Avant nos filtres, une capacité garantie de 1 Tbps
Le trafic est inspecté en permanence sur le réseau de notre partenaire de transit filtré, avant même d’arriver chez nous. Les attaques qui visent à saturer les liens sont absorbées là, où la capacité existe.
1 Tbps
de capacité de mitigation garantie en amont
1 Gpps
soit un milliard de paquets par seconde absorbés
< 10 s
délai typique avant mitigation d’une attaque détectée
24/7
inspection permanente, pas de détournement d’urgence
Une défense multi-couches, du réseau à l’applicatif
Notre infrastructure applique une défense multi-couches. Les attaques volumétriques sont filtrées dès la carte réseau, avec des filtres spécifiques aux jeux couvrant de larges plages de ports. Un mode strict se déclenche automatiquement en cas d’attaque, puis se relâche une fois la menace passée.
Au niveau web, un pare-feu applicatif bloque les injections SQL, les XSS et l’exploitation de failles connues, tandis qu’une limitation de débit neutralise les floods HTTP et les bots. Les sources malveillantes sont bannies automatiquement, et tous les services web sont chiffrés en HTTPS.
| Couche | Ce qu’elle protège | Détail |
|---|---|---|
| 01Filtrage réseau (carte réseau) | Attaques volumétriques L3/L4 | Floods UDP, SYN et ICMP filtrés directement dans la carte réseau : traitement natif, sans latence ajoutée. |
| 02Filtres jeu dédiés | Attaques ciblant les serveurs de jeu | Validation applicative sur les plages de ports Minecraft Java, Bedrock, FiveM et Source/A2S. |
| 03Mode strict automatique | Pics d’attaque en temps réel | Durcissement des filtres uniquement pendant une attaque détectée, puis retour au fonctionnement normal. |
| 04Protection HTTP (L7) | Floods applicatifs HTTP | Limitation du débit de requêtes et de connexions par adresse IP, contre les HTTP floods et les bots. |
| 05Pare-feu applicatif (WAF) | Intrusions web | Blocage des injections SQL, XSS, RCE/LFI, des scanners et de l’exploitation de failles connues (CVE), règles mises à jour quotidiennement. |
| 06Réputation & bannissement | Adresses malveillantes récurrentes | Détection comportementale et bannissement automatique des sources hostiles. |
| 07Chiffrement TLS | Confidentialité et intégrité | HTTPS systématique sur les services web. |
Chaque jeu a son protocole, chaque protocole a son filtre
Un filtre générique ne sait pas distinguer un joueur Minecraft d’un paquet forgé. Sur ces plages de ports, le trafic est validé selon le protocole du jeu avant d’atteindre votre serveur.
Minecraft Java
24565 – 26565
Validation du protocole Minecraft avant que la connexion n’atteigne le serveur.
Minecraft Bedrock
18132 – 20132
Validation des échanges Bedrock (RakNet) sur UDP.
FiveM
29120 – 31120
Validation du trafic FiveM ; les floods génériques sont écartés.
Source / A2S
26015 – 28015
Validation des requêtes Source et A2S, débit des requêtes de statut limité.
Plus dur pendant l’attaque, normal le reste du temps
Quand une attaque est détectée sur une adresse, ses filtres se durcissent automatiquement : seuils resserrés, validation plus stricte. Dès que la menace est passée, ils reviennent au réglage normal. Résultat : vos joueurs ne paient pas en permanence le prix d’une protection maximale, et un pic légitime de connexions après un redémarrage n’est pas pris pour une attaque.
Les attaques qui imitent des visiteurs s’arrêtent ici
Limitation de débit HTTP
Chaque adresse a un plafond de requêtes et de connexions simultanées. Un HTTP flood ou un bot qui martèle une page se heurte à la limite, vos visiteurs ne la voient jamais.
Pare-feu applicatif (WAF)
Injections SQL, XSS, exécution de code à distance, inclusion de fichiers locaux : les requêtes malveillantes sont bloquées avant votre application. Les règles CVE sont mises à jour chaque jour.
Réputation et bannissement
Une source qui scanne, force un mot de passe ou revient attaquer est repérée à son comportement, puis bannie automatiquement — sans intervention manuelle.
HTTPS partout
Les services web sont servis en TLS, certificats posés et renouvelés automatiquement. Ce qui transite entre vos visiteurs et le serveur n’est ni lisible ni modifiable en route.
Multi-homé sur 3 transitaires
L’infrastructure est raccordée à un réseau qui dispose de 3 transitaires distincts : un lien qui sature ou qui tombe ne coupe pas le service, le trafic emprunte les autres.
- Strasbourg — Serveurs de jeu
- Paris — VPS et hébergement web
Pour être précis — UnioHost n’exploite pas encore son propre numéro d’AS : l’infrastructure s’appuie sur le réseau d’un opérateur partenaire. Ce sera écrit ici quand ce sera effectif.
Sur UnioShield
Quel volume d’attaque UnioShield encaisse-t-il ?
La base volumétrique, en amont, est garantie à 1 Tbps et 1 Gpps — un milliard de paquets par seconde — par notre partenaire de transit filtré. C'est un engagement contractuel, pas un pic mesuré une fois. Nos propres filtres s'appliquent ensuite sur le trafic qui reste.
UnioShield se vend-il séparément ?
Non. C'est le dispositif qui protège l'infrastructure UnioHost, compris dans chaque offre sans supplément ni palier : le même filtrage à 0,50 € qu'à 45 €. Une protection facturée en option est une protection désactivée par défaut.
Mon serveur de jeu est-il protégé automatiquement ?
Oui, si son port est dans une des plages couvertes : Minecraft Java 24565-26565, Bedrock 18132-20132, FiveM 29120-31120, Source/A2S 26015-28015. Vérifiez que le port de votre serveur y figure ; si ce n'est pas le cas, demandez sur Discord un port dans la bonne plage.
Le mode strict peut-il bloquer mes joueurs ?
Il ne s'enclenche que pendant une attaque détectée, et se relâche dès qu'elle est passée. En temps normal, les filtres restent dans leur réglage standard : un redémarrage de serveur où cent joueurs se reconnectent en même temps n'est pas traité comme une attaque.
Le filtrage ajoute-t-il de la latence ?
Le filtrage réseau est traité dans la carte réseau elle-même, sans latence ajoutée perceptible. L'inspection en amont est permanente : le trafic ne change pas de route au début d'une attaque, ce qui évite les coupures de connexions établies.
Mon serveur est hébergé ailleurs, puis-je en bénéficier ?
Oui, via l'offre Tunnel IP d'UnioHost : votre machine reste où elle est, son trafic public entre par une de nos adresses filtrées, et votre adresse réelle disparaît.
Exploitez-vous votre propre numéro d’AS ?
Pas encore. L'infrastructure est raccordée au réseau d'un opérateur partenaire, lui-même multi-homé : la redondance de liens dont bénéficient vos serveurs est réelle, mais le routage n'est pas le nôtre. Nous l'écrirons ici quand notre AS sera effectif et vérifiable, pas avant.
UnioShield ne se commande pas
Il est actif dès la livraison sur chaque VPS, chaque serveur de jeu et chaque hébergement web. Une attaque passe quand même ? Signalez-la sur Discord.