IP bloquée par intermittence - heartbeat?

Domains and Hosting
1

Bonjour,

Sous hébergement Performance1 + Webcloud Database

Depuis le 27/06, j'ai un message d'erreur intermittent:

Your IP has been banned
Request blocked due to suspicious activity.
Please try again later.

Parfois ça se déclenche quasi tout de suite, parfois j'ai le temps de faire pas mal de choses sur le site avant que ça se déclenche.

J'ai contacté le support, qui a émis les hypothèses suivantes sans trop m'aider:

Le message d'erreur indiquant qu'une IP a été bannie se produit lorsque cette dernière réalise un nombre trop important de requêtes vers le site, cela peut provenir :

  1. d'un grand nombre d'utilisateurs connectés au même moment
  2. d'un script mal optimisé
  3. de l'utilisation d'une application effectuant des requêtes de manière abusive ou vers des fichiers inexistants/entraînant des erreurs
  4. d'actions malveillantes

Pour le point 1, je ne pense pas, il n'y a pas eu d'afflux énorme.

Pour le point 2 et 3, il n'y a rien eu de spécial ce jour-là, j'avais installé Klaviyo 1 semaine avant mais leur équipe a été prévenue avant OVH et ils n'ont rien trouvé qui pourrait causer d'erreur (dans le doute j'ai quand même désinstallé le plugin, sans amélioration).

Pour le point 4, j'ai checké mes logs

En allant sur Awstats, je vois que ma propre IP est liée à plus de 1800 hits pour aujourd'hui, sachant que je ne suis quasiment pas allée sur mon site.

La requête pointe vers /wp-admin/admin-ajax.php

Apparemment, d'après un sujet trouvé sur un forum d'il y a 3 ans, ce serait lié au heartbeat de wordpress, qui réactualise les pages régulièrement pour sauvegarder les encours. Sauf qu'avant le 27 ça ne causait pas d'erreur, et comme je ne vois pas les forums s'affoler sur le sujet, je ne pense pas que ce soit la seule cause.

Le support ne me répond plus et a placé le ticket comme résolu. Etant donné que dans le dernier et seul message de réponse, ils ont conclu par

En cas de besoin, la communauté OVHcloud qui regroupe développeurs et utilisateurs est activement présente sur notre forum : https://community.ovh.com.

Me voilà ici... Si quelqu'un a une piste, je prend!

Sinon, est-ce que réinstaller une sauvegarde plus ancienne via filezilla + BDD pourrait aider, selon vous?

2

Bonjour @TamaraL

De ce que je comprends, vous recevez de temps en temps une page de blocage lors de votre navigation sur votre site. A priori liée au fichier wp-admin/admin-ajax.php

La page que vous recevez indique non pas que l'IP a été bloquée totalement mais pour la requête en cours. Cela provient de nos protections anti-hack et du WAF, admin-ajax.php est un fichier très fortement solicité par les personnes malvaillantes et donc nous le protégeons.

Sans l'IP est les horaires, je ne peux être précis dans ma réponse, pour plus de confidentialité, je vous invite à partager cela dans un ticket support dont vous pourrez me donner le numéro ici même afin que l'on puisse vous faire un retour complet.

Je vous invite toutefois à vérifier votre environnement, sécurité de votre navigateur, antivirus, mise à jour de système d'exploitation mais également les mises à jour de votre wordpress et de ces plugins, en fonction de certains critères et afin de sécuriser les sites de nos clients, les protections peuvent s'activer de manière plus aggressives.

--

Bruno B.
Team Lead Webhosting infrastructure

3

Bonjour,

Je n'avais pas eu la notification de votre réponse, pardon pour le temps de réaction!

J'ai eu une réponse du support samedi, qui m'a indiqué que les erreurs des logs révélaient un possible script faisant appel à des ressources inexistantes. On m'a aussi confirmé que restaurer le site à une version antérieure pourrait au moins donner plus d'infos.

Le soucis c'est que, ce matin, mes logs d'erreur étaient vides alors que j'étais de nouveau bloquée.

J'ai réussi à régler le soucis (enfin normalement) avec la démarche suivante, qui fait un mix entre ce que j'ai trouvé sur plusieurs forums:

  • Scanner mon ordi contre les virus (il était clean, mais tous les forums disaient de le faire, donc je le met dans le process, si jamais ça peut servir à quelqu'un d'autre)
  • Dans WP config
    define('DISABLE_WP_CRON', true);
  • Dans htaccess
    # Block WordPress xmlrpc.php requests
    <Files xmlrpc.php>
    order deny,allow
    deny from all
    allow from xxx.xxx.xxx.xxx
    </Files>

Ca m'a déjà donné un peu plus de temps de connexion avant de me faire bloquer, mais je me faisais quand même toujours bloquer au bout d'un moment.

J'ai donc relancé une sauvegarde de la BDD, isolé tout mon dossier de plugins en le renommant sur filezilla, et restauré une sauvegarde des plugins du mois de mai, vu que je ne sais pas ce qui a engendré le bug fin juin.

J'aurais restauré l'ensemble des fichiers du site si besoin, mais depuis ce midi suite à ces manips je n'ai plus de problème. C'était donc un soucis de plugin (peut être cumulé à un cron job pas terrible?)

Je croise les doigts, mais j'ai quand même pas mal été côté admin pour refaire mes mises à jours et vérifier tous mes tarifs dans woocommerce, donc je pense que j'aurais de nouveau été bloquée s'il y avait eu un script problématique?

4

Bon, je pensais mon soucis résolu, mais non, ce matin retour à la case départ sans trop de raison.

Apparemment ça n'affecte pas les clients vu que j'ai des demandes de devis et commandes entre le 27 juin et aujourd'hui, donc je vais attendre la fin des soldes pour faire un gros nettoyage et tester plus en détail. Le problème ne se présente pas en utilisant Tor alors ça fera l'affaire pendant la prochaine quinzaine...