OGO Security et Orange Wholesale : L’alliance entre la performance d’un CDN et la sécurité d’un WAAP

Le secteur de la sécurité numérique et les progrès de l’optimisation des infrastructures web connaissent aujourd’hui de fortes évolutions. Face à la sophistication des menaces automatisées et à l’impératif de réactivité des plateformes applicatives, l’approche traditionnelle silotée montre ses limites. C’est dans ce contexte qu’OGO Security et Orange Wholesale ont officialisé leur partenariat stratégique en présentant une offre conjointe. Ce dispositif intègre, au sein d’une architecture unique et souveraine, un réseau de diffusion de contenu (CDN) mondial et un pare-feu applicatif de nouvelle génération (WAAP).

Cet article revient sur les enjeux techniques et opérationnels abordés lors de leur récent webinaire, mettant en lumière comment cette synergie répond aux exigences de performance, de protection globale et de conformité réglementaire des organisations modernes.

La convergence nécessaire de la performance et de la sécurité applicative

Historiquement traités de manière indépendante par les équipes d’infrastructure d’une part, et de cybersécurité d’autre part, la rapidité d’affichage et le contrôle des flux web sont désormais indissociables. Un site hautement sécurisé mais excessivement ralenti pénalise l’expérience utilisateur, tandis qu’une plateforme rapide mais vulnérable s’expose à des interruptions de service destructrices.

Le standard d’interactivité et l’impact du CDN

Sur l’Internet contemporain, le temps de chargement d’une page web s’est standardisé à un seuil inférieur à deux secondes. Au-delà de cette limite, le taux d’abandon des utilisateurs augmente de manière exponentielle, ce qui s’avère particulièrement pénalisant pour les plateformes transactionnelles, l’e-commerce ou les services publics en ligne.

Le CDN résout cette problématique en distribuant géographiquement les contenus statiques et dynamiques au plus près des internautes. En interceptant les requêtes en périphérie de réseau (Edge), le CDN réduit la latence globale et décharge les serveurs d’origine. Cette architecture permet une économie de bande passante et stabilise la disponibilité applicative lors des pics de charge.

L’évolution des menaces et l’obsolescence du WAF traditionnel

Si le CDN optimise le transit des données, le vecteur web demeure la cible privilégiée des attaquants : plus de 60% des cyberattaques visent explicitement les sites web, les API et les applications connectées. Le pare-feu applicatif traditionnel (WAF), basé sur des signatures de blocage statiques, s’avère désormais inefficace face aux vecteurs d’attaque modernes.

L’émergence des solutions de protection des applications web et des API (WAAP) répond à la nécessité de contrer des menaces complexes :

• Les robots de nouvelle génération : Ils représentent aujourd’hui plus de la moitié du trafic web global. Animés par des scripts avancés, ils imitent les comportements humains pour contourner les outils de détection classiques.
• La prolifération des API : Interfaces d’interconnexion indispensables mais souvent sous-protégées, elles concentrent une part importante des tentatives d’exfiltration de données.
• Les attaques DDoS de niveau applicatif : Contrairement aux attaques volumétriques qui saturent les tuyaux réseau, les attaques de couche 7 (Layer 7) ciblent les ressources du serveur en multipliant les requêtes légitimes en apparence, provoquant le déni de service par épuisement des capacités de calcul.

“Les cybermenaces sont de différentes formes aujourd’hui, notamment sous l’impulsion de l’intelligence artificielle qui rend les comportements des robots malveillants de plus en plus sophistiqués. C’est pourquoi la mise en place d’une protection WAAP est devenue nécessaire pour réguler un trafic web devenu majoritairement automatisé et préserver l’intégrité des infrastructures.” Vivien Breton, équipe Commerciale, OGO Security.

L’infrastructure réseau d’Orange Wholesale : la puissance du maillage mondial

Pour soutenir les exigences de ce couplage, la performance du réseau sous-jacent est déterminante. Orange Wholesale s’appuie sur une infrastructure physique unique pour garantir des latences minimales à l’échelle planétaire.

Un réseau de fibre mondial et des points de présence granulaires

L’infrastructure d’Orange repose sur un vaste socle industriel comprenant plus de 450 000 kilomètres de fibres optiques terrestres et sous-marines. Sur cette base réseau, plus de 210 points de présence (PoP) sont déployés mondialement, permettant d’acheminer et de traiter les flux sur toutes les plaques géographiques.

En zoomant sur le territoire français, le positionnement d’Orange se distingue de la concurrence américaine ou asiatique par une granularité très fine. Tandis que la majorité des acteurs concentrent leurs infrastructures à Paris et Marseille, Orange dispose de 14 points de présence répartis dans l’Hexagone et 3 en DROM. Les serveurs CDN sont intégrés nativement au cœur du backbone mondial d’Orange (ex-réseau Orange en France), au plus près des abonnés, et bénéficient de liaisons d’interconnexion directes (peering) avec les autres grands opérateurs nationaux comme Free et SFR. Cette proximité réseau garantit des temps de téléchargement minimaux et une réactivité maximale du protocole TCP.

