Tutto sugli attacchi DDoS e sulla protezione anti-DDoS del tuo hoster. Livelli L3, L4 e L7 spiegati in modo semplice.
Un attacco DDoS (Distributed Denial of Service) consiste nel sommergere il tuo server di richieste per renderlo irraggiungibile. Secondo Cloudflare, oltre il 30 % dei siti ha subito almeno un attacco DDoS nel corso dell'anno.
La protezione anti-DDoS del tuo hoster filtra questi attacchi prima che raggiungano il tuo server. By-Hoster comprende una protezione anti-DDoS L3/L4/L7 su tutte le offerte.
Nel 2026 gli attacchi DDoS sono ormai all'ordine del giorno: kit « DDoS come servizio » in vendita per pochi euro sui forum, enormi reti di dispositivi connessi infetti (Mirai e le sue varianti), capacità d'attacco oltre il terabit al secondo. Qualsiasi sito o server esposto in rete può essere preso di mira, per caso o di proposito. Questa guida spiega come funziona davvero un attacco DDoS, quali sono i tipi più comuni, con quali metodi si mitiga e come verificare che la protezione annunciata dal tuo hoster sia seria.
Oltre ai livelli OSI, gli attacchi DDoS si distinguono per tecnica. Conoscere i principali aiuta a capire che cosa deve saper filtrare un anti-DDoS serio.
La nostra infrastruttura di filtraggio a monte (capacità di più Tbps) analizza il traffico in tempo reale e blocca i pacchetti malevoli prima che raggiungano il tuo server. Filtraggio automatico L3/L4 e regole applicative L7 personalizzabili.
Anche con un buon anti-DDoS a monte, alcune azioni da parte tua migliorano la tenuta. Ecco la lista da seguire quando rilevi un attacco (latenza anomala, errori 503, avvisi dal monitoraggio):
tail -f /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20 elenca gli indirizzi IP che colpiscono di più. Se vedi più di 50 IP straniere con centinaia di richieste al secondo ciascuna, è probabilmente un attacco.limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; poi limit_req zone=one burst=20; dentro il blocco location.Molti hoster annunciano « anti-DDoS compreso » senza spiegare altro. Ecco i criteri per distinguere una protezione vera da una réclame vuota:
Sì, qualsiasi sito può esserne vittima, spesso per caso (perché rientra in una gamma di IP attaccata) oppure di proposito (un concorrente, un ex utente scontento). Ecco perché l'anti-DDoS dev'essere compreso, e non venduto a parte.
La nostra capacità di filtraggio è di più Tbps, ben oltre gli attacchi tipici (1-50 Gbps). Anche gli attacchi da record a livello mondiale (3 Tbps) rientrano nelle nostre capacità di mitigazione.
Pochissimo. I servizi « DDoS come servizio » (booter, stresser) si trovano a 5-50 € al mese sui forum clandestini e offrono su richiesta da 10 a 100 Gbps d'attacco. È proprio per questo che gli attacchi sono diventati banali: il rapporto fra costo e danno è drammaticamente a favore di chi attacca.
Cloudflare è eccellente al livello L7 e per il traffico HTTP/HTTPS, ma richiede che l'IP di origine non sia mai esposta. Nella pratica quell'indirizzo trapela spesso (vecchi record DNS, certificati SSL passati, intestazioni delle e-mail). Una protezione anti-DDoS dal lato dell'hoster resta complementare e indispensabile per bloccare gli attacchi che aggirano Cloudflare colpendo direttamente l'IP.
Un DoS (Denial of Service) parte da una sola sorgente (un attaccante, un indirizzo IP). Si blocca facilmente con un firewall. Un DDoS (Distributed DoS) parte da migliaia di sorgenti distribuite (una rete di macchine infette). Non si può bloccare dal lato del server: serve un filtraggio a monte, presso l'hoster o presso un servizio specializzato.
Sì, se viene compromesso. Un server mal protetto (password deboli, servizi esposti, pacchetti non aggiornati) può essere arruolato in una rete di macchine infette e partecipare agli attacchi. Conseguenze: la tua IP finisce nelle liste nere e l'hoster può sospendere l'account. Rimedi: SSH con chiavi, fail2ban, UFW, aggiornamenti automatici, sorveglianza della banda in uscita.
Il blackhole è la misura estrema: l'hoster annuncia la tua IP come « non instradabile » via BGP, e tutto il traffico diretto a quell'indirizzo finisce nel vuoto. Il tuo sito diventa irraggiungibile, ma l'infrastruttura dell'hoster è salva. Un blackhole dura di norma da 1 a 4 ore, il tempo che l'attacco si calmi. Si ricorre a questa misura solo come ultima risorsa, per attacchi enormi che nessuna mitigazione riesce ad assorbire.