Observe before blocking
A new site starts in detection mode: everything is inspected and recorded, nothing is blocked. A report shows what would have been refused before you switch to blocking.
Rules and WAF protection
Readable detectors and rules, an anomaly score, modes per site, per rule and per path, narrow exceptions, virtual patches and a progressive rollout. You observe first, block later, and can always go back.
Where to find it in the console : Protection menu: Rules, Exceptions and Policies; Analysis menu: False positives; the Protection tab of a site.
What it is for
Decisions that explain themselves
Each event says which rule reacted, where (parameter, header, body), with which score and which action. No black box: you can replay a request and see the decision.
Fix a false positive without weakening the site
An exception targets one rule, one parameter, one path and one address, with an expiry date. The rest of the protection does not change.
Change the rules without taking a risk
Simulation on past traffic, rollout to a share of the nodes or of the requests, comparable versions and rollback in one step.
How ToutWAF decides
Every request goes through the same steps. The result is a decision, recorded with its evidence.
Detectors and rules
The built-in detectors (injections, deserialization, request smuggling, uploads, protocol), the OWASP CRS and your own rules look at the request. The catalogue documents more than 300 TW- error codes.
An anomaly score
Each detection adds points according to its severity: 5 for critical, 4 for error, 3 for warning, 2 for notice. The default inbound threshold is 5: one critical detection blocks, two warnings (3 + 3) block, a single warning is only logged.
The mode decides the action
Off, detection or blocking, depending on the site, the rule, the path and the method. Some rules act on their own without going through the score, for example a fake Googlebot or an unsigned JWT.
Three modes, at every level
مجاني
The mode is set for the whole site, but also for one rule, a family of rules, a path or a method. A rule can also change its action: log, challenge, slow down, decoy, block or redirect.
- A new site is in detection: events carry the action that would have been taken, without it being applied.
- Paranoia levels from 1 to 4 (1 by default), per site or per path. You go up one level at a time, in detection, and read the report before blocking.
- A percentage of the requests can enforce blocking (ENFORCE_PERCENT): a canary at request level.
- If the engine fails or exceeds its time budget, the site chooses to let requests through or to refuse them (per site). Choose refuse for a payment, let through for a brochure site.
OWASP CRS and SecLang
مجاني
The OWASP Core Rule Set v4 is evaluated by ToutWAF's own SecLang parser and evaluator, with the plug-ins that match the technology detected on your site.
- The definitions catalogue holds about 85 sources, checked every hour, verified before use and rolled back if they fail.
- Starting templates: generic, WordPress, Laravel, Symfony, Django, Spring, Node and single-page application.
- You can target a CRS identifier or a range (for example 942100-942999) in a mode or an exception.
The complete CRS v4 was only tested on a reduced fixture.
Your own rules
مجاني
A readable condition language, with a visual editor and a text editor that stay in sync.
- Rule tester: replay a request against the current policy and see the decision.
- Dry run on real traffic: the rule is replayed on seven days of recorded requests, without enforcing anything.
- Rule tests that run in continuous integration, with JUnit output.
The console validator and the engine accept slightly different subsets of the language: always verify a rule with a test.
Narrow exceptions and rule overrides
مجاني
When a rule reacts wrongly, you work around it as narrowly as possible instead of switching it off.
- An exception covers one rule, one parameter (argument, header, cookie, JSON field or body), a path prefix and an address, with an expiry and a reason.
- From an event, the button « This is a false positive » proposes the narrowest exception and shows its effect on the recorded events before creating it.
- ToutWAF also suggests exceptions from the traffic: you accept or dismiss them.
- A rule override changes the mode or action of a rule, a tag or a family, for a path and methods. Every change is versioned, compared and audited.
Example of rule overrides, in the policy of a site
YAML
rule_overrides:
- { rule: tw-sqli-orderby-probe, mode: detect }
- { rule: "tag:attack-xss", mode: block, path_prefix: /checkout }
- { rule: "family:4xxx", action: challenge, methods: [POST] }A policy that is inherited
مجاني
Settings go from general to specific: global, then per organisation, per site and per path. The more specific one wins.
- Every change is a version: structured difference, history and rollback in one step.
- Four-eyes approval: a second reviewer approves a version before it goes live.