“La singularité de notre offre CDN réside dans son intégration directe au sein même de notre infrastructure réseau internationale. Ce maillage, associé à des accords de peering direct avec les principaux opérateurs, nous permet d’afficher des temps de latence extrêmement bas, garantissant une vraie fluidité de l’expérience utilisateur.” Laurent Hervé, Responsable Marketing CDN, Orange Wholesale.

La rupture technologique d’OGO Security : l’approche comportementale sans règles

En aval du routage opéré par le CDN d’Orange, la sécurisation des requêtes est confiée au moteur d’analyse d’OGO Security. La solution se distingue par l’abandon des paradigmes traditionnels de la cybersécurité applicative au profit d’une architecture innovante.

Le concept du « Zero Rule »

Le modèle classique basé sur l’accumulation de signatures de vulnérabilités pose un double problème : une lourdeur d’administration constante pour les équipes d’exploitation et une dégradation des performances due au traitement séquentiel de milliers d’expressions régulières (regex).

OGO Security s’affranchit de ces contraintes grâce à une approche orientée « zéro règle ». La détection ne repose pas sur ce que l’attaque est (sa signature), mais sur ce que l’utilisateur fait (son comportement). Un système algorithmique expert analyse en temps réel la légitimité des flux sans altérer la vitesse de transit.

L’analyse tridimensionnelle par lobes algorithmiques

Le moteur d’OGO Security évalue chaque requête en la soumettant simultanément à trois briques d’analyses distinctes, appelées lobes :

À l’issue de cette triple évaluation, le système calcule un score de réputation et de fiabilité pour définir le niveau d’acceptabilité de la requête.

La classification tri-niveau non-binaire

Contrairement aux solutions binaires qui se contentent d’autoriser ou de bloquer un flux, OGO intègre un troisième état : la suspicion. Cette granularité permet de neutraliser le risque de faux positifs, bête noire des analystes en sécurité. Une requête suspecte fait l’objet d’une surveillance renforcée ou d’un défi technique discret ; si son comportement déloyal se confirme, l’adresse IP associée est automatiquement isolée et bloquée. L’intégralité de ce processus s’exécute en moins de 5 millisecondes, éliminant tout impact perceptible sur la navigation.

“L’accumulation de règles statiques nuit à la réactivité des applications web. En substituant aux signatures traditionnelles une analyse comportementale tridimensionnelle et non binaire, nous parvenons à intercepter les menaces inédites, y compris de type Zero-Day, tout en supprimant le fardeau opérationnel lié à la gestion des faux positifs.” Arnaud Carrer, Directeur Technique, OGO Security.

Souveraineté européenne et résilience opérationnelle

La confiance constitue le socle de l’offre conjointe d’Orange et d’OGO Security. Dans ce contexte, la souveraineté numérique ne se limite pas à la localisation géographique des infrastructures. Elle repose sur un ensemble de garanties juridiques, techniques et opérationnelles assurant la maîtrise des données tout au long de leur cycle de vie.

Imperméabilité aux lois extraterritoriales

Orange et OGO Security sont deux entreprises de droit européen, exclusivement soumises aux réglementations de l’Union européenne. À ce titre, la gouvernance de leurs services est conçue pour ne pas relever des législations extraterritoriales américaines, telles que le Cloud Act ou le Patriot Act.

Cette distinction est déterminante. Un fournisseur dont la maison mère est établie aux États-Unis peut, selon les circonstances, être soumis à des obligations légales d’accès aux données, y compris lorsque celles-ci sont hébergées dans des centres de données situés en Europe. En choisissant une solution entièrement européenne, les organisations réduisent significativement ce risque juridique et renforcent la confidentialité de leurs informations sensibles.

Traitement localisé et gouvernance des données

L’ensemble de la chaîne de traitement est opéré au sein de l’espace européen afin de garantir une maîtrise complète des données :

• Données au repos et en transit : Les contenus mis en cache, les journaux d’événements (logs), les indicateurs de métrologie et les clés de chiffrement SSL/TLS sont stockés et traités exclusivement en Europe.
• Contrôle des accès : L’administration de la plateforme, l’attribution des privilèges en production et la traçabilité des modifications sont opérées par des équipes internes basées en Europe. Selon son modèle d’exploitation, le client peut administrer directement la plateforme ou en confier la gestion aux experts d’Orange.

Haute disponibilité et continuité de service

La souveraineté n’a de sens que si elle s’accompagne d’une robustesse face aux pannes logicielles ou aux attaques matérielles. L’architecture distribuée s’appuie sur des mécanismes avancés de redondance automatique. Grâce au réseau distribué de 210 PoP, en cas de défaillance, de saturation ou d’incident affectant un nœud d’infrastructure, le trafic est automatiquement et de manière transparente redirigé vers le point de présence disponible le plus proche. Cette architecture hautement résiliente permet de garantir des accords de niveau de service (SLA) pouvant atteindre 99,99 % de disponibilité, associés à une supervision humaine et technique assurée 24 heures sur 24 et 7 jours sur 7.

