Filtrer le spam grâce à AbuseIPDB

Même si les spammeurs ont aujourd’hui des outils sophistiqués pour automatiser le remplissage et l’envoi de formulaire, ils ont encore tendance à le faire depuis les mêmes machines pendant un moment. Et c’est justement grâce à cette faiblesse que l’on peut les repérer : en effet, ils changent rarement d’adresse IP.

Lorsqu’une adresse est signalée plusieurs fois comme source de spam (ou d’attaque), il suffit alors de la bloquer pour éviter d’en être soi-même victime.

C’est là qu'AbuseIPDB joue un rôle important : il s’agit d’une base de donnée collaborative où chaque inscrit peut à la fois signaler des attaques, mais aussi interroger la base pour obtenir à la fois une liste des signalements pour une adresse IP mais également obtenir un score (calculé en fonction de plusieurs facteurs, pour éviter les abus et rendre ce chiffre aussi objectif que possible) indiquant la probabilité qu’une adresse soit nuisible.

Non seulement le site permet de réaliser ces actions manuellement (pratique si vous voulez par exemple vérifier que votre propre adresse n’a pas été utilisée pas le passé par exemple), mais ils proposent surtout une API Web pour interroger leurs données directement depuis votre site ou application.

Pour éviter les abus le site demande à la fois d’être inscrit pour signaler une IP, mais il faudra générer une clé d'API pour l’utiliser.

Une fois votre compte créé et une clé d'API générée, vous pouvez commencer à implémenter un filtre anti-spam en quelques minutes sur votre site !

Lorsqu’un client fait appel à votre formulaire, son adresse IP est accessible via les informations envoyés au serveur.

Laravel propose un raccourci via request()->ip(), mais hors de ce framework il faudra probablement récupérer cette information manuellement (ou trouver le raccourci proposé par votre outil de choix) :

$apiKey = 'Insérez votre clé ici';
$ip = $_SERVER['REMOTE_ADDR'];

Maintenant que vous avez récupéré l’adresse du client, vous pouvez interroger AbuseIPDB pour savoir si cette adresse a été utilisée pour des attaques récentes? J’utiliserai ici cURL pour rendre le code le plus universel possible, mais vous pouvez également utiliser un client HTTP de votre choix, par exemple Guzzle, pour simplifier votre code.

$ch = curl_init('https://api.abuseipdb.com/api/v2/check?ipAddress=' . urlencode($ip));
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_HTTPHEADER, [
	'Key: ' . $apiKey,
	'Accept: application/json'
]); 
$data = curl_exec($ch);
curl_close($ch);

$result = json_decode($data);

Avec le paquet pour Laravel, vous pouvez utiliser AbuseIPDB::check($request->ip(), 30); pour obtenir le même résultat.

La donnée qui va nous intéresser ici est contenue dans la clé abuseConfidenceScore de l’objet data retourné. Il s’agit d’un pourcentage de confiance, 100 représentant une certitude que l’adresse est nuisible.

Libre à vous d’utiliser le pourcentage que vous souhaitez comme limite pour bloquer une requête. J’utiliserai ici 75 pour bloquer les spammeurs potentiels.

if ($result->data->abuseConfidenceScore >= 75) {
	http_response_code(403);
	die('Spam détecté');
}

Avec Laravel pour pouvez renvoyer une erreur 403 et la page appropriée avec abort(403, 'Spam détecté');.

Bien entendu, la même API permet également de signaler une adresse IP lorsque vous êtes victime d’une attaque.

Sur mon site par exemple j’enregistre l’adresse IP utilisée pour soumettre un formulaire public. Cela me permet ensuite de signaler les contrevenants qui n’auraient pas été directement filtré (par exemple lorsqu’ils utilisent une adresse considérée comme fiable).

Cette fois il suffit d’envoyer une requête POST au bon endpoint :

$ch = curl_init('https://api.abuseipdb.com/api/v2/report');
curl_setopt($ch, CURLOPT_POST, 1); 
curl_setopt($ch, CURLOPT_POSTFIELDS, http_build_query([
	'ipAddress' => $ip,
	'categories' => '10', // Cf. https://www.abuseipdb.com/categories pour choisir les bons identifiants, séparés par une virgule
	// Vous pouvez ajouter les paramètres facultatifs `comment` et `timestamp` si besoin
]));
curl_setopt($ch, CURLOPT_RETURNTRANSFER, true);
curl_setopt($ch, CURLOPT_HTTPHEADER, [
	'Key: ' . $apiKey,
	'Accept: application/json'
]); 
$data = curl_exec($ch);
curl_close($ch);

Cette requête renverra le score abuseConfidenceScore mis à jour, si cette donnée vous intéresse.

Avec le paquet Laravel, ce code peut être résumé par AbuseIPDB::report($request->ip(), [10]);.

N’hésitez pas à parcourir la documentation d’API d’AbuseIPDB pour en savoir plus sur les paramètres acceptés et découvrir d’autres usages possibles.

Vous pouvez par exemple l’utiliser pour lister les signalements faits sur votre adresse IP pour vous assurer que vous n’avez pas été signalé par quelqu’un d’autre (ce que j’ai fait sur l’interface d’administration de mon site).

Vous pouvez utiliser des intégrations ou plugins officiels dans les outils que vous avez déjà mis en place. Par exemple fail2ban peut signaler automatiquement les tentatives d’intrusion répétées en ajoutant quelques lignes à sa configuration.

Si comme moi vous utilisez Laravel pour votre projet, je vous partage mon middleware prêt à l’usage qui permet de filtrer et signaler les IP classées comme spam :

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;
use AbuseIPDB\Facades\AbuseIPDB;
use App\Enums\SpamType;

class FilterSpamIp
{
    public static $reportCategories = [
        'blog-comment' => [10, 12],
        'contact-form' => [10],
    ];

    public static $reportComments = [
        'blog-comment' => 'Blog comment spam attempt',
        'contact-form' => 'Contact form spam attempt',
    ];

    /**
     * Handle an incoming request.
     *
     * @param  \Closure(\Illuminate\Http\Request): (\Symfony\Component\HttpFoundation\Response)  $next
     */
    public function handle(Request $request, Closure $next, string $type = SpamType::ContactForm): Response
    {
        $checkResponse = AbuseIPDB::check($request->ip(), 30);

        if ($checkResponse->abuseConfidenceScore > 75) { // Plausible spam IP address
            $reportCategories = collect(self::$reportCategories)->get($type, [10]);
            $reportComment = collect(self::$reportComments)->get($type, 'Web spam attempt');

            AbuseIPDB::report($request->ip(), $reportCategories, $reportComment);

            abort(403, 'Spam IP detected');
        }

        return $next($request);
    }
}