connexions bizarres sur le forum

[rellik77]

Bonjour à tous.

Je rencontre depuis quelques jours/semaines des connexions très bizarres sur mon forum dont je vous pose un petit extrait :

Code : Tout sélectionner

86.74.194.xxx - - [29/Aug/2026:20:37:49 +0200] "GET /forum/posting.php?PageSpeed=noscript&mode=quote&p=286305 HTTP/1.1" 200 16877 "-" "Mozilla/5.0 (Linux; Android 15; SM-S938B) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/150.0.0.0 Mobile Safari/537.36"
90.59.185.xxx - - [29/Aug/2026:20:37:51 +0200] "GET /forum/viewtopic.php?PageSpeed=noscript&p=287612 HTTP/1.1" 200 51567 "-" "Mozilla/5.0 (Linux; Android 14; 23127PN0CC) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/147.0.0.0 Mobile Safari/537.36"
62.217.20.xxx - - [29/Aug/2026:20:37:53 +0200] "GET /forum/ext/vse/abbc3,_styles,_all,_theme,_abbc3_common.css,qassets_version==299+lightbox,_styles,_all,_theme,_lightbox3.css,qassets_version==299.pagespeed.cc.dmG3BAjL-O.css HTTP/1.1" 404 236 "https://www.extreme-peche-au-coup.com/forum/viewtopic.php?PageSpeed=noscript&p=287612" "Mozilla/5.0 (Linux; Android 14; 23127PN0CC) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/147.0.0.0 Mobile Safari/537.36"
176.175.173.xxx - - [29/Aug/2026:20:37:59 +0200] "GET /forum/viewtopic.php?PageSpeed=noscript&start=10&t=16628&view=print HTTP/1.1" 200 3562 "-" "Mozilla/5.0 (iPhone; CPU iPhone OS 18_2 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) CriOS/149.0.0.0 Mobile/15E148 Safari/604.1"
82.230.144.xxx - - [29/Aug/2026:20:38:00 +0200] "GET /forum/posting.php?PageSpeed=noscript&mode=quote&p=300658 HTTP/1.1" 200 16825 "-" "Mozilla/5.0 (Linux; Android 14; 23127PN0CC) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/147.0.0.0 Mobile Safari/537.36"
88.178.62.xxx - - [29/Aug/2026:20:38:08 +0200] "GET /forum/viewtopic.php?PageSpeed=noscript&start=2350&t=15019 HTTP/1.1" 200 63832 "-" "Mozilla/5.0 (iPhone; CPU iPhone OS 18_3 like Mac OS X) AppleWebKit/605.1.15 (KHTML, like Gecko) CriOS/148.0.0.0 Mobile/15E148 Safari/604.1"
5.49.57.xxx - - [29/Aug/2026:20:38:32 +0200] "GET /forum/posting.php?PageSpeed=noscript&mode=quote&p=174572 HTTP/1.1" 200 16877 "-" "Mozilla/5.0 (Linux; Android 15; CPH2653) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/149.0.0.0 Mobile Safari/537.36"

Des connexions uniques directement vers posting.php ou viewtopic.php en noscript. J'ai bien entendu vérifier une partie des adresses IP qui s'avèrent pour la plupart être des IPs de FAI français d'opérateur téléphonique, vu le nombre de requêtes journalières que cela représente (plusieurs milliers, voire dizaine de milliers), je ne peux évidement pas vérifier une à une chaque adresse IP. Bien entendu ce genre de requête ne tombe que sur la partie forum, forcement vu les requêtes. La partie blog ou bien encore les autres sites hébergés sur le même serveur ne rencontrent pas ce genre de requête bizarre.

Avez rencontré ce genre de connexion bizarre, si oui comment avez vous solutionné le problème ?

[Skouat]

Bonjour,

Comme bon nombre de sujets qui traitent de cela, avec des titres diverses et variés, le plus simple reste de protéger l'accès au forum/server avec des services tel que CloudFlare.

[rellik77]

Je ne suis pas un fervent de CloudFlare, plus j'en suis éloigné et mieux je me porte.

Je pensais à des solutions plus locales. Je vais continuer à chercher de mon côté, mais si quelqu'un a une petite piste pour m'aiguiller je suis preneur.

Rien que pour ce matin entre 00:00 et 8:00 pas loin de la dizaine de milliers de ce genre de connexion. Ça fait des logs monstrueux à la longue.