“La souveraineté numérique ne peut se limiter à une déclaration d’intention ; elle doit reposer sur des garanties concrètes, vérifiables et opérationnelles. En combinant une protection contre les législations extraterritoriales avec une infrastructure offrant jusqu’à 99,99% de disponibilité, Orange et OGO Security proposent une alternative européenne alliant sécurité, résilience et performance au service des organisations publiques comme privées.” Saïda Merini, Responsable Distribution Indirecte, Orange Wholesale.

Retour d’expérience : migration critique d’une organisation publique de santé

La viabilité technique de cette alliance a été illustrée par l’analyse d’un cas d’usage réel : la migration globale des infrastructures web d’une agence publique du secteur de la santé.

Le défi initial

Cette administration gérait un écosystème complexe exposé au grand public, comprenant plusieurs centaines de sites internet et d’applications critiques hautement ciblées. Elle faisait face à d’importantes difficultés opérationnelles:

• Lourdeur du WAF existant : La maintenance de milliers de règles manuelles provoquait d’importants ralentissements applicatifs et une multiplication des faux positifs qui saturaient les équipes du SOC (Security Operations Center).
• Déficit d’observabilité : Les données de performance réseau et les logs de sécurité étaient fragmentés au sein d’outils hétérogènes, interdisant toute corrélation rapide des incidents.
• Échecs de l’automatisation : Bien que des API de configuration soient disponibles, chaque modification logicielle requérait des semaines de phases de test et de réglages manuels pour éviter les interruptions de service.

Méthodologie et cinétique de déploiement

L’implémentation de la solution conjointe CDN et WAAP s’est opérée en seulement trois semaines. Ce délai particulièrement restreint pour une structure publique d’envergure s’explique par la simplicité du mode d’intégration. Le seul prérequis technique a consisté en une bascule des enregistrements DNS vers les infrastructures d’Orange et d’OGO Security, évitant ainsi toute modification architecturale ou interruption des serveurs applicatifs d’origine.

L’historique de sécurité a été directement assimilé par le moteur algorithmique d’OGO, sans nécessiter de réécriture de règles. Les équipes opérationnelles ont bénéficié d’une interface de centralisation unique unifiant la métrologie de performance du CDN et les alertes de sécurité du WAAP.

Indicateurs de performance et résultats obtenus

Les bénéfices mesurés à l’issue de la migration ont confirmé la pertinence de l’approche :

• Optimisation du ressenti utilisateur : L’agence a constaté un gain d’efficacité allant jusqu’à 42% sur le Time To First Byte (TTFB) de ses sites principaux, accélérant considérablement le rendu visuel initial dans les navigateurs des usagers.
• Efficacité opérationnelle restaurée : La gestion quotidienne des règles de filtrage a été réduite de 8 %, libérant les ingénieurs système des tâches d’ajustement répétitives au profit de l’amélioration continue des applications.
• Résilience face aux attaques : Durant la phase de bascule, plusieurs attaques par déni de service (DDoS) de forte intensité ont été identifiées et automatiquement neutralisées aux frontières du réseau, sans impact sur les usagers légitimes.

L’intégration native d’un WAAP comportemental au sein d’une infrastructure CDN souveraine résout l’arbitrage entre vitesse d’affichage et niveau de protection. Ce partenariat entre OGO Security et Orange Wholesale démontre qu’une alternative européenne peut concurrencer, tant sur le plan technique que tarifaire, les géants technologiques soumis aux législations extraterritoriales.

La feuille de route technologique commune s’oriente désormais vers l’intégration de capacités d’analyse sémantique. Face au développement massif d’architectures basées sur de grands modèles de langage (LLM) et des flux d’agents interconnectés, les futurs vecteurs d’attaque cibleront la sémantique des requêtes (injections de requêtes, manipulation de requêtes vers les passerelles IA). Relever ce défi exigera de maintenir des temps de traitement de l’ordre de la milliseconde tout en comprenant le sens des données échangées, un jalon technique qu’OGO et Orange s’attachent d’ores et déjà à franchir pour pérenniser la confiance dans l’écosystème web de demain.

Questions posées

• Quel est le délai de mise en œuvre et d’intégration de la solution ?

En général de quelques jours à quelques semaines selon la complexité. Pour un site web standard, la mise en service peut être très rapide. Une approche « Try & Buy » peut également être proposée, permettant au client de tester la solution en conditions réelles avant de confirmer son engagement.

• Une intégration peut-elle être réalisée avant l’échéance du contrat actuel ?

Oui. Il est possible de préparer et tester la solution en parallèle afin d’assurer une transition fluide au moment souhaité.
POC gratuit avec accompagnement
expert + pilotage hebdomadaire pour garantir vos résultats

• Le CDN permet-il de réduire les coûts cloud ?

Oui. En absorbant une partie du trafic et en optimisant la distribution des contenus, le CDN peut réduire la charge sur les infrastructures cloud et donc certains coûts associés.

• Quelle est votre vision et votre feuille de route concernant l’IA dans le contexte actuel ?

L’IA est un levier majeur pour renforcer l’automatisation, la sécurité, l’analyse des menaces et l’optimisation des performances réseau.