- Policy as code: export, validate, compare and apply YAML or JSON from your continuous integration.
Put a rule live without risk
The recommended path is: observe, review, simulate, switch, watch, and keep the rollback ready.
Draft
You change the policy in a draft; nothing is published.
Simulation
The policy is replayed on past traffic: requests that would be newly blocked or allowed.
Canary
A share of the nodes, a share of the requests or a single rule; you watch, then extend.
Publication and rollback
Publication is automatic and fast; if a node refuses the policy, it goes back to the last accepted version.
Virtual patches
مجاني
A known vulnerability is blocked at the WAF while the application waits for its fix.
- A built-in catalogue covers Log4Shell, Spring4Shell and Confluence flaws, among others, and can be switched on per site.
- Emerging Threats Open signatures are converted only when the translation is exact; they log by default.
- CISA KEV advisories are informational until a verified pattern exists: they block nothing.
Automatic rules
مجانيPro وما فوق
ToutWAF settles its false positives and moves from observation to blocking, with evidence you audit and undo.
- Free: the self-test of a site, the false-positive estimate per rule group, the « Ready to block » indicator and the decisions journal.
- Licence required: the Automatic profile (log, challenge, then block one rule group at a time) and the automatic exceptions, narrow and time-limited.
- Guardrails: only protocol and web-injection rules can be worked around automatically, never by switching the rule off, and everything can be undone in one click.
What is not done, or not proven
We prefer to say it plainly.
- Loading the complete CRS v4 was only tested on a reduced fixture.
- Automatic rules were exercised by tests and a local bench, not on production traffic.
- The only detection and performance figures published are in the documentation: they come from the project's own synthetic corpus, are not independent measurements and do not rank ToutWAF against any other product. This page gives none.
- A WAF reduces risk, it does not replace fixing the application: keep your code's updates and access controls.
Use cases
Take a shop live without interruption
A week of detection, the report suggests a few narrow exceptions, you switch to blocking and keep the rollback ready.
React to a known vulnerability
A virtual patch blocks the exploit while the application waits for its update.
A rich-text editor triggers a rule
An exception limited to this field, this path and thirty days settles the case without touching the rest.
What is included, by edition
The basics are free; the advanced options need a paid offer. An option under licence stays visible in the console, locked, never hidden.
الإصدارمجاني مشمول في جميع العروض، ومنها العرضان المجانيان (Free وFree +)Pro وما فوق العروض المدفوعة: ظاهرة في وحدة التحكم ومقفلة دون ترخيص. ابتداءً من Pro ما لم يُذكر Agency أو Enterprise
حماية التطبيقات
- حقن SQL يُكشف من بنية الرموز لا من قوائم الكلمات المفتاحية، لخمس لهجاتمجاني
- حقن NoSQL: المعاملات وجافاسكربت من جهة الخادم في الاستعلامات والنماذج وأجسام JSONمجاني
- البرمجة عبر المواقع: محلل HTML بكواشف سياق، وSVG، ومصارف DOM، والحمولات متعددة اللغاتمجاني
