /vendor/phpunit/phpunit/src/Util/PHP/king.php HTTP/1.1 python-requests/2.9.1 118 nginx SSL/TLS access 2019-10-11 15:01:42 Error 54.176.188.51 404 HEAD /admin.bz2 HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 5.82 K Apache SSL/TLS access 2019-10-11 15:10:05 Error 108.162.229.161 403 GET //?author=1 HTTP/1.1 Mozilla/5.0 (Windows NT 6.3; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/73.0.3683.86 Safari/537.36 180 nginx access 2019-10-11 15:10:05 Error 108.162.229.161 5729#0: \*341203 access forbidden by rule nginx error 2019-10-11 15:33:50 Error 52.30.16.188 404 HEAD /admin.xz HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 142 Apache SSL/TLS access 2019-10-11 16:06:09 Error 18.197.125.181 404 HEAD /admin.s7z HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 5.82 K Apache SSL/TLS access 2019-10-11 16:38:26 Error 35.183.60.188 404 HEAD /user.zip HTTP/1.0 Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/65.0.3325.181 Safari/537.36 5.82 K Apache SSL/TLS acces ---
**Author:** ![system](https://community.ovhcloud.com/user_avatar/community.ovhcloud.com/system/32/5_2.png) [@system](https://community.ovhcloud.com/u/system)\ **Post date:** [Octobre 11, 2019, 5:00 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/4 "2019-10-11T17:00:26Z")
\> operation on this site in 60 seconds déjà vu, ça regarde plesk (wp-cli) à mettre à jour j'imagine c'est ta responsabilité de maintenir ton hébergement à l'abri — dans les logs, 404, erreur fichiers non trouvés: pas de quoi s'alarmer **tous** les sites sont scannés, quelque soit l'hébergeur ou le CMS rien à voir avec un DDOS et si tu regardes bien y'a bien plus agressif des tentatives sur wp-login.php ou xmlrpc.php, ou … ---
**Author:** ![FranckP19](https://community.ovhcloud.com/letter_avatar/franckp19/32/6_22734026db12803ebb3e059622ac3534.png) [@FranckP19](https://community.ovhcloud.com/u/FranckP19)\ **Post date:** [Octobre 11, 2019, 5:27 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/5 "2019-10-11T17:27:53Z")
J'ai aussi des requetes plus agressives wp-login.php ou xmlrpc.php dans l'historique et qui reviennent régulièrement. OK pour ma responsabilité de maintenir l’hébergement à l'abri. c'est ce que je pense avoir fait en ayant mis un composant de sécurité wordpress et aussi cloudflare. Mais cela semble insuffisant. Une idée pour renforcer la sécurité? ---
**Author:** ![system](https://community.ovhcloud.com/user_avatar/community.ovhcloud.com/system/32/5_2.png) [@system](https://community.ovhcloud.com/u/system)\ **Post date:** [Octobre 11, 2019, 5:45 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/6 "2019-10-11T17:45:08Z")
les tentatives sont _ **normales** _, les intrusions ne le seraient pas il faudrait envisager fail2ban aussi mais tu ne dois pas avoir les droits je crois sur ton offre à défaut j'utilise [https://wordpress.org/plugins/limit-login-attempts-reloaded/](https://wordpress.org/plugins/limit-login-attempts-reloaded/) je ne pense pas que tu aies raison en disant que c'est _ **insuffisant** _ ---
