{"id":22125,"date":"2026-10-25T07:58:10","date_gmt":"2026-10-24T23:58:10","guid":{"rendered":"https:\/\/synopower.club\/?post_type=docs&#038;p=22125"},"modified":"2026-10-25T08:04:28","modified_gmt":"2026-10-25T00:04:28","password":"","slug":"synology-threat-prevention-blind-spots","status":"publish","type":"docs","link":"https:\/\/synopower.club\/fr\/docs\/synology-threat-prevention-blind-spots\/","title":{"rendered":"Synology Threat Prevention : ce qu'il d\u00e9tecte et ce qu'il ne peut pas voir"},"content":{"rendered":"<p class=\"wp-block-paragraph\">Threat Prevention est le paquet vers lequel la plupart des gens se tournent d\u00e8s qu'ils d\u00e9cident d'h\u00e9berger un site Web sur un NAS Synology. Il se situe sur le routeur, poss\u00e8de une ic\u00f4ne de bouclier, et son tableau de bord compte les attaques par centaines, donnant l'impression d'\u00eatre l'\u00e9l\u00e9ment qui s\u00e9curise un site public. Nous l'ex\u00e9cutons sur un RT6600ax devant chaque machine que nous poss\u00e9dons, et il a valu la peine d'\u00eatre install\u00e9. Il est \u00e9galement, pour un site Web auto-h\u00e9berg\u00e9, presque totalement hors sujet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cet article de NAS Hosting 101 ouvre notre propre routeur, en extrait une semaine r\u00e9elle d'\u00e9v\u00e9nements et montre exactement l\u00e0 o\u00f9 Threat Prevention cesse de pouvoir aider, en utilisant PHP2Shell comme exemple d'attaque que Threat Prevention n'allait jamais voir.<\/p>\n\n\n\n<blockquote class=\"wp-block-quote is-layout-flow wp-block-quote-is-layout-flow\">\n<p class=\"wp-block-paragraph\"><strong>Point SynoPower Club\u00a0:<\/strong> J'ai pass\u00e9 beaucoup de temps au support Synology, et la question revenait sans cesse : quelle option dois-je activer pour stopper cette attaque. C'est le bon instinct ciblant le mauvais \u00e9quipement. Ce qui m'a enfin fait d\u00e9clic, c'est de lire notre propre liste d'\u00e9v\u00e9nements au lieu de la page des fonctionnalit\u00e9s. Chaque alerte enregistr\u00e9e par notre routeur ce mois-ci concernait une adresse ayant une mauvaise r\u00e9putation, et non une requ\u00eate avec une mauvaise charge utile. Une fois qu'on a vu cela, on arr\u00eate de demander \u00e0 Threat Prevention d'inspecter un trafic qu'il d\u00e9tient dans une enveloppe scell\u00e9e.<\/p>\n<\/blockquote>\n\n\n\n<h2 id=\"what-threat-prevention-actually-does-on-a-synology-router\" class=\"wp-block-heading\">Ce que fait r\u00e9ellement Threat Prevention sur un routeur Synology<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Threat Prevention est un syst\u00e8me de d\u00e9tection et de pr\u00e9vention des intrusions bas\u00e9 sur la lign\u00e9e de Snort et Suricata. Il lit les paquets au fur et \u00e0 mesure que le routeur les r\u00e9achemine, les compare \u00e0 un jeu de signatures et enregistre une alerte ou rejette le paquet. Sur notre RT6600ax, le flux de signatures est ET Open, le niveau gratuit du jeu de r\u00e8gles Emerging Threats, actualis\u00e9 quotidiennement \u00e0 09:00.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Trois propri\u00e9t\u00e9s d\u00e9coulent de cette conception, et toutes trois comptent plus que n'importe quelle case \u00e0 cocher dans l'interface :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>It can only examine packets the router <strong>forwards<\/strong>. Traffic that never crosses the routing engine is not slow to inspect, it is invisible.<\/li>\n\n<li>It can only match on bytes it can <strong>read<\/strong>. Il n'y a aucune interception TLS dans Threat Prevention, donc une charge utile chiffr\u00e9e reste opaque.<\/li>\n\n<li>It can only match signatures <strong>somebody else wrote<\/strong>. The interface exposes vendor classes to switch on and off, and nothing that accepts a rule you author yourself.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Rien de tout cela n'est un d\u00e9faut. Un IPS au p\u00e9rim\u00e8tre du r\u00e9seau est une chose raisonnable et utile \u00e0 poss\u00e9der. L'erreur consiste \u00e0 supposer que le p\u00e9rim\u00e8tre est l'endroit o\u00f9 un site Web est attaqu\u00e9.<\/p>\n\n\n\n<h2 id=\"threat-prevention-vs-a-web-application-firewall\" class=\"wp-block-heading\">Threat Prevention vs un pare-feu d'application Web<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le moyen le plus clair de voir l'\u00e9cart est de placer Threat Prevention \u00e0 c\u00f4t\u00e9 d'un pare-feu d'application Web et de se demander ce que chacun d\u00e9tient lorsqu'il prend sa d\u00e9cision. Threat Prevention d\u00e9tient un paquet. Un WAF d\u00e9tient une requ\u00eate HTTP d\u00e9chiffr\u00e9e.