- حقن الأوامر وتنفيذ الشيفرة: الصدفة وPowerShell والمفسّرات وتقييم اللغاتمجاني
- تضمين الملفات واجتياز المسارات، مع فك ترميز متعدد المراحل للترميزاتمجاني
- SSRF: طلبات إلى عناوين داخلية وبيانات وصفية للسحابة ومخططات غير معتادةمجاني
- XXE وتوسيع كيانات XML وحقن XPathمجاني
- حقن القوالب: Jinja2 وTwig وFreemarker وVelocity وThymeleafمجاني
- إلغاء التسلسل غير الآمن: Java وPHP و.NET وPython وYAMLمجاني
- LDAP ولغات التعبير (OGNL وSpEL) وCRLF وإعادة التوجيه المفتوحة وتلويث النماذج الأوليةمجاني
- تهريب طلبات HTTP، وتأطير صارم وفق RFC 9112، وحدود ضد إساءة استخدام HTTP/2مجاني
- الجسم الأكبر من نافذة الفحص يُرفض أو يُبلَّغ عنه، ولا يُمرَّر أبداً دون أن يُفحصمجاني
- رفع الملفات: الامتداد والامتداد المزدوج والبايتات السحرية وwebshell والماكرو وفحص ClamAV اختياريمجاني
- حماية أنظمة إدارة المحتوى: WordPress وDrupal وJoomla وPrestaShop وMagento وNextcloudمجاني
- الماسحات وأدوات الهجوم (sqlmap وNikto وNuclei وBurp) والتعداد عبر موجات من أخطاء 404مجاني
- CSRF: فحص Origin وReferer وحقن رمز في النماذجمجاني
- حماية الجلسات: التثبيت والاختطاف وتشفير ملفات تعريف الارتباطمجاني
- تحليل محدود: حدود للعمق والحجم وعدد المعاملات، وتعابير نمطية بزمن خطيمجاني
القواعد والسياسة والنشر
- تحميل OWASP CRS v4 كما هو، بمحلل ومقيِّم SecLang خاصَّين بـ ToutWAFمجاني
- مستويات الارتياب من 1 إلى 4، لكل موقع أو لكل مسارمجاني
- تسجيل الشذوذ بعتبات للوارد والصادرمجاني
- أوضاع الإيقاف والكشف والحظر لكل موقع ولكل قاعدة ولكل مسار، مع استبدال الإجراءمجاني
- لغة قواعد مقروءة لكتابة قواعدك الخاصةمجاني
- استثناءات دقيقة حسب القاعدة والمعامل والمسار والعنوان، مع تاريخ انتهاء ومعاينة للأثرمجاني
- ترقيعات افتراضية لثغرات معروفة (Log4Shell وSpring4Shell وConfluence وغيرها)، تُفعَّل لكل موقعمجاني
- الإنذارات الكاذبة: من الحدث إلى أضيق استثناء بنقرة واحدة مع شرح بلغة واضحةمجاني
- المحاكاة: إعادة تشغيل الحركة السابقة على مسودة سياسةمجاني
- تقرير كشف في نهاية فترة المراقبة مع الاستثناءات المقترحةمجاني
- نشر تدريجي: جزء من العقد أو جزء من الطلبات أو قاعدة واحدةمجاني
- وراثة السياسة: عامة، مؤسسة، موقع، مسارمجاني
- قوالب: عام وWordPress وLaravel وSymfony وDjango وSpring وNode وتطبيق الصفحة الواحدةمجاني
- إصدارات وفروق منظَّمة وتراجع بخطوة واحدةمجاني
- موافقة بعيْنَين قبل تفعيل أي إصدارمجاني
- السياسة كشيفرة: تصدير YAML أو JSON والتحقق منه ومقارنته وتطبيقه من CIمجاني
- اختبارات للقواعد تُشغَّل في CI مع مخرجات JUnitمجاني
- النشر التلقائي: يُجمَّع كل تغيير ويُتحقق منه ويُرسل إلى العقد خلال ثوانٍ، مع تراجع تلقائي إذا رفضته عقدةمجاني
القواعد التلقائية
- اختبار ذاتي للموقع: طلبات عادية يقيّمها مستوى البيانات لديك قبل حظر أي شيءمجاني
- معدل الإنذارات الكاذبة المقدَّر لكل مجموعة قواعد ومؤشر «جاهز للحظر»مجاني
- إضافات CRS للتقنية المكتشفة على موقعكمجاني
- سجل القرارات التلقائية مع الأدلة والتراجع بنقرة واحدةمجاني
- الملف التلقائي: تسجيل فقط ثم تحدٍّ ثم حظر، مجموعة قواعد في كل مرةPro وما فوق
- استثناءات تلقائية: ضيقة ومحدودة المدة، لا تُنشأ إلا بأدلة قوية من الحركة الفعليةPro وما فوق
- تراجع تلقائي عن تحديث للقواعد يحظر طلبات عاديةPro وما فوق
العودة إلى القيمة الافتراضية لخيار متقدم ممكنة دائماً. ما يحدث عند انتهاء ترخيص مدفوع موصوف في الأسئلة الشائعة عن الأسعار: 48 ساعة سماح، ثم 48 ساعة للقراءة فقط، ثم تُعطَّل حماية WAF حتى التجديد.
الأسعار Read the documentation
ضع درعاً أمام تطبيقاتك اليوم
ثبّته على خادمك الخاص، أو راسلنا للحديث عن التراخيص.