ANNEXE TECHNIQUE — DÉFINITION DDOS

Annexe technique DDoS - Qualification, exclusions de disponibilité et force majeure

Version 2.0 - En vigueur à compter du 17 juin 2026

La présente annexe (ci-après « l'Annexe ») est établie en application de l'article 19 des Conditions Générales de Vente et d'Utilisation de Winheberg (ci-après « les CGUV »), intitulé « Résiliation et compensation en cas d'attaques DDoS persistantes ». Elle fait partie intégrante du contrat conclu entre Winheberg et le Client et prévaut, sur les points qu'elle traite expressément, sur les CGUV et les Conditions Particulières applicables.

Article 1 - Définitions

Au sens de la présente Annexe, les termes suivants ont la signification ci-après :

« Attaque DDoS » désigne toute tentative délibérée et coordonnée de dégrader, d'interrompre ou de rendre indisponible un service réseau ou applicatif en saturant les ressources de traitement, de bande passante ou de connectivité visées, au moyen d'un volume anormal de requêtes ou de paquets émis depuis de multiples sources.

« Incident DDoS qualifié » désigne une attaque DDoS ayant satisfait aux critères de qualification définis à l'article 2 de la présente Annexe et ayant fait l'objet d'une documentation formelle au sens de l'article 3.

« Prestataires d'infrastructure » désigne les opérateurs réseau, fournisseurs de serveurs bare-metal, centres de données et prestataires de filtrage tiers auxquels Winheberg fait appel pour la fourniture physique et la protection réseau des services. Ces entités opèrent leurs propres dispositifs de mitigation de manière autonome.

« Mitigation » désigne l'ensemble des mesures techniques mises en œuvre par les Prestataires d'infrastructure pour réduire ou neutraliser l'impact d'une attaque DDoS sur les ressources réseau concernées (filtrage volumétrique, scrubbing, blackholing, rate-limiting, etc.).

« Disponibilité » et « SLA » ont le sens défini à l'article 4 des CGUV.

Article 2 - Critères de qualification d'une attaque DDoS

2.1 Indicateurs de qualification

Un incident peut être qualifié d'attaque DDoS lorsqu'il répond à l'ensemble des conditions suivantes :

1. Origine externe : le trafic anormal est initié par des sources extérieures à l'infrastructure Winheberg et aux services du Client concerné ;
2. Caractère délibéré : la structure du trafic (vecteurs, distribution des sources, timing) est incompatible avec un pic d'activité légitime ou une défaillance technique involontaire ;
3. Impact mesurable : l'incident entraîne une dégradation effective et documentée des indicateurs de performance ou de disponibilité du service.

2.2 Seuils volumétriques de référence

Les seuils ci-dessous constituent des valeurs de référence internes, indicatives et non contractuelles, servant à déclencher la procédure de qualification formelle. Leur dépassement crée une présomption d'attaque DDoS, sans y être systématiquement nécessaire ni suffisant.

Indicateur	Seuil de référence
Volume de trafic entrant (bande passante)	≥ 10 Gbps sur une période de 5 minutes consécutives
Taux de paquets	≥ 1 Mpps (1 000 000 paquets par seconde) sur 5 minutes
Taux de connexions simultanées anormales	≥ 10 fois la baseline mesurée sur les 30 jours précédents
Disponibilité du service impactée	Perte ≥ 50 % sur la période considérée, mesurée par les outils de monitoring de Winheberg

Winheberg se réserve le droit d'ajuster ces seuils pour tenir compte des évolutions de l'infrastructure, des profils d'attaque ou de la configuration propre au service concerné, sans que cette adaptation ne modifie les obligations contractuelles des parties.

2.3 Vecteurs d'attaque visés

Sans préjudice de la qualification d'autres vecteurs non listés, les types d'attaques suivants sont notamment couverts par la présente Annexe : flood UDP, SYN flood, ICMP flood, HTTP/S flood, attaques par amplification (DNS, NTP, SSDP, Memcached), attaques par épuisement de tables de connexion (TCP state exhaustion).

Les attaques opérant exclusivement au niveau applicatif (couche 7), telles que les floods ciblant une application, un socket ou une API, relèvent de la responsabilité du Client au titre de l'article 4.2 de la présente Annexe et n'ouvrent pas droit à exclusion du SLA.

Article 3 - Rôles et périmètre d'intervention

3.1 Périmètre de Winheberg

Winheberg assure la détection, la qualification et la documentation des incidents DDoS affectant ses services. Son rôle opérationnel se limite à :

• surveiller les indicateurs de disponibilité et de trafic via ses outils de supervision ;
• initier la procédure de qualification formelle lorsque les critères de l'article 2 sont réunis ;
• coordonner avec les Prestataires d'infrastructure la prise en charge de l'incident ;
• constituer et conserver la documentation de l'Incident DDoS qualifié, disponible sur demande du Client via l'espace client.

3.2 Périmètre des Prestataires d'infrastructure

Les opérations de mitigation réseau (filtrage volumétrique, scrubbing, blackholing, réacheminement de trafic) relèvent exclusivement des Prestataires d'infrastructure de Winheberg, qui les mettent en œuvre dans le cadre de leurs propres politiques et capacités techniques. Winheberg n'intervient pas directement sur les couches réseau physique ou de transport.

3.3 Absence de garantie de mitigation totale

Winheberg ne garantit pas la neutralisation complète de toute attaque DDoS. Les capacités de mitigation dépendent des dispositifs des Prestataires d'infrastructure et peuvent être dépassées en cas d'attaque d'une ampleur ou d'un vecteur exceptionnels.