<\/p>\n\n\n\n<figure class=\"wp-block-table\"><table><thead><tr><th>Question<\/th><th>Router IPS<\/th><th>Reverse-proxy WAF<\/th><\/tr><\/thead><tbody><tr><td>L\u00e0 o\u00f9 \u00e7a court<\/td><td>On the routing path, before TLS ends<\/td><td>At the edge, after TLS ends<\/td><\/tr><tr><td>What it inspects<\/td><td>Packet headers and any cleartext bytes<\/td><td>Method, path, headers, cookies, body<\/td><\/tr><tr><td>HTTPS traffic<\/td><td>Opaque<\/td><td>Fully readable<\/td><\/tr><tr><td>Rules you can add<\/td><td>Vendor classes on or off<\/td><td>Your own expressions, plus managed rulesets<\/td><\/tr><tr><td>Same-subnet traffic<\/td><td>Never seen<\/td><td>Not applicable, it is upstream of everything<\/td><\/tr><tr><td>Typical catch<\/td><td>Reputation hits, scans, cleartext exploits, outbound command and control<\/td><td>Injection, traversal, known CVE request shapes, credential stuffing, bots<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Ce ne sont pas des produits concurrents. Ils couvrent diff\u00e9rents segments d'un m\u00eame parcours, et un site auto-h\u00e9berg\u00e9 a bien plus besoin du second que du premier. Nous conservons les deux et nous attendons des choses totalement diff\u00e9rentes de chacun.<\/p>\n\n\n\n<h2 id=\"reading-595-events-from-one-week-on-our-own-router\" class=\"wp-block-heading\">Lecture de 595 \u00e9v\u00e9nements d'une semaine sur notre propre routeur<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Voici l'\u00e9cran d'aper\u00e7u de Threat Prevention de notre routeur de production le 25 octobre 2026. Cinq cent quatre-vingt-quinze \u00e9v\u00e9nements malveillants sur sept jours, dont 75 de s\u00e9v\u00e9rit\u00e9 \u00e9lev\u00e9e. Cela ressemble \u00e0 un mur retenant une inondation.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"eager\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events.webp\" alt=\"Aper\u00e7u de Synology Threat Prevention sur un RT6600ax montrant 595 \u00e9v\u00e9nements malveillants en sept jours et un appareil pr\u00e9sentant des menaces potentielles\" class=\"wp-image-22119\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-overview-595-events-1000x482.webp 1000w\"  fetchpriority=\"high\"\/><figcaption class=\"wp-element-caption\">Sept jours sur notre propre RT6600ax. Un seul appareil compte pour chaque \u00e9v\u00e9nement de s\u00e9v\u00e9rit\u00e9 \u00e9lev\u00e9e, et c'est le serveur de messagerie, pas l'h\u00f4te Web.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Deux d\u00e9tails sur cet \u00e9cran valent plus que le chiffre principal. Le premier est qu'un seul appareil appara\u00eet sous la liste des menaces potentielles, et il s'agit de REVERSE_MAIL, la machine qui termine le TLS et ex\u00e9cute MailPlus. Le second est la date de signature \u00e0 c\u00f4t\u00e9 de la coche verte. Ouvrez maintenant un seul \u00e9v\u00e9nement et lisez ce qui s'est r\u00e9ellement d\u00e9clench\u00e9.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature.webp\" alt=\"Un d\u00e9tail d&#039;\u00e9v\u00e9nement Threat Prevention montrant une signature IP de mauvaise r\u00e9putation ET CINS avec le statut Alerte et un corps de r\u00e8gle qui correspond uniquement aux adresses IP\" class=\"wp-image-22120\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-event-ip-reputation-signature-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Le corps de la signature est ce qui trahit la v\u00e9rit\u00e9. Il commence par alert ip suivi d'une liste d'adresses, ce qui signifie que rien dans la requ\u00eate n'a \u00e9t\u00e9 examin\u00e9.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Classification Misc Attack, s\u00e9v\u00e9rit\u00e9 Moyenne, statut Alerte, nom de signature ET CINS Active Threat Intelligence Poor Reputation IP group 24. Ouvrez le corps de la r\u00e8gle et il commence par alert ip puis une longue liste d'adresses. Il s'agit d'une recherche dans une liste de blocage. Aucune partie de la requ\u00eate HTTP n'a \u00e9t\u00e9 lue, car aucune partie ne pouvait l'\u00eatre. Nous avons \u00e9chantillonn\u00e9 des \u00e9v\u00e9nements vers une deuxi\u00e8me destination, notre h\u00f4te Virtual DSM, et nous avons trouv\u00e9 la m\u00eame classe de r\u00e8gle avec un num\u00e9ro de groupe diff\u00e9rent.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le r\u00e9sum\u00e9 honn\u00eate d'une semaine est donc le suivant : le routeur a reconnu quelques centaines de connexions provenant d'adresses qui avaient d\u00e9j\u00e0 une mauvaise r\u00e9putation. C'est v\u00e9ritablement utile. Ce n'est pas de la d\u00e9tection d'attaques Web, et personne ne devrait lire le nombre 595 comme si c'en \u00e9tait.<\/p>\n\n\n\n<h2 id=\"how-to-audit-threat-prevention-in-4-steps\" class=\"wp-block-heading\">Comment auditer Threat Prevention en 4 \u00e9tapes<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Avant de faire confiance \u00e0 Threat Prevention pour quoi que ce soit, passez dix minutes \u00e0 d\u00e9couvrir ce qu'il fait r\u00e9ellement sur votre propre r\u00e9seau. Chaque \u00e9tape ci-dessous est en lecture seule et ne modifie rien.<\/p>\n\n\n<div id=\"rank-math-howto\" class=\"rank-math-block\" >\n<div class=\"rank-math-howto-description\">\n\n<\/div>\n\n<div class=\"rank-math-steps\">\n<div id=\"step-1\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Open one event and read the signature body<\/h3>\n<div class=\"rank-math-step-content\"><p>Acc\u00e9dez \u00e0 Threat Prevention, puis \u00e0 \u00c9v\u00e9nements, et cliquez sur n'importe quelle entr\u00e9e. Regardez au-del\u00e0 du badge de s\u00e9v\u00e9rit\u00e9 color\u00e9 dans la zone R\u00e8gles de signature. Une r\u00e8gle qui commence par alert ip correspond uniquement \u00e0 la r\u00e9putation de l'adresse. Une r\u00e8gle qui contient content ou pcre correspond \u00e0 la charge utile. Comptez combien vous en trouvez de chaque dans votre propre liste avant de d\u00e9cider ce que Threat Prevention prot\u00e8ge.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-2\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Check which interfaces are monitored<\/h3>\n<div class=\"rank-math-step-content\"><p>Open Settings and read the Monitored Interfaces table. Only the interfaces ticked there are inspected, and in a normal deployment those are the internet-facing ones. Traffic between two devices on the same LAN subnet is switched rather than routed, so it never reaches the inspection engine and no setting on this page can change that.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-3\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Find out what happens when the router is busy<\/h3>\n<div class=\"rank-math-step-content\"><p>In the same panel, look at the default mode. Network stability priority means that when traffic exceeds what the engine can process, the excess is passed through unfiltered. Security priority means the excess is dropped instead. One choice fails open and keeps your line up, the other fails closed and takes your line down. Decide which one you actually want.<\/p>\n<\/div>\n<\/div>\n<div id=\"step-4\" class=\"rank-math-step\">\n<h3 class=\"rank-math-step-title\">Try to add a rule of your own<\/h3>\n<div class=\"rank-math-step-content\"><p>Open Self-Defined Policy. You can change the action for a signature the vendor already ships, and you can scope it by source or destination address. There is no field anywhere that accepts a signature you wrote. If your threat is newer than your signature feed, this screen is where you discover you have no way to respond.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n\n\n\n\n<h2 id=\"where-it-genuinely-earns-its-place\" class=\"wp-block-heading\">L\u00e0 o\u00f9 il m\u00e9rite vraiment sa place<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Nous gardons Threat Prevention activ\u00e9, et non par superstition. Il accomplit quatre t\u00e2ches que rien d'autre dans notre infrastructure ne fait.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Outbound command and control.<\/strong> This is the strongest case by far. A compromised device has to call home, that call has to leave through the router, and a good share of it is still either cleartext or aimed at a known address. Our router ships the Malware Command and Control Activity class with 3,450 of 3,498 rules enabled, and the Domain Observed Used for C2 class with 7,157 of 7,202.<\/li>\n\n<li><strong>Cleartext protocols from the internet.<\/strong> Our mail server answers on port 25, and SMTP is cleartext until STARTTLS. That is real inspectable traffic, and it is no accident that the mail host is the one device our events list keeps naming.<\/li>\n\n<li><strong>Scanning and reconnaissance.<\/strong> Port sweeps and fingerprinting are recognised by connection behaviour rather than by payload, so encryption does not hide them.<\/li>\n\n<li><strong>Visibility.<\/strong> A searchable log of who knocked and with what reputation is worth having, even when every entry is only a reputation hit. It is monitoring value, and it should be counted as monitoring value rather than as protection.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ce que ces quatre points ont en commun, c'est qu'aucun d'entre eux n'est une attaque sur un site Web.<\/p>\n\n\n\n<h2 id=\"why-a-site-owner-asks-threat-prevention-for-the-wrong-thing\" class=\"wp-block-heading\">Pourquoi le propri\u00e9taire d'un site demande la mauvaise chose \u00e0 Threat Prevention<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Lorsque vous h\u00e9bergez un site sur un NAS, le chemin de la requ\u00eate comporte g\u00e9n\u00e9ralement un proxy inverse. Le n\u00f4tre ressemble \u00e0 ceci, et c'est sa structure qui d\u00e9termine tout :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>The visitor reaches <strong>Cloudflare<\/strong>, which answers most requests from cache and inspects the rest in cleartext.<\/li>\n\n<li>What is left crosses the <strong>router<\/strong>, o\u00f9 Threat Prevention ne voit qu'un flux TLS chiffr\u00e9 et rien de plus.<\/li>\n\n<li>Le <strong>reverse proxy NAS<\/strong> terminates TLS and forwards plain HTTP to the machine that runs the site.<\/li>\n\n<li>That last hop is on the <strong>same subnet<\/strong>, so the frame goes through a switch and the router is not in the path.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Lisez ces quatre lignes ensemble et le pi\u00e8ge est \u00e9vident. Le seul segment o\u00f9 la requ\u00eate existe sous une forme lisible est le dernier saut, et c'est le seul segment que le routeur ne peut pas observer. Partout o\u00f9 le routeur peut observer, la requ\u00eate est chiffr\u00e9e. Il n'y a aucune case \u00e0 cocher qui r\u00e9solve une telle contradiction, et Threat Prevention n'\u00e9choue pas lorsqu'il reste silencieux. Il rend compte avec pr\u00e9cision d'un trafic qu'il est structurellement incapable de lire.