[Jores]

Salut !
Tu as essayé de creuser du coté du paramètre PageSpeed=noscript ?
Le fait que les requêtes arrivent sur des pages différentes, avec des IP de FAI français et des User-Agents mobiles variés, me fait davantage penser à un phénomène automatisé qu'à des connexions classiques de membres. Mais difficile d'être affirmatif sans regarder les logs plus en détail.

Peut-être qu'une analyse des requêtes sur quelques minutes permettrait de voir si les IP changent, si les mêmes URLs sont ciblées ou si un motif revient systématiquement. Et côté serveur, vérifier les règles de réécriture, les éventuels modules de cache ou de sécurité qui pourraient générer ces URLs, avant de partir sur un blocage massif.

[Hucial]

Bonjour,

Il y a un élément assez parlant dans les logs fournis : je ne chercherais pas en premier lieu du côté de phpBB.

Le paramètre :

Code : Tout sélectionner

?PageSpeed=noscript

est lié à PageSpeed côté serveur (mod_pagespeed sous Apache ou son équivalent côté Nginx).

PageSpeed peut injecter dans les pages un mécanisme de repli destiné aux clients qui n’exécutent pas JavaScript. Ce mécanisme renvoie vers la même URL avec PageSpeed=noscript.

Un autre élément de votre extrait va dans le même sens :

Code : Tout sélectionner

.pagespeed.cc.

dans l’URL de la feuille CSS. Le suffixe .pagespeed.cc. correspond au mécanisme utilisé par PageSpeed pour combiner/réécrire des ressources CSS.

À mon avis, il faut donc distinguer deux choses :

• []l’origine des URL PageSpeed=noscript ;
  []la nature des clients qui les parcourent massivement.

Les URL elles-mêmes semblent provenir de PageSpeed, et non de phpBB.

Ensuite, les milliers de requêtes peuvent parfaitement être effectuées par des robots ou des crawlers qui découvrent ces URL et les parcourent sans exécuter JavaScript. Le User-Agent affiché dans le log n’est pas une preuve qu’il s’agit réellement d’un navigateur Chrome sur un téléphone : un robot peut envoyer exactement le User-Agent qu’il souhaite.

Cela expliquerait également pourquoi vous voyez beaucoup d’adresses de FAI différentes. Je déconseillerais donc de commencer par bloquer des plages IP françaises : le symptôme risque simplement de se déplacer et vous pourriez bloquer de vrais visiteurs.

Je vérifierais d’abord si PageSpeed est actuellement activé sur le serveur, ou s’il l’a été récemment.

Si vous avez accès à la configuration Apache/Nginx, regardez notamment si mod_pagespeed / ngx_pagespeed est chargé. Sur un hébergement administré, votre hébergeur devrait également pouvoir vous le confirmer.

Si PageSpeed est volontairement utilisé, il existe un réglage spécifique permettant de désactiver la génération du fallback noscript.

Pour Apache :

Code : Tout sélectionner

ModPagespeedSupportNoScriptEnabled false

Pour Nginx avec PageSpeed :

Code : Tout sélectionner

pagespeed SupportNoScriptEnabled false;

Je ne modifierais toutefois pas ce réglage à l’aveugle avant d’avoir vérifié quels filtres PageSpeed sont réellement actifs.

Si PageSpeed n’est pas nécessaire au site, je privilégierais plutôt sa désactivation propre au niveau du serveur. Une fois la génération de ces URL arrêtée, les anciens liens peuvent encore être parcourus pendant quelque temps par des robots qui les ont déjà découverts, mais le phénomène devrait progressivement diminuer.

Il serait également intéressant de faire deux vérifications simples :

• []ouvrir le code source HTML d’une page du forum et rechercher PageSpeed=noscript ;
  []vérifier les en-têtes HTTP et la configuration du serveur pour confirmer que PageSpeed est bien actif.

Dans votre extrait, la requête suivante constitue déjà un indice particulièrement fort :

Code : Tout sélectionner

/forum/ext/vse/abbc3,…+lightbox,…pagespeed.cc….css

Donc avant Cloudflare, bannissements IP ou règles anti-bot, je commencerais par supprimer la source qui fabrique ces variantes d’URL.

Cela permettra ensuite de regarder les logs restants et de déterminer beaucoup plus proprement s’il subsiste réellement un trafic automatisé anormal.

Amicalement