ModSecurity : analyser les blocages et les faux positifs

ModSecurity est un pare-feu d'applications web : il applique des règles aux requêtes pour détecter et bloquer certains schémas d'attaque. Son comportement dépend du jeu de règles et de la configuration du serveur.

Une erreur 403 ne prouve pas que ModSecurity en est la cause. Elle peut aussi venir des permissions, de l'authentification, de l'application ou d'une autre protection. Avant de changer quoi que ce soit, reliez le problème à l'événement correspondant.

Quelles informations fournir

Notez le domaine, l'URL, l'heure avec le fuseau horaire, l'IP depuis laquelle vous avez testé et l'action qui échoue. Si vous avez l'identifiant de la règle ou de l'événement, indiquez-le. Décrivez comment le reproduire avec des données de test ; ne communiquez ni mots de passe, ni jetons, ni corps de requête sensibles.

Le journal d'audit complet peut nécessiter l'accès de l'administrateur du serveur. S'il n'est pas visible dans cPanel, contactez-nous pour vérifier l'événement. Ne déduisez pas la règle à partir d'un message générique du navigateur.

Corriger un faux positif

Une fois le faux positif confirmé, il convient d'ajuster uniquement la règle et la route ou le paramètre concernés. Une exception large peut laisser d'autres requêtes sans protection. Vérifiez que l'opération légitime fonctionne de nouveau et que l'exception ne couvre pas plus que nécessaire.

N'ajoutez pas d'exclusions approximatives et ne désactivez pas tout le WAF comme solution permanente. L'interface ModSecurity de cPanel permet de l'activer ou de le désactiver par domaine, selon les fonctions disponibles ; ce n'est pas un éditeur d'exceptions précises.

Si un test temporaire est nécessaire

Coordonnez le test, limitez le trafic lorsque c'est possible et définissez à l'avance comment réactiver la protection. Reproduisez l'opération une seule fois et réactivez immédiatement la protection, même si le problème persiste. Vérifiez à la fin que le domaine est de nouveau protégé et conservez le résultat pour rechercher la cause réelle.