Un producto de seguridad debe ser, ante todo, digno de confianza. Así se diseña, se construye y se entrega ToutWAF, y lo que hace por su control sobre sus datos.
Un plano de datos en Rust y un plano de control en Go, entregados como binarios nativos, sin entorno de ejecución que instalar. El evaluador SecLang y los detectores son código propio del proyecto; los conjuntos de reglas de terceros, como el OWASP CRS, se descargan como datos. El código fuente no se publica: el repositorio público solo contiene binarios e instaladores.
Las versiones se verifican antes de instalarse (SHA-256, y firma Ed25519 cuando hay una clave de versión), y una actualización fallida se revierte sola. Las definiciones se verifican y pueden revertirse.
Usuario de servicio sin privilegios, refuerzo de systemd, TLS en la consola, consola accesible solo bajo una ruta secreta, contraseñas con hash, protección CSRF, bloqueo tras intentos fallidos y autenticación de dos factores TOTP.
Las peticiones de sus visitantes, sus sitios y sus archivos permanecen en sus servidores. Sin telemetría, sin seguimiento, sin comprobación de licencia por la red. Las pocas conexiones salientes (actualizaciones, definiciones, certificados) figuran en la documentación. Las peticiones que el producto dirige a terceros (definiciones, certificados, integraciones, consultas de direcciones) usan identificadores neutros: no nombran a ToutWAF ni su versión.
El modo solo detección, las excepciones por regla, la simulación y la reversión en un paso permiten desplegar sin romper la producción.
¿Ha encontrado una vulnerabilidad? Escriba al contacto de seguridad que figura abajo.
Diseñado para las organizaciones que deben conservar el control de sus datos.
El tráfico y los registros permanecen en su infraestructura, en la jurisdicción que usted elija. Sin nube obligatoria, sin telemetría; las pocas conexiones salientes (actualizaciones, definiciones, certificados) figuran en la documentación.
Seudonimización de IP, minimización de registros, captura de carga útil enmascarada, retención configurable, y exportación o borrado por dirección.
Un rastro de auditoría verificable y pruebas asociadas a controles (PCI DSS 4.0, NIS2, DORA, ISO 27001, SOC 2) a partir del estado real de la plataforma. Son pruebas, no una atestación: ToutWAF no posee ninguna certificación.
El plano de datos sigue protegiendo con la última política si el plano de control no está disponible. Fail-open o fail-closed por aplicación.
Todo lo que hace la consola también está disponible mediante la API REST, la línea de comandos y archivos de política YAML o JSON. Exporte su política cuando quiera.
Importación de SecLang y OWASP CRS v4: sus reglas y su experiencia actuales siguen valiendo.