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">C'est \u00e9galement la raison pour laquelle orienter Threat Prevention vers un site sp\u00e9cifique ne fonctionne pas. Le paquet est li\u00e9 aux interfaces du routeur, et non aux noms d'h\u00f4te. Il n'a aucune notion du site auquel appartient une connexion, car il ne voit jamais l'en-t\u00eate Host.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces.webp\" alt=\"Param\u00e8tres de Threat Prevention montrant les interfaces surveill\u00e9es limit\u00e9es aux ports orient\u00e9s Internet, le mode de priorit\u00e9 \u00e0 la stabilit\u00e9 du r\u00e9seau et la source de signatures ET Open\" class=\"wp-image-22121\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-settings-monitored-interfaces-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">\u00ab Interfaces surveill\u00e9es \u00bb constitue l'ensemble du champ d'application de Threat Prevention. Notez le mode par d\u00e9faut en dessous, ainsi que la source de signatures au bas.<\/figcaption><\/figure>\n\n\n\n<h2 id=\"three-reasons-php2shell-was-invisible-at-the-router\" class=\"wp-block-heading\">Trois raisons pour lesquelles PHP2Shell \u00e9tait invisible au niveau du routeur<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">PHP2Shell, la paire de failles d'ex\u00e9cution de code \u00e0 distance avant authentification r\u00e9pertori\u00e9es sous les r\u00e9f\u00e9rences CVE-2026-109618 et CVE-2026-109619, a fuit\u00e9 le 20 octobre 2026 et a \u00e9t\u00e9 corrig\u00e9e en amont le lendemain. C'est exactement le genre de chose que les gens esp\u00e8rent qu'un IPS de routeur va absorber, et il convient de d\u00e9tailler pourquoi il n'a pas pu le faire.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Premi\u00e8rement, le trafic \u00e9tait chiffr\u00e9 sur tous les segments surveill\u00e9s par le routeur.<\/strong> The exploit lives in the HTTP request, and the HTTP request only exists in the clear after TLS has been terminated, which happens downstream of the router on a hop the router never carries.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Deuxi\u00e8mement, aucune signature Threat Prevention n'existe \u00e0 activer.<\/strong> We checked again on 25 October 2026 and found no published Snort or Emerging Threats rule for either CVE. Our feed is ET Open, the free tier, which lags the commercial set, and the Self-Defined Policy screen accepts no rule of your own. So even an operator who knew precisely what to match for had nowhere to put it.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy.webp\" alt=\"L&#039;\u00e9cran Politique d\u00e9finie par l&#039;utilisateur dans Threat Prevention, vide, avec seulement Modifier et Supprimer disponibles et aucune option pour cr\u00e9er une nouvelle signature\" class=\"wp-image-22123\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-self-defined-policy-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">\u00ab Politique personnalis\u00e9e \u00bb ajuste l'action sur les signatures d\u00e9j\u00e0 fournies par le fournisseur. Il n'y a aucun champ permettant de saisir une r\u00e8gle que vous avez \u00e9crite.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Troisi\u00e8mement, et de mani\u00e8re plus fondamentale, cette attaque n'a aucune forme de charge utile \u00e0 faire correspondre.<\/strong> The chain takes two requests. The first has to push PHP into exhausting its memory limit, which makes the engine abandon a request through a path that skips cleanup and leaves some global state behind. The second request is ordinary, and it is the one that reaches a stale pointer and turns into code execution.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">La premi\u00e8re requ\u00eate est d\u00e9finie par la quantit\u00e9 de m\u00e9moire qu'elle consomme, et non par une s\u00e9quence d'octets, et un t\u00e9l\u00e9versement volumineux, un corps JSON \u00e9norme, un tableau profond et une longue cha\u00eene dans une expression r\u00e9guli\u00e8re conviennent tous. La seconde ne transporte aucun octet malveillant. Un IPS prend ses d\u00e9cisions par paquet et par flux. Il ne dispose d'aucun mod\u00e8le de processus worker portant un \u00e9tat contamin\u00e9 d'une requ\u00eate \u00e0 la suivante, ce qui est pr\u00e9cis\u00e9ment l\u00e0 o\u00f9 r\u00e9side ce bogue.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cela fixe \u00e9galement les limites de la mesure d'att\u00e9nuation circulant \u00e0 l'\u00e9poque, qui consistait \u00e0 d\u00e9sactiver session.upload_progress dans la configuration PHP. Cela supprime en effet un moyen bien document\u00e9 d'atteindre la seconde CVE, et sur une machine que vous ne pouvez vraiment pas corriger, c'est mieux que rien. Ce n'est pas un correctif : l'\u00e9puisement de la m\u00e9moire n'est pas accessible uniquement via cette seule fonctionnalit\u00e9, et le param\u00e8tre n'a aucun impact sur la CVE-2026-109618. Nous l'avons utilis\u00e9 comme solution temporaire sur un seul h\u00f4te et l'avons consid\u00e9r\u00e9 comme un r\u00e9pit provisoire, et non comme une r\u00e9solution. Le compte rendu complet de la mani\u00e8re dont nous avons appliqu\u00e9 le correctif se trouve dans notre <a href=\"https:\/\/synopower.club\/fr\/synology-php2shell-emergency-patch\/\">PHP2Shell write-up<\/a>.<\/p>\n\n\n\n<h2 id=\"fail-open-by-design-and-the-day-it-cost-us-our-mail\" class=\"wp-block-heading\">\u00ab Fail Open \u00bb par conception, et le jour o\u00f9 cela nous a co\u00fbt\u00e9 notre courrier \u00e9lectronique<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Il y a une autre propri\u00e9t\u00e9 qui m\u00e9rite d'\u00eatre connue avant de consid\u00e9rer Threat Prevention comme une mesure de contr\u00f4le fiable. Son mode par d\u00e9faut recommand\u00e9 est le mode de priorit\u00e9 \u00e0 la stabilit\u00e9 du r\u00e9seau, et l'interface indique clairement ce que cela signifie : lorsque le trafic d\u00e9passe la capacit\u00e9 de traitement, les paquets en attente sont ignor\u00e9s sans \u00eatre filtr\u00e9s. L'alternative, le mode de priorit\u00e9 \u00e0 la s\u00e9curit\u00e9, les rejette plut\u00f4t et avertit que la connexion sera instable jusqu'\u00e0 ce que le probl\u00e8me soit r\u00e9solu.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">C'est un choix par d\u00e9faut raisonnable pour un routeur domestique. Cela signifie toutefois que Threat Prevention est au plus faible au moment exact o\u00f9 vous le souhaiteriez le plus fort, car une saturation est \u00e0 la fois ce que vous voulez filtrer et ce qui d\u00e9passe la capacit\u00e9.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Nous avons \u00e9galement enregistr\u00e9 l'autre mode de d\u00e9faillance. Le 2 ao\u00fbt 2026, quelqu'un a pilonn\u00e9 notre proxy inverse \u00e0 116 reprises avec un exploit ciblant un bogue PHP-CGI sous Windows qui ne peut absolument pas fonctionner sur Linux. Threat Prevention a rejet\u00e9 suffisamment de paquets pour bloquer son propre \u00e9tat, puis a commenc\u00e9 \u00e0 refuser le trafic sortant de la machine m\u00eame qu'il d\u00e9fendait. Notre file d'attente de courrier s'est bloqu\u00e9e et le sympt\u00f4me ressemblait exactement \u00e0 une panne DNS. Le red\u00e9marrage du routeur a r\u00e9solu le probl\u00e8me. Rien n'est apparu dans le journal d'acc\u00e8s du proxy, car rien n'a jamais atteint le proxy. Une attaque qui \u00e9tait structurellement incapable de r\u00e9ussir nous a tout de m\u00eame co\u00fbt\u00e9 une interruption de service, par l'interm\u00e9diaire du composant cens\u00e9 l'arr\u00eater.<\/p>\n\n\n\n<figure class=\"wp-block-image size-full\"><img loading=\"lazy\" decoding=\"async\" width=\"1400\" height=\"675\" sizes=\"auto, (max-width: 1400px) 100vw, 1400px\" src=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list.webp\" alt=\"La liste des classes et signatures dans Threat Prevention avec le nombre de r\u00e8gles activ\u00e9es par classe, incluant Attaque d&#039;application Web \u00e0 5 928 sur 6 010 r\u00e8gles\" class=\"wp-image-22122\" srcset=\"https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list.webp 1400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-300x145.webp 300w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-1024x494.webp 1024w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-768x370.webp 768w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-18x9.webp 18w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-600x289.webp 600w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-400x193.webp 400w, https:\/\/synopower.club\/wp-content\/uploads\/2026\/10\/synology-threat-prevention-class-signature-list-1000x482.webp 1000w\" \/><figcaption class=\"wp-element-caption\">Commutateurs au niveau de la classe avec le nombre d'\u00e9l\u00e9ments activ\u00e9s sur la droite. C'est l'ensemble de la surface de r\u00e9glage.<\/figcaption><\/figure>\n\n\n\n<p class=\"wp-block-paragraph\">Regardez le nombre de r\u00e8gles activ\u00e9es dans cette liste pendant que vous y \u00eates. Web Application Attack affiche 5 928 r\u00e8gles actives sur 6 010, et le ratio est similaire dans les classes qui nous int\u00e9ressent. Activer une classe n'active pas toutes les r\u00e8gles qu'elle contient, et l'interface ne vous permet aucunement de voir quelles sont les r\u00e8gles restantes qui vous manquent.<\/p>\n\n\n\n<h2 id=\"put-a-proxy-in-front-then-lock-the-origin-to-it\" class=\"wp-block-heading\">Placez un proxy en amont, puis verrouillez l'origine dessus<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Si vous h\u00e9bergez un site web depuis un NAS, le contr\u00f4le qui accomplit la t\u00e2che que le routeur ne peut pas faire est un WAF \u00e0 reverse proxy. Nous utilisons Cloudflare, et la raison tient \u00e0 sa position plut\u00f4t qu'\u00e0 la marque : la terminaison TLS se fait \u00e0 l'edge, de sorte que l'int\u00e9gralit\u00e9 de la requ\u00eate est lisible au moment o\u00f9 la d\u00e9cision est prise. M\u00e9thode, chemin, requ\u00eate, en-t\u00eates, cookies et corps de la requ\u00eate sont tous accessibles pour une r\u00e8gle.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">C'est pourquoi les protections PHP2Shell sont arriv\u00e9es l\u00e0 et non sur le routeur. Lorsque les CVE ont \u00e9t\u00e9 divulgu\u00e9es, le jeu de r\u00e8gles g\u00e9r\u00e9es a obtenu sept r\u00e8gles pour cette paire en deux jours, et elles \u00e9taient actives sur l'ensemble des quatre zones que nous exploitons avant m\u00eame que nous n'ayons fini de reconstruire nos propres conteneurs. Aucun \u00e9quivalent n'est jamais apparu dans le flux Threat Prevention, et cinq jours plus tard, il n'y a toujours aucune r\u00e8gle Snort ou Emerging Threats publique \u00e0 installer.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un avertissement qui importe plus que le choix du fournisseur. Un proxy en amont ne sert \u00e0 rien s'il peut \u00eatre contourn\u00e9. Si votre adresse d'origine r\u00e9pond directement \u00e0 l'internet public, quiconque la d\u00e9couvre outrepassera toutes les r\u00e8gles edge que vous avez \u00e9crites. Restreignez le port 443 sur l'origine aux plages r\u00e9seau du proxy, r\u00e9cup\u00e9rez ces plages depuis l'endpoint du fournisseur plut\u00f4t que de les coder en dur, et v\u00e9rifiez le verrouillage en interrogeant le site directement depuis son adresse. Notre configuration plus vaste, ainsi que les quatre couches derri\u00e8re celle-ci, sont d\u00e9crites dans <a href=\"https:\/\/synopower.club\/fr\/documents\/synology-nas-security-public-website\/\">the five layers we run<\/a>.<\/p>\n\n\n\n<h2 id=\"threat-prevention-limits-and-security-notes\" class=\"wp-block-heading\">Limites et notes de s\u00e9curit\u00e9 de Threat Prevention<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Threat Prevention n\u00e9cessite un stockage externe sur le routeur et n'est pas disponible sur tous les mod\u00e8les, v\u00e9rifiez donc la prise en charge de votre mat\u00e9riel avant de planifier son utilisation. Le moteur est \u00e9galement le composant le plus sollicit\u00e9 de votre routeur, et sur un mod\u00e8le grand public, c'est le composant le plus susceptible de devenir le plafond de d\u00e9bit. Mesurez avant et apr\u00e8s plut\u00f4t que de vous fier aux chiffres du marketing.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Consid\u00e9rez chaque nombre affich\u00e9 sur l'\u00e9cran d'aper\u00e7u comme un nombre de correspondances de signatures, et non comme un nombre d'attaques bloqu\u00e9es. Les deux diff\u00e8rent dans les deux sens. Un impact de r\u00e9putation contre un scanner qui n'allait de toute fa\u00e7on rien obtenir gonfle le total, et une semaine calme ne prouve rien concernant le trafic HTTPS que le moteur ne peut pas lire.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Dans Threat Prevention, le statut importe tout autant que la s\u00e9v\u00e9rit\u00e9. L'option \u00ab Ignorer automatiquement les paquets \u00e0 haut risque \u00bb n'agit que sur le niveau \u00e9lev\u00e9, de sorte que les entr\u00e9es de s\u00e9v\u00e9rit\u00e9 moyenne sont enregistr\u00e9es et transmises. Une interface qui affiche Alerte vous indique que le paquet a \u00e9t\u00e9 d\u00e9livr\u00e9.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le flux de signatures est une cha\u00eene d'approvisionnement. ET Open se rafra\u00eechit selon un calendrier, accuse un retard par rapport au jeu de r\u00e8gles commercial, et peut ne rien fournir du tout pour une vuln\u00e9rabilit\u00e9 datant de plusieurs jours. Un tableau de bord qui indique que la base de donn\u00e9es est \u00e0 jour indique qu'elle correspond au flux, et non que le flux couvre ce qui est actuellement exploit\u00e9.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Rien de tout cela ne remplace l'application des correctifs. Chaque couche abord\u00e9e ici permet de gagner du temps pour ce qui corrige r\u00e9ellement une vuln\u00e9rabilit\u00e9 : la mise \u00e0 jour du logiciel concern\u00e9. Pour PHP2Shell, cela signifiait de nouveaux paquets PHP et des conteneurs reconstruits, et aucun contr\u00f4le r\u00e9seau ne s'y substituait.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Enfin, r\u00e9sistez \u00e0 la tentation d'activer chaque classe apr\u00e8s avoir lu un avis de s\u00e9curit\u00e9. Les classes comme Misc activity contiennent des milliers de r\u00e8gles \u00e0 faible valeur qui g\u00e9n\u00e8rent principalement du bruit et consomment la m\u00eame capacit\u00e9 dont les classes utiles ont besoin. Une liste d'\u00e9v\u00e9nements calme et bien r\u00e9gl\u00e9e que vous lisez r\u00e9ellement vaut mieux qu'une liste bruyante que vous apprenez \u00e0 ignorer.