The right permission for each person
An analyst investigates without being able to publish, an approver reviews without being able to edit, a client sees their sites and nothing else.
Teams, permissions and multi-organisation
Seven built-in roles and roles of your own, limited to some sites, two-factor authentication, a tamper-evident audit log, and the management of several clients from one console with isolated organisations, quotas and invitations.
Where to find it in the console : Administration menu: Users and access, Audit log, Tenants and MSPs.
What it is for
Better protected accounts
Two-factor authentication through a TOTP app with recovery codes, scoped API tokens, and enterprise sign-in under licence.
Know who did what
Every change is recorded with the author, time, origin and before-and-after, in a hash chain you can verify.
Several clients, one console
One organisation per client, isolated from the others, with its quotas, users and reports. Your clients' sites stay protected whatever you do with their access.
A platform, providers, clients
Organisations form a tree. Everyone sees their own space and what is below it, never a neighbour's.
A tree of organisations
The platform is at the root and stays free. Below it, optional providers, then clients. A user belongs to one organisation.
Roles, per site if needed
A role is given to a person for their whole organisation or for a few sites only.
A reviewed publication
A client's administrator edits their configuration, but going live remains with a platform administrator: a client does not change what runs on shared nodes without review.
Roles and permissions
Kostenlos
A permission is written resource:action. The seven built-in roles cannot be edited; you create roles of your own to combine permissions.
- Owner, Administrator, Operator, Security analyst, Change approver, Read-only and Client (managed security service provider).
- A role can be limited to a few sites; an API token can be too, and never exceeds the rights of the person who created it.
- Four-eyes approval: a policy version goes live only after an approver agrees.
- Keep at least two owners: the product refuses to remove the last one.
Sign-in and audit log
KostenlosPro und höher
Controls on access, and the trace of every action.
- TOTP with single-use recovery codes; the secret is encrypted at rest. Hardware keys (WebAuthn, FIDO2) are not available.
- Licence required: OIDC and SAML enterprise sign-in, and SCIM provisioning.
- Audit log: who, what, when, from where, with the before and after; filters, free CSV, JSON and NDJSON export, CEF and Syslog under licence.
- Verification recomputes the hash chain and reports the first inconsistency. Secrets are never written to it.
Manage several clients
Pro und höher
The first organisation, the default one, is free. Adding clients needs a licence; reactivating, exporting and deleting are never locked.
- The « Add a client » wizard: client, quotas, first user, report brand, isolation test and handover. Nothing is created before the last step.
- Quotas on sites, users and clients; the monthly request volume is measured for your invoicing and never cuts traffic.
- A client selector limits every list to one client; an overview shows each one's protection state.
- Suspending cuts console access, not the protection. Archiving requires an export less than 24 hours old and the organisation's name, then opens a grace period before a possible deletion.
Imposed floor and client brand
Pro und höher
What is imposed from above can be tightened below, never relaxed.
- A provider imposes a minimum mode, a minimum paranoia level, maximum thresholds and protection settings; a weaker value already in place is raised without erasing anything.
- Integrations only flow downward: an integration receives the alerts of its organisation and of those below it.
- The client's name, logo and colours appear on its reports and refusal pages next to ToutWAF, never in its place.
- Invitations use a single-use link, valid for 7 days by default: no password is sent or shown.
What is not done, or not proven
We prefer to say it plainly.
- The SAML flow has not been tried end to end with a real identity provider; OIDC is the best-proven path. Keep a local owner account as a break-glass.
- Imposed rules do not cover the rule overrides, exceptions or custom rules of a site. A provider does not share its integrations downward.
- The Agency (multi-client) licence sets a ceiling of sites and nodes for all its clients together; ToutWAF invoices nobody, and the legal texts for resellers are not written.
- Sending invitations was proven against a local test SMTP server, and the grace period of an archived client by moving the end date back, without waiting for it. Nothing ran against a real ToutPanel.
Use cases
An agency managing its clients' sites
One organisation per client, a read-only Client role for them, and a monthly report in their name next to ToutWAF.
A three-person security team
An analyst, an approver and an owner: nobody puts a blocking rule live alone.
An access audit
You verify the log chain over the period, export the entries and prove who changed the policy.