Article 4 - Obligations du Client

Le Client s'engage à :

1. Ne pas être à l'origine, directe ou indirecte, d'un trafic susceptible d'être qualifié d'attaque DDoS à l'égard de tiers ou de l'infrastructure de Winheberg, sous peine d'application des dispositions de l'article 17 des CGUV ;
2. Mettre en œuvre, à ses frais, les mesures de sécurité applicatives adaptées à son service (pare-feu applicatif, rate-limiting, protection CAPTCHA, etc.) relevant de sa seule responsabilité ;
3. Coopérer de bonne foi avec Winheberg lors de tout incident, en fournissant les informations pertinentes dont il dispose dans les meilleurs délais.

Le Client ne peut invoquer la présente Annexe pour obtenir une compensation au titre d'une indisponibilité dont il serait directement ou indirectement à l'origine.

Article 5 - Conséquences sur la disponibilité et le SLA

5.1 Exclusion du calcul de disponibilité

Conformément à l'article 4.1 des CGUV, les périodes d'indisponibilité résultant d'un Incident DDoS formellement qualifié et documenté au sens des articles 2 et 3.1 de la présente Annexe sont exclues du calcul de la disponibilité mensuelle et n'ouvrent pas droit à compensation SLA.

Cette exclusion du SLA s'applique indépendamment de la qualification en force majeure prévue à l'article 6.

En l'absence de qualification formelle au sens de l'article 3.1, l'indisponibilité est intégrée au calcul du SLA dans les conditions habituelles.

5.2 Notification du Client

Winheberg n'informe pas le Client de chaque détection d'attaque. La qualification formelle d'un Incident DDoS ayant entraîné une indisponibilité effective et mesurable du service est publiée sur la page de statut de Winheberg (status.winheberg.com) dans un délai maximum de 48 heures suivant la fin de la période d'indisponibilité constatée. Cette publication précise la durée constatée de l'indisponibilité. Par dérogation à l'article 4.2 des CGUV, pour les incidents relevant du présent article 5.2, le délai de déclaration d'incident court à compter de la date de publication de cette qualification sur status.winheberg.com.

5.3 Contestation

Le Client qui conteste la qualification d'un incident peut en demander le réexamen dans les conditions prévues à l'article 22.4 des CGUV. La documentation constituée par Winheberg conformément à l'article 3.1 constitue la référence technique en cas de litige, sans préjudice du droit du Client à produire des éléments contraires.

Article 6 - Qualification en cas de force majeure

6.1 Critères légaux

Conformément à l'article 18 des CGUV, une attaque DDoS ne constitue pas automatiquement un cas de force majeure au sens de l'article 1218 du Code civil. Sa qualification comme telle requiert la réunion cumulative des trois critères suivants :

• Imprévisibilité : l'attaque présente, au moment de sa survenance, une ampleur ou des caractéristiques techniques qui ne pouvaient raisonnablement être anticipées compte tenu de l'état de l'art et du profil du service concerné ;
• Irrésistibilité : les dispositifs de mitigation des Prestataires d'infrastructure se révèlent insuffisants pour contenir l'attaque malgré leur activation effective, rendant l'indisponibilité inévitable ;
• Extériorité : l'attaque est initiée par un tiers n'ayant aucun lien avec Winheberg ou le Client, et le Client n'en est pas à l'origine directe ou indirecte, ni par négligence dans la sécurisation de son service.

6.2 Effets de la qualification en force majeure

Lorsque les trois critères de l'article 6.1 sont réunis, Winheberg est exonérée de toute responsabilité au titre de l'indisponibilité concernée, conformément aux articles 12 et 18 des CGUV. L'exclusion SLA de l'article 5.1 s'applique de plein droit.

Article 7 - Résiliation pour attaque persistante et compensation

Lorsqu'un Incident DDoS qualifié persiste durablement et compromet la stabilité de l'infrastructure ou des services d'autres clients, Winheberg peut décider de résilier le contrat à son initiative, dans les conditions de l'article 19 des CGUV (« Résiliation et compensation en cas d'attaques DDoS persistantes »).

Dans ce cas exclusif où la résiliation est décidée par Winheberg :

• le Client est informé par e-mail préalablement à la prise d'effet de la résiliation ;
• un avoir calculé au prorata des jours restants de la période facturée est accordé sur l'espace client ;
• les paiements effectués par Paysafecard donnent lieu à un crédit sur l'espace client uniquement, en raison de l'impossibilité technique de rembourser ce moyen de paiement.

Aucune compensation n'est due lorsque la résiliation fait suite à une attaque DDoS dont le Client est directement ou indirectement à l'origine.

Article 8 - Distinction avec la politique d'abus

La présente Annexe régit exclusivement les situations dans lesquelles Winheberg ou ses Clients sont victimes d'une attaque DDoS.

Toute utilisation des services de Winheberg pour initier ou faciliter une attaque DDoS à l'encontre de tiers est strictement prohibée au titre de l'article 17.1 des CGUV et constitue un manquement grave donnant lieu à résiliation immédiate sans compensation, sans préjudice des poursuites pénales applicables (art. 323-2 du Code pénal).

Article 9 - Dispositions générales

9.1 Hiérarchie des normes

En cas de contradiction entre la présente Annexe et les CGUV ou les Conditions Particulières sur les matières qu'elle traite expressément, la présente Annexe prévaut.

9.2 Divisibilité

Si une clause de la présente Annexe est déclarée nulle ou inapplicable, les autres clauses demeurent pleinement en vigueur.

9.3 Évolution de l'Annexe

Winheberg peut mettre à jour la présente Annexe pour refléter les évolutions techniques, réglementaires ou opérationnelles. Toute modification substantielle est notifiée aux Clients dans les conditions de l'article 27 des CGUV. La version en vigueur est celle publiée sur le site de Winheberg au moment de la consultation.