<\/p>\n\n\n\n<h2 id=\"frequently-asked-questions\" class=\"wp-block-heading\">Questions fr\u00e9quemment pos\u00e9es<\/h2>\n\n\n<div id=\"rank-math-faq\" class=\"rank-math-block\">\n<div class=\"rank-math-list\">\n<div id=\"faq-1\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Threat Prevention prot\u00e8ge-t-il un site web h\u00e9berg\u00e9 sur mon NAS ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>\u00c0 peine, et pas de la mani\u00e8re que le nom sugg\u00e8re. Un site web est servi via HTTPS, et Threat Prevention n'effectue aucune interception TLS, la requ\u00eate est donc opaque l\u00e0 o\u00f9 le routeur peut la voir. Dans une configuration classique, la requ\u00eate ne devient lisible qu'apr\u00e8s l'interruption TLS par un reverse proxy, et cet saut se trouve g\u00e9n\u00e9ralement sur le m\u00eame sous-r\u00e9seau, il est donc commut\u00e9 plut\u00f4t que rout\u00e9 et le routeur ne le transporte jamais. Utilisez un WAF reverse-proxy pour le site web et conservez Threat Prevention pour ce dans quoi il excelle.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-2\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Which option should I switch on to stop a specific CVE?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Usually none, because the answer depends on whether the vendor shipped a signature for it at all. Open Self-Defined Policy and you will find you can change the action on an existing signature but cannot add one of your own. If no rule exists in the feed, there is nothing to enable, and for a vulnerability a few days old that is the normal case.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-3\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Why does my event list only name one or two devices?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Because those are the devices receiving traffic the engine can actually read. On our network it is consistently the mail server, which answers cleartext SMTP on port 25. A web host behind a reverse proxy produces few entries not because it is attacked less, but because its traffic is encrypted at every point the router inspects.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-4\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Threat Prevention inspecte-t-il le trafic entre les appareils de mon r\u00e9seau local ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No. Two devices in the same subnet reach each other through a switch, and the router is not in that path, so the packets are never offered to the inspection engine. The Monitored Interfaces table in Settings shows the real scope, and no option there extends it to same-subnet traffic.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-5\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Est-il s\u00fbr de laisser Threat Prevention activ\u00e9 ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Yes, with one caveat worth knowing. The recommended default passes traffic through unfiltered when the engine is saturated, which keeps your line up at the cost of inspection. The opposite mode drops that traffic instead. We have also had the engine wedge under a flood of harmless exploit attempts and start refusing a server&#8217;s outbound traffic, which cost us a mail outage, so include the router in your list of suspects when a machine goes quiet.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-6\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Threat Prevention a-t-il aid\u00e9 contre PHP2Shell ?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>No, and three separate reasons each would have been enough on their own. The traffic was encrypted everywhere the router looks, no Snort or Emerging Threats signature was published for either CVE, and the exploit has no payload shape to match because the first request is defined by the memory it consumes and the second looks completely ordinary. The fix was new PHP packages, with a reverse-proxy WAF covering the gap in the meantime.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-7\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">Is disabling session.upload_progress enough on an unpatchable host?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>It helps and it is not enough. Switching it off removes one documented route to CVE-2026-109619, which is worth doing on a host you truly cannot update, but memory exhaustion is reachable by other means and the setting does nothing for CVE-2026-109618. Treat it as borrowed time and plan the package update.<\/p>\n\n<\/div>\n<\/div>\n<div id=\"faq-8\" class=\"rank-math-list-item\">\n<h3 class=\"rank-math-question\">What should I buy or configure first for a NAS-hosted site?<\/h3>\n<div class=\"rank-math-answer\">\n\n<p>Placez un reverse proxy avec un jeu de r\u00e8gles g\u00e9r\u00e9 devant le site, puis restreignez l'origine afin que le port 443 ne r\u00e9ponde qu'\u00e0 ce r\u00e9seau proxy. Ces deux \u00e9tapes combin\u00e9es d\u00e9placent le point d'inspection l\u00e0 o\u00f9 la requ\u00eate est lisible et \u00e9liminent la possibilit\u00e9 de contournement qui l'annulerait. Conservez ensuite Threat Prevention activ\u00e9 pour les serveurs de commande et contr\u00f4le sortants et pour les services en texte clair, o\u00f9 il accomplit un v\u00e9ritable travail.