What is included, by edition
The basics are free; the advanced options need a paid offer. An option under licence stays visible in the console, locked, never hidden.
EditionKostenlos In allen Angeboten enthalten, auch in den beiden kostenlosen (Free und Free +)Pro und höher Kostenpflichtige Angebote: in der Konsole sichtbar, ohne Lizenz gesperrt. Ab Pro, sofern nicht Agency oder Enterprise angegeben ist
Noch nicht unter realen Bedingungen erprobt Funktioniert in den Tests des Produkts, wurde aber noch nicht mit dem echten Dienst, System oder Gerät erprobt. Die Konsole zeigt denselben Hinweis dort, wo Sie die Funktion einrichten.
Administration und Zugriff
- Rollen und Berechtigungen: sieben eingebaute Rollen, eigene Rollen, Einschränkung pro Site (2 Benutzer in der kostenlosen Edition)Kostenlos
- TOTP-Zwei-Faktor-Authentifizierung mit Wiederherstellungscodes und API-Tokens mit begrenztem GeltungsbereichKostenlos
- Audit-Protokoll: wer, was, wann und von wo, mit Vorher und Nachher, überprüfbare Hash-Kette, Export als CSV, JSON und NDJSONKostenlos
- Exporte des Audit-Protokolls in CEF und Syslog für ein SIEMPro und höher
- Unternehmensanmeldung: OIDC- und SAML-Anbieter und SCIM-Provisionierung Noch nicht unter realen Bedingungen erprobtEnterprise
- REST-API für alles, was die Konsole kann, mit Tokens begrenzten GeltungsbereichsKostenlos
- Kommandozeilenwerkzeug: Richtlinie, Tests, Simulation, Sicherungen, DiagnoseKostenlos
- Flottenseite: Knoten, Versionen, Registrierungstoken und koordinierte Updates der KnotenKostenlos
- Lizenz: ein signierter Schlüssel, auf Ihrer Maschine geprüft, ohne Prüfung über das Netz; bei Ablauf 48 Stunden Karenzzeit, dann 48 Stunden Nur-LesenKostenlos
Mandanten und MSPs
- Eine Organisation, die Standardorganisation, ist in der kostenlosen Edition enthaltenKostenlos
- Assistent „Kunden hinzufügen“: Kunde, Kontingente, erster Benutzer, Berichtsmarke, Isolationsprüfung und ÜbergabeAgency und höher
- Strikte Isolation zwischen Kunden, durch Tests für jede Routenfamilie geprüftAgency und höher
- Kontingente je Kunde (Sites, Benutzer); das monatliche Anfragevolumen wird gemessen und unterbricht nie den VerkehrAgency und höher
- Kundenauswahl und Mehrkunden-Übersicht mit dem Schutzstatus jedes KundenAgency und höher
- Einen Kunden sperren, archivieren, exportieren und löschen; Reaktivieren, Exportieren und Löschen sind nie gesperrtAgency und höher
- Verschieben einer Site von einem Kunden zu einem anderenAgency und höher
- Ein von oben vorgegebenes Mindestniveau der RichtlinieAgency und höher
- Einladungen per Einmal-Link: Es wird nie ein Passwort verschicktAgency und höher
- PDF-Berichte je Kunde, zeitgesteuert; Nutzungsexport als CSV für Ihre eigene AbrechnungAgency und höher
- Name, Logo, Farben und Support-Kontakt des Kunden in dessen Berichten, neben ToutWAF und nie an dessen StelleAgency und höher
- Reseller-Lizenz: ein Kontingentpool, der von allen Ihren Kunden gemeinsam genutzt wirdAgency und höher
Zum Standardwert einer erweiterten Option zurückzukehren ist immer möglich. Was am Ende einer kostenpflichtigen Lizenz geschieht, steht in den FAQ zu den Preisen: 48 Stunden Karenzzeit, 48 Stunden Nur-Lesen, danach WAF-Schutz aus bis zur Verlängerung.
Stellen Sie noch heute einen Schild vor Ihre Anwendungen
Installieren Sie es auf Ihrem eigenen Server oder schreiben Sie uns, um über Lizenzen zu sprechen.