--- id: CP-231 slug: bgp-rpki-securite-routes-internet lang: fr title: "BGP et RPKI : sécuriser les routes d'Internet" description: BGP indique aux réseaux par où envoyer le trafic. Ses failles (détournements, fuites) et la parade RPKI, expliquées pour les salariés. canonical_url: https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: "Brain, « BGP et RPKI : sécuriser les routes d'Internet », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet/ (CC BY 4.0)" wing: 3 theme: browse_safely reflex: cr-059 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet/ en: https://startbrain.io/cyberpedia/en/articles/bgp-rpki-internet-routing-security/ de: https://startbrain.io/cyberpedia/de/articles/bgp-rpki-sicherheit-internet-routen/ es: https://startbrain.io/cyberpedia/es/articles/bgp-rpki-seguridad-rutas-internet/ sources: - "n": 1 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/189/final published: "2019-12-17" accessed: "2026-11-03" - "n": 2 title: "Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation" publisher: NIST url: https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation published: "2019-12-17" accessed: "2026-11-03" - "n": 3 title: Border Gateway Protocol Security publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/54/final published: "2007-07-17" accessed: "2026-11-03" - "n": 4 title: Identifying and protecting against the largest DDoS attacks publisher: Google url: https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks published: "2020-10-17" accessed: "2026-11-03" --- # BGP et RPKI : sécuriser les routes d'Internet Quand un salarié ouvre un site ou envoie un message, les données traversent plusieurs réseaux dont son entreprise ne connaît ni le nombre ni les exploitants. Le protocole BGP (Border Gateway Protocol) sert à choisir la route entre ces réseaux. L'agence américaine NIST le décrit comme le protocole de contrôle qui distribue et calcule les chemins entre les dizaines de milliers de réseaux autonomes qui forment Internet [1]. Cette fiche explique ce que ce protocole change pour un salarié, ce que les anomalies de routage peuvent provoquer et quelle protection (RPKI) le NIST recommande. Elle précise aussi ce que la source du NIST ne dit pas, pour ne rien promettre de plus que ce qui est établi. ## En 30 secondes - Où ça arrive : entre les réseaux, hors de la vue du salarié et de son entreprise. Le NIST parle d'anomalies du plan de contrôle du routage, comme le détournement de préfixe BGP (prefix hijacking) et les fuites de routes [2]. - Ce que ça provoque : des dénis de service, des détours de trafic indésirables et une dégradation des performances [2]. - La parade des opérateurs : RPKI, la validation d'origine BGP et le filtrage de préfixes [1]. - Le réflexe : demander à son fournisseur d'accès ou d'hébergement comment il protège ses routes, et ne pas se fier au seul réseau pour la confidentialité. ## Questions directes ### À quoi sert BGP ? BGP distribue et calcule les chemins entre les réseaux autonomes qui composent Internet [1]. Le salarié n'intervient jamais dans ce mécanisme : il dépend des choix de son fournisseur d'accès et des réseaux traversés. ### Quel est le problème ? Le NIST constate que ces dernières années, de nombreuses anomalies du plan de contrôle du routage, comme le détournement de préfixe BGP et les fuites de routes, ont entraîné des dénis de service, des détours de trafic indésirables et une dégradation des performances [2]. ### Que veut dire RPKI ? RPKI signifie Resource Public Key Infrastructure. Le NIST la range, avec la validation d'origine BGP (BGP-OV) et le filtrage de préfixes, parmi les technologies recommandées pour sécuriser le trafic de contrôle du routage entre domaines [1]. Les sources citées ici ne détaillent pas son fonctionnement interne : cette fiche ne le décrit donc pas. ### Un salarié peut-il se protéger d'un détournement de route ? Pas directement. Ces protections se déploient chez les opérateurs. Le salarié et son responsable peuvent en revanche poser des questions à leurs fournisseurs, comme expliqué plus bas. ### RPKI règle-t-elle tout ? Les sources citées ici ne le disent pas. Le NIST présente RPKI comme une technologie recommandée parmi d'autres, et ajoute des mesures contre l'usurpation d'adresses IP et les attaques par déni de service [1]. Une ancienne publication du NIST sur BGP prévenait déjà que ses recommandations ne constituaient pas une défense complète contre toutes les menaces [3]. ## Comment ça marche Le NIST publie en décembre 2019 le guide SP 800-189, consacré à l'échange de trafic résilient entre domaines (RITE). Elle donne des consignes initiales pour protéger le trafic de contrôle du routage, empêcher l'usurpation d'adresses IP et détecter et atténuer certains dénis de service [2]. Elle remplace la publication SP 800-54, parue en juillet 2007 et retirée le 17 décembre 2019 [3]. Les recommandations de 2019 