Slowloris
Un déni de service à faible débit — on ouvre une multitude de connexions HTTP et on envoie les en-têtes très lentement, un octet à la fois. Le serveur web épuise son pool de threads ou de connexions.
Écrit par Robert « RSnake » Hansen en 2009. Efficace contre Apache (un thread par connexion) et IIS. Nginx et Caddy, fondés sur une boucle d'événements, y sont insensibles puisqu'ils n'allouent pas un thread par connexion. Parades : limiter le nombre de nouvelles connexions par IP, imposer des délais d'expiration sur les en-têtes lents (http_limit_req_module, client_header_timeout), placer un proxy frontal comme mod_qos. Cloudflare et AWS WAF disposent de mesures dédiées. Une technique antique qui réapparaît encore sur les installations Apache mal configurées.