Auto-hébergé et souverain
Vous l'installez sur vos serveurs : le trafic ne sort pas de votre infrastructure. Les flux de règles sont téléchargés par le plan de contrôle et peuvent être importés hors ligne.
À propos de ToutWAF
ToutWAF est un pare-feu applicatif web complet (WAAP) que vous hébergez vous-même : ce qu'il protège, comment il est conçu, où en est le produit, ce qu'il ne fait pas, et où trouver de l'aide.
Ce que c'est
Un WAF inspecte le trafic HTTP et bloque des attaques comme l'injection SQL ; un WAAP y ajoute ce dont les applications modernes ont besoin.
Détection d'abord
Un nouveau site démarre en détection : les attaques sont enregistrées, rien n'est bloqué. Un rapport dit ce qui aurait été bloqué avant que vous passiez en blocage, et vous pouvez revenir en arrière d'un clic.
Explicable
Chaque événement montre la règle, les données en cause et propose « c'est un faux positif » avec l'aperçu de l'exception la plus étroite.
Le plan de données ne dépend pas du plan de contrôle
Il garde la dernière bonne politique sur disque et continue de protéger si le plan de contrôle est arrêté. Une licence ou un quota n'interrompt jamais le trafic.
Ce qu'il protège
Les grandes familles, détaillées sur la page des fonctionnalités.
- Attaques applicatives (injections SQL, XSS, commandes, fichiers, SSRF, XXE, désérialisation) et abus de protocole.
- Robots et fraude, inondations de requêtes (limites de débit, mode « sous attaque »), contrôle d'accès par adresse, pays et réputation.
- API (validation de schéma, JWT, clés d'API), fuites de données dans les réponses, sécurité côté navigateur (CSP, en-têtes, cookies).
- Les outils pour exploiter le tout : simulation, déploiement progressif, retour arrière, politique en fichiers.
Où en est le produit
Nous préférons le dire clairement.
- La version publique est une version de développement, 0.3.0-dev. Aucune version stable n'existe : elle ne sera publiée que lorsque tout aura été testé de bout en bout.
- Les fonctions qui fonctionnent dans les tests mais n'ont jamais été essayées avec le vrai service, le vrai système ou le vrai matériel portent la mention « pas encore éprouvé » dans la console et sur ce site. Le pare-feu, le VPN et la passerelle de courrier sont expérimentaux et désactivés par défaut.
- Les chiffres de performance et de détection de la documentation viennent d'un corpus synthétique du projet et d'une machine virtuelle partagée : ce ne sont pas des mesures indépendantes.
- La documentation liste aussi ce qui n'est pas fait ni vérifié sur de vrais systèmes.
Ce qu'il ne fait pas
Dit clairement, pour ne rien promettre de trop.
- HTTP/3 n'est pas proposé ; le réseau de défense collectif n'est pas offert dans cette version.
- Un seul plan de contrôle actif : une console de secours le suit et se promeut à la main. Les données sont dans SQLite, PostgreSQL n'est pas implémenté.
- L'opérateur Kubernetes et le fournisseur Terraform sont des squelettes, pas des produits finis.
- ToutWAF ne gère jamais vos enregistrements DNS : il vous dit lesquels créer et les vérifie.
Obtenir de l'aide
Du plus simple au plus direct.
- Le Docteur ToutWAF de la console diagnostique la machine, les ports, le DNS, le certificat et l'origine, et dit quoi faire.
- La documentation traite le dépannage par symptôme, la FAQ et chaque code d'erreur TW-xxxx avec sa cause et son remède.
- Pour signaler un problème, joignez le rapport du Docteur, la version, l'identifiant d'incident et le code d'erreur, jamais de jeton ni de clé. Écrivez-nous depuis la page Contact.
- Une vulnérabilité se signale en privé, depuis la page Sécurité, pas dans un ticket public.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.