comprennent de nombreuses mesures sur BGP. Pour le routage, elles citent RPKI, la validation d'origine BGP et le filtrage de préfixes [1]. Contre les attaques par déni de service, elles visent d'abord l'usurpation d'adresses IP, avec la validation d'adresse source (SAV) par listes de contrôle d'accès et le uRPF (unicast Reverse Path Forwarding). Elles citent aussi le filtrage par trou noir déclenché à distance (RTBH), Flowspec et la limitation du débit des réponses (RRL) [1]. Le texte de 2007 expliquait déjà ce qu'est BGP et son importance pour Internet, et proposait des bonnes pratiques applicables à presque tous les routeurs BGP alors disponibles. Il notait que les protocoles améliorés proposés exigeaient en général des changements substantiels du protocole et pouvaient ne pas fonctionner avec les implémentations existantes [3]. ## Ce que vous faites Les sources ne s'adressent pas aux salariés : ce qui suit applique leurs constats au quotidien, sans prétendre qu'elles le prescrivent. - Responsable informatique ou achats : demander au fournisseur d'accès ou d'hébergement s'il applique la validation d'origine BGP, RPKI et le filtrage de préfixes, que le NIST recommande aux opérateurs [1]. - Responsable informatique : demander aussi au fournisseur de contrôler que les adresses sources des paquets qu'il émet sont légitimes, ce qui relève de la validation d'adresse source recommandée par le NIST [1]. - Entreprise visée par une activité criminelle : la signaler, demander à ses fournisseurs réseau de remonter à l'origine du trafic usurpé et partager l'information avec la communauté, conseille Google [4]. - Salarié : traiter le réseau comme un terrain non maîtrisé. Les cas ci-dessous montrent que le trafic transite par des réseaux que personne ne maîtrise de bout en bout, d'où l'intérêt de ne pas lui confier seul la confidentialité des échanges. ## Les pièges Croire que le réseau de l'entreprise est un circuit fermé est le premier. Le trafic passe par des réseaux tiers, hors de la maîtrise de l'entreprise. Le deuxième piège est de supposer qu'une protection de routage suffit. Le NIST l'inscrit dans un ensemble de mesures où figurent aussi l'anti-usurpation d'adresses et le filtrage contre le déni de service [1]. Le troisième est de confondre les différents incidents réseau. Une attaque par déni de service inonde sa cible de trafic inutile ; selon Google, elle n'expose pas les données des utilisateurs et ne mène pas à une compromission, mais peut provoquer une panne et une perte de confiance si elle n'est pas rapidement atténuée [4]. ## Cas réels ### Mars 2014 : YouTube inondé par des navigateurs Selon Google, en mars 2014, du JavaScript malveillant injecté dans des milliers de sites par une attaque de l'homme du milieu sur le réseau a conduit des centaines de milliers de navigateurs à inonder YouTube de requêtes, jusqu'à un pic de 2,7 millions de requêtes par seconde [4]. Ce n'est pas un détournement BGP, et le texte de Google ne le présente pas comme tel. Il montre qu'un trafic peut être modifié en route et retourné contre un service, ce qui justifie la prudence du salarié envers le réseau. ### Septembre 2017 : un déni de service de 2,5 Tbps Google dit avoir absorbé en septembre 2017 une attaque de 2,5 Tbps, aboutissement d'une campagne de six mois. L'attaquant avait utilisé plusieurs réseaux pour usurper 167 millions de paquets par seconde vers 180 000 serveurs CLDAP, DNS et SNMP exposés, qui renvoyaient ensuite de grosses réponses vers Google. L'attaque n'a eu aucun impact [4]. Google a signalé des milliers de serveurs vulnérables à leurs fournisseurs réseau et a travaillé avec eux pour retrouver l'origine des paquets usurpés, afin qu'ils soient filtrés [4]. Le cas illustre l'usurpation d'adresses IP que les recommandations du NIST cherchent à prévenir [1]. Les détournements de trafic de Google en 2018 et l'incident YouTube et Pakistan Telecom de 2008 ne figurent dans aucune des sources citées ici et ne sont donc pas décrits ici. ## Sources 1. NIST, « Resilient Interdomain Traffic Exchange: BGP Security and DDoS Mitigation », 17 décembre 2019. https://csrc.nist.gov/pubs/sp/800/189/final (consulté le 3 novembre 2026) 2. NIST, « Resilient Interdomain Traffic Exchange: BGP Security and DDos Mitigation », 17 décembre 2019. https://www.nist.gov/publications/resilient-interdomain-traffic-exchange-bgp-security-and-ddos-mitigation (consulté le 3 novembre 2026) 3. NIST, « Border Gateway Protocol Security », 17 juillet 2007. https://csrc.nist.gov/pubs/sp/800/54/final (consulté le 3 novembre 2026) 4. Google, « Identifying and protecting against the largest DDoS attacks », 17 octobre 2020. https://cloud.google.com/blog/products/identity-security/identifying-and-protecting-against-the-largest-ddos-attacks (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/bgp-rpki-securite-routes-internet/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.