CrowdSec remplace Fail2ban dès le deuxième serveur grâce à l’intelligence collaborative

CrowdSec, c’est Fail2ban réinventé pour un monde où les attaquants scannent en permanence. La version stable 1.7.8, publiée le 11 mai 2026, apporte un moteur de détection en Go et une architecture où les décisions de blocage sont partagées entre 14 300 étoiles GitHub d’utilisateurs. 80 % des IP malveillantes sont ainsi connues avant même d’avoir frappé votre porte — un chiffre issu du croisement de la blocklist communautaire avec les logs de votre propre serveur. En juillet 2026, le projet prépare sa v1.8.0 avec un mode WAF challenge et un connecteur natif Kubernetes, signe d’un développement actif soutenu par une SAS française sous licence MIT.

C’est le moment de basculer si vous gérez plus d’un serveur ou exposez des applications web au public. Voici pourquoi.

Fail2ban fait le job, mais tout seul

Fail2ban défend les serveurs depuis 2004 avec une recette simple : un démon Python lit les fichiers de logs, applique des expressions régulières, et insère des règles iptables ou nftables quand un seuil est franchi. Pour un serveur unique qui expose SSH et un Apache/Nginx de base, c’est suffisant et le restera longtemps.

Trois limites structurelles apparaissent dès qu’on ajoute des services ou qu’on dépasse une machine. La première est la latence de détection : un log doit être écrit, flushé, puis parsé — le délai entre le premier paquet malveillant et l’insertion de la règle firewall se mesure en centaines de millisecondes à plusieurs secondes, pendant lesquelles l’attaquant a déjà testé des dizaines de combinaisons. La deuxième est l’isolement : chaque serveur apprend seul, sans profiter des tentatives bloquées par le voisin. La troisième est la couverture applicative : maintenir des filtres regex pour Traefik, Cloudflare Tunnel, Docker ou vos propres applications est un travail manuel que les jails officielles ne couvrent pas toujours.

CrowdSec détecte les comportements, pas les signatures

Là où Fail2ban compte les échecs d’authentification, CrowdSec analyse le comportement. Le moteur, écrit en Go, ingère les logs en continu via des parsers — des adaptateurs qui transforment n’importe quel format de log (JSON, syslog, CEF) en événements structurés. Ces événements sont évalués par des scénarios YAML qui détectent des patterns temporels complexes : un brute-force SSH classique, mais aussi un scan de ports lent (une IP testant une vingtaine de services en cinq minutes), un credential stuffing distribué (même utilisateur, IP différentes), ou une tentative d’exploitation web répétée.

Les décisions — bannir, afficher un captcha, throttler — sont stockées dans une base SQLite locale et exposées via une API REST (LAPI). Des composants légers, les bouncers, interrogent cette API et appliquent le blocage au point le plus pertinent de votre infrastructure.

L’installation se fait en deux commandes sur n’importe quel Linux :

curl -s https://packagecloud.io/install/repositories/crowdsec/crowdsec/script.deb.sh | sudo bash
sudo apt install crowdsec

Le moteur détecte automatiquement les services présents sur la machine et installe les collections de parsers correspondantes. Pour le compléter avec le firewall bouncer qui appliquera les blocages au niveau réseau :

sudo apt install crowdsec-firewall-bouncer-iptables

Le vrai atout : l’immunité collective

Le différenciateur central de CrowdSec est la Central API, un service optionnel qui agrège les signaux d’attaque de la communauté. Quand un nœud détecte et bloque une IP malveillante, il partage ce signal (IP source, scénario déclenché, timestamp — rien d’autre) avec le réseau. En retour, il reçoit une blocklist communautaire enrichie en continu qui pré-bloque les IP connues avant qu’elles n’atteignent vos logs.

Le modèle est gratuit pour la blocklist de base et fonctionne même hors-ligne : les décisions déjà reçues restent actives. CrowdSec SAS, l’entreprise française éditrice, vend des blocklists premium (sectorielles, haute précision) et une console centralisée — le moteur MIT ne bride aucune fonctionnalité. Contrairement à un Cloudflare qui absorbe le trafic sur son edge américain, vos logs bruts restent sur vos serveurs, sous juridiction européenne et RGPD, sans exposition au CLOUD Act.

Un bouncer par couche de défense

La souplesse architecturale de CrowdSec tient à son découplage détection/enforcement. Un même événement peut déclencher plusieurs bouncers simultanément.

Le firewall bouncer reste le plus utilisé : il insère les IP bannies dans un set nftables dédié, évitant le parcours linéaire des chaînes iptables héritées. À 10 000 IP, la pénalité est imperceptible ; à 100 000, elle reste inférieure à 5 % de latence additionnelle sur le plan de contrôle.

Fail2ban vs CrowdSec : un seul tableau

CrowdSec consomme plus de mémoire que Fail2ban, mais dans un monde où un VPS d’entrée de gamme embarque 1 Go de RAM, la différence n’est pas un critère de décision. Le vrai coût de CrowdSec est l’investissement initial de configuration : un bouncer par couche, une connexion à la Central API à assumer, et des scénarios à auditer la première semaine.

Le verdict

Si vous gérez un seul serveur qui n’expose que SSH et un service web simple, Fail2ban reste l’outil le plus direct : une jail SSH activée en deux lignes, zéro dépendance externe, une consommation mémoire quasi nulle. Vous n’avez pas de raison urgente de migrer.

Si vous gérez deux serveurs ou plus, exposez des applications web dynamiques, ou souhaitez un blocage qui précède l’arrivée dans vos logs, CrowdSec est le meilleur investissement défensif que vous puissiez faire sans dépenser un euro de licence. Commencez par le firewall bouncer, puis ajoutez un bouncer applicatif sur votre reverse proxy dès que vous avez validé que les scénarios de base ne génèrent pas de faux positifs sur votre trafic légitime.

Le pire choix est de n’avoir ni l’un ni l’autre. Un serveur exposé sans IPS, en 2026, se fait scanner en moyenne sept minutes après sa mise en ligne.

Références

• CrowdSec v1.7.8 Release, crowdsecurity/crowdsec, 11 mai 2026.
• CrowdSec v1.8.0-rc1 — WAF Challenge Mode & K8s Datasource, crowdsecurity/crowdsec, 27 juillet 2026.
• CrowdSec — Open Source Collaborative IPS, Open Tech Hub, 13 juillet 2026.
• Fail2ban vs CrowdSec vs Kernel: Best IP Ban (2026), PAKKT.io.
• Fail2ban vs CrowdSec in 2026: Which IPS Is Right for You?, Canadian Web Hosting Blog, 19 mars 2026.
• CrowdSec Documentation — Bouncers, docs.crowdsec.net.
• CrowdSec Hub — collections et scénarios communautaires.
• Traefik CrowdSec Bouncer, fbonalair, GitHub.
• CrowdSec Cloudflare Worker Bouncer, crowdsecurity, GitHub.