**Author:** ![Sich](https://community.ovhcloud.com/user_avatar/community.ovhcloud.com/sich/32/22_2.png) [@Sich](https://community.ovhcloud.com/u/Sich)\ **Post date:** [Octobre 12, 2019, 6:17 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/7 "2019-10-12T06:17:03Z")
Première chose à faire c'est de virer ce VPS Classic… Les perfs sont lamentables et c'est une offre en fin de vie… Ensuite quel est le système qui est sur ce VPS ? Vu l'âge de l'offre j'ai comme une crainte… Autre point, pour limiter ces scans et ces problèmes il faut déployer fail2ban et bannir automatiquement en cas d'erreurs 404 trop nombreuses ou de trop de tentatives sur wp-login. Vu que tu es derrière cloudflare il faut configurer fail2ban comme il faut pour bannir directement sur CF via l'API. Configurer également apache pour récupérer les bonnes IPs dans les logs. Attention sur ce point, si Apache n'est pas configuré pour récupérer les bonnes IP d'une tu n'es pas en conformité avec la législation qui t'imposes de conserver les IPs des visiteurs pendant 1 an, et de deux fail2ban ne bannera pas les IPs des visiteurs mais celles de cloudflaire. ---
**Author:** ![Jalinn](https://community.ovhcloud.com/letter_avatar/jalinn/32/6_22734026db12803ebb3e059622ac3534.png) [@Jalinn](https://community.ovhcloud.com/u/Jalinn)\ **Post date:** [Octobre 12, 2019, 11:47 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/8 "2019-10-12T11:47:44Z")
Salut @FranckP19 Il est aussi probable que ce soit seulement l'IP de ton hébergement qui soit prise pour cible. Si c'était le domaine, même avec ton nouveau hébergement tu aurais eu +/- de warning… @Sich : je pense qu'il parle de l'hébergement web plesk " vps classic" : [https://www.ovh.com/fr/hebergement-plesk/](https://www.ovh.com/fr/hebergement-plesk/) ---
**Author:** ![Sich](https://community.ovhcloud.com/user_avatar/community.ovhcloud.com/sich/32/22_2.png) [@Sich](https://community.ovhcloud.com/u/Sich)\ **Post date:** [Octobre 12, 2019, 12:39 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/9 "2019-10-12T12:39:52Z")
ok merci de l'info, on ne s'y retrouve plus avec toutes ces offres chez OVH. En tout cas cela ne change rien sur la partie config des logs, fail2ban et cloudflare… ---
**Author:** ![FranckP19](https://community.ovhcloud.com/letter_avatar/franckp19/32/6_22734026db12803ebb3e059622ac3534.png) [@FranckP19](https://community.ovhcloud.com/u/FranckP19)\ **Post date:** [Octobre 15, 2019, 8:58 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/10 "2019-10-15T20:58:55Z")
Salut Jalinn, Effectivement l'adresse IP de ce VPS continue à être ciblée même lorsque je bascule les DNS du domaine vers une autre IP (j'ai fait l'essai pendant quelques jours). Sais tu s'il est possible de changer l'adresse IP du VPS ? ---
**Author:** ![FranckP19](https://community.ovhcloud.com/letter_avatar/franckp19/32/6_22734026db12803ebb3e059622ac3534.png) [@FranckP19](https://community.ovhcloud.com/u/FranckP19)\ **Post date:** [Octobre 15, 2019, 9:03 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/11 "2019-10-15T21:03:49Z")
Je te confirme que je n'ai pas les droits sur cette offre pour ce type d'opération. ---
**Author:** ![FranckP19](https://community.ovhcloud.com/letter_avatar/franckp19/32/6_22734026db12803ebb3e059622ac3534.png) [@FranckP19](https://community.ovhcloud.com/u/FranckP19)\ **Post date:** [Octobre 15, 2019, 9:11 UTC](https://community.ovhcloud.com/t/erreur-500-vps-classic-reseller-mis-ovh-net-application-is-suspicious/36895/12 "2019-10-15T21:11:10Z")
Virer le VPS classic c'est fait ! c'est de toute façon inutilisable à force d'erreur 500 à répétition. J'ai payé pour un an et c'est devenu ingérable au bout de 3 mois. J'ai quand même gardé un domaine mineur mais je vais le transférer prochainement je pense. En tout cas merci pour l'info sur fail2ban, cela sera certainement utile pour un vrai VPS.