ToutWAF, la plateforme WAAP auto-hébergée : WAF, protection des API, anti-bot, anti-DDoS de couche 7 et sécurité côté client, pilotés depuis une seule console. Il veille aussi sur ce qui entoure vos sites : serveurs (tableaux de bord en direct, audit de sécurité, correctifs en un clic), antivirus de poste et passerelle de courrier. D'abord le mode détection, le blocage quand vous êtes prêt.
Des dizaines de distributions Linux et de versions, Windows, Docker et Kubernetes, en x86_64 et en ARM 64 bits.
Linux Mint / LMDE, Pop!_OS, Zorin OS, elementary OS
Fini l'assemblage d'un WAF, d'une passerelle API, d'un outil anti-bot et d'un bouclier DDoS. ToutWAF les réunit.
OWASP Top 10, CRS et SecLang, patching virtuel.
Profil de routes, JWT, limites GraphQL, découverte ; validation de schéma sous licence.
Empreintes, défis, score de bot, crawlers IA.
Limites multi-clés, détection de flood, abus HTTP/2.
Générateur de CSP, inventaire des scripts tiers, motifs d'écumeurs de cartes.
Chaque requête passe par un seul pipeline : listes, géolocalisation, réputation, limites, anti-bot et détection par signatures avec score d'anomalie.
$ curl -i "https://shop.example.com/?id=1' OR '1'='1" HTTP/2 403 x-toutwaf: blocked x-toutwaf-code: TW-2001 rule: sqli.tautology score 15/5
De la détection par signatures à la sécurité des serveurs, des postes et du courrier : chaque fonction dit si elle est gratuite ou sous licence. Pas d'enfermement chez un fournisseur cloud.
Injections, désérialisation, contrebande de requêtes, téléversements, scanners et attaques de CMS, inspectés à chaque requête en mode détection ou blocage.
Un profil de routes d'abord en apprentissage, la couverture de l'OWASP API Top 10, jetons, clés et limites GraphQL ; validation de schéma et formules de consommateurs sous licence.
Un score de bot explicable, des défis, des robots d'indexation vérifiés, des empreintes TLS, une politique pour les robots d'IA et des limites d'abus.
Des limites par clé, la détection d'inondation, un mode sous attaque et des garde-fous de connexion contre les attaques lentes et les abus HTTP/2.
Listes, pays, réputation et bannissements automatiques ; degrés par pays, seuils et simulation sous licence.
ToutWAF règle lui-même ses faux positifs et fait passer un site de l'observation au blocage, avec des preuves que vous pouvez auditer et annuler.
Gérez plusieurs clients depuis une console : une organisation par client, quotas, isolation, invitations et rapports par client. L'organisation par défaut est gratuite, le reste est sous licence.
Ajoutez vos serveurs existants et surveillez-les depuis la même console, avec un petit agent pour Linux et Windows qui n'ouvre que des connexions sortantes.
Sauvegarde de la console et des serveurs que vous supervisez, avec des tests de restauration ; une console de secours reprend la main sur décision de votre part.
Une passerelle Postfix et Rspamd que ToutWAF installe et gère en SSH sur un serveur à vous, devant votre vrai serveur de messagerie. Pas d'édition gratuite.
Une console personnalisable en 10 langues, dont l'arabe de droite à gauche, accessible sous un chemin secret.
L'installeur vérifie d'abord votre système. Une commande sur un Linux pris en charge, un script sous Windows, ou les fichiers Docker et Kubernetes.
Indiquez le domaine et l'origine. ToutWAF obtient le certificat, détecte votre stack et propose un modèle de politique.
Le mode détection passe en premier. Consultez le rapport, passez en blocage en un clic, et revenez en arrière en un clic aussi.
Un WAF qui bloque les mauvaises requêtes coûte plus qu'il ne protège. ToutWAF démarre en mode détection, montre ce qu'il aurait bloqué, vous laisse tester un changement sur le trafic passé et explique chaque décision. Il ne peut pas promettre zéro faux positif, et aucun chiffre n'est publié sur ce point.
Le mode détection est celui par défaut. À la fin de la période d'observation, un rapport propose des exceptions étroites pour les faux positifs récurrents.
Rejouez le trafic enregistré contre une politique en brouillon et voyez ce qu'elle aurait bloqué.
Passez au blocage en un clic, ou déployez-le d'abord sur une part des nœuds ou des requêtes, et revenez en arrière en une étape.
TW-2001Aperçu d'impact : 0,01 % du trafic des 7 derniers jours serait concerné.
Conçu pour les organisations qui doivent garder la maîtrise de leurs données.
Le trafic et les journaux restent sur votre infrastructure, dans la juridiction de votre choix. Pas de cloud obligatoire, pas de télémétrie ; les rares connexions sortantes (mises à jour, définitions, certificats) sont listées dans la documentation.
Pseudonymisation des IP, minimisation des journaux, capture de charge utile masquée, rétention réglable, export et effacement par adresse.
Une piste d'audit vérifiable et des éléments de preuve rattachés à des contrôles (PCI DSS 4.0, NIS2, DORA, ISO 27001, SOC 2) à partir de l'état réel de la plateforme. Ce sont des preuves, pas une attestation : ToutWAF ne détient aucune certification.
Captures réelles de la console : tableaux de bord en direct, note de sécurité de A à F, correctifs en un clic et une apparence que vous personnalisez.
La console de ToutWAF vous donne le contrôle complet : attaques en direct, événements expliqués, sites, règles, bannissements et certificats, avec sept thèmes, des modes clair et sombre et une mise en page qui fonctionne sur un téléphone. Illustration avec des données de démonstration.
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.