<\/p>\n\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n\n\n<h2 id=\"references-and-video-walkthroughs\" class=\"wp-block-heading\">R\u00e9f\u00e9rences et visites guid\u00e9es vid\u00e9o<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Sources principales pour tout ce qui est \u00e9nonc\u00e9 ci-dessus, ainsi que trois guides d\u00e9taill\u00e9s qui valent le d\u00e9tour.<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><a href=\"https:\/\/kb.synology.com\/en-global\/SRM\/help\/ThreatPrevention\/threatprevention_desc\" target=\"_blank\" rel=\"noreferrer noopener\">Centre de connaissances Synology : Threat Prevention<\/a> covers requirements, modes and model support.<\/li>\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/security\/advisory\/Synology_SA_26_14\" target=\"_blank\" rel=\"noreferrer noopener\">Synology-SA-26:14<\/a> lists the fixed PHP package versions for DSM, including the 7.4 build.<\/li>\n\n<li><a href=\"https:\/\/www.synology.com\/en-global\/company\/news\/article\/php2shell\/Synology%20Statement%20on%20PHP2Shell%20Vulnerabilities\" target=\"_blank\" rel=\"noreferrer noopener\">Synology Statement on PHP2Shell<\/a> names the affected packages and the one that needs a manual update.<\/li>\n\n<li><a href=\"https:\/\/developers.cloudflare.com\/waf\/managed-rules\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Cloudflare WAF managed rules<\/a> explains how managed rulesets are versioned and deployed.<\/li>\n\n<li><a href=\"https:\/\/www.cloudflare.com\/ips\/\" target=\"_blank\" rel=\"noreferrer noopener nofollow\">Plages d&#039;adresses IP de Cloudflare<\/a> is the endpoint to read when locking an origin to the proxy instead of hard-coding addresses.<\/li>\n<\/ul>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"SRM Threat Prevention \u2013 La protection r\u00e9seau en temps r\u00e9el expliqu\u00e9e\" width=\"1200\" height=\"675\" src=\"https:\/\/www.youtube.com\/embed\/yT_xGpxGF7k?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">SRM Threat Prevention expliqu\u00e9, notamment l'emplacement du paquet sur le r\u00e9seau<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Test de vitesse du routeur Synology avec Threat Prevention activ\u00e9.\" width=\"1200\" height=\"900\" src=\"https:\/\/www.youtube.com\/embed\/wuuRthcZQ_E?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Un test de d\u00e9bit avec Threat Prevention activ\u00e9, qui est le co\u00fbt que personne ne mentionne<\/figcaption><\/figure>\n\n\n\n<figure class=\"wp-block-embed is-type-video is-provider-youtube wp-block-embed-youtube wp-embed-aspect-16-9 wp-has-aspect-ratio\"><div class=\"wp-block-embed__wrapper\">\n<iframe loading=\"lazy\" title=\"Protecting Your Public Websites with Cloudflare WAF\" width=\"1200\" height=\"675\" src=\"https:\/\/www.youtube.com\/embed\/NbEo8p2Hvt8?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe>\n<\/div><figcaption class=\"wp-element-caption\">Cloudflare sur la protection des sites web publics avec un WAF, la couche qui lit la requ\u00eate<\/figcaption><\/figure>","protected":false},"excerpt":{"rendered":"<p>Threat Prevention is the package most people reach for the moment they decide to host a website on a Synology NAS. It sits on the router, it has a shield icon, and its dashboard counts attacks in the hundreds, so it looks like the thing that keeps a public site safe. We run it on [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":22124,"comment_status":"open","ping_status":"closed","template":"","meta":{"_eb_attr":"","_xspeed_no_cache":false,"_xspeed_expiry_hours":0,"footnotes":""},"doc_category":[197],"doc_tag":[],"class_list":["post-22125","docs","type-docs","status-publish","has-post-thumbnail","hentry","doc_category-nas-hosting-101"],"year_month":"2026-10","word_count":3684,"total_views":"43","reactions":{"happy":"0","normal":"0","sad":"0"},"author_info":{"name":"Adair Hsu","author_nicename":"adairpk17","author_url":"https:\/\/synopower.club\/fr\/author\/adairpk17\/"},"doc_category_info":[{"term_name":"NAS Hosting 101","term_url":"https:\/\/synopower.club\/fr\/docs-category\/nas-hosting-101\/"}],"doc_tag_info":[],"_links":{"self":[{"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/docs\/22125","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/docs"}],"about":[{"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/types\/docs"}],"author":[{"embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/comments?post=22125"}],"version-history":[{"count":2,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/docs\/22125\/revisions"}],"predecessor-version":[{"id":22127,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/docs\/22125\/revisions\/22127"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/media\/22124"}],"wp:attachment":[{"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/media?parent=22125"}],"wp:term":[{"taxonomy":"doc_category","embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/doc_category?post=22125"},{"taxonomy":"doc_tag","embeddable":true,"href":"https:\/\/synopower.club\/fr\/wp-json\/wp\/v2\/doc_tag?post=22125"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}