Être prévenu de ce qui compte
Nœud hors ligne, certificat qui expire, nouvelle attaque grave, pic d'attaques, sauvegarde trop vieille, sonde en panne : une règle par sujet, avec une gravité et un délai anti-répétition.
Alertes et incidents
Des règles d'alerte qui vous préviennent de ce qui compte, et des incidents qui regroupent des milliers d'événements en une seule campagne d'attaque. Vous recevez l'essentiel par e-mail, Slack, Teams ou un outil de garde, et vous agissez depuis l'incident.
Où le trouver dans la console : menu Analyse : Alertes ; menu Général : Incidents et Événements ; menu Administration : Intégrations.
À quoi ça sert
Voir une campagne, pas du bruit
Les événements d'attaque liés sont regroupés en incidents, avec leurs sources, leurs pays, leurs règles et leurs chemins les plus touchés.
Agir depuis l'incident
Changez son statut, bannissez toutes ses sources pour 24 heures après confirmation, ou transformez un événement en exception.
Relier vos outils
Six types de notification sont gratuits ; les modules SIEM, tickets et SOAR sont sous licence.
De la règle à l'acquittement
Des règles par défaut existent dès le premier démarrage ; vous en ajoutez d'autres.
Une règle surveille
Un seuil, une anomalie, une nouvelle attaque, un nœud muet, un certificat proche de l'expiration, une définition périmée, une sauvegarde en retard, un serveur ou une tâche planifiée en échec.
Une alerte s'ouvre
Elle porte une gravité et un message. Un délai anti-répétition, de 15 minutes à 24 heures, évite l'inondation ; elle reste ouverte jusqu'à ce que quelqu'un l'acquitte.
Vous êtes prévenu
L'alerte part vers les canaux choisis pour la règle. Vous l'acquittez dans la console ou par l'API.
Ce que les règles peuvent surveiller
Les règles créées au premier démarrage couvrent l'essentiel ; vous pouvez en ajouter et ajuster leurs seuils.
- Le trafic : seuil sur une mesure, anomalie de comportement, nouvelle attaque de gravité choisie, pic d'attaques.
- L'infrastructure : nœud hors ligne, serveur web injoignable, origine saturée, sonde de disponibilité en panne, mesure d'un serveur supervisé.
- Les certificats et les définitions : certificat qui expire, définitions de menaces périmées.
- Les sauvegardes en échec ou trop anciennes, les problèmes de la passerelle de courrier et les tâches planifiées qui échouent deux fois de suite.
- Des règles sont actives dès le premier démarrage, notamment nœud hors ligne, certificat qui expire, nouvelle attaque grave, pic d'attaques, définitions périmées, sauvegarde trop ancienne et anomalie, et d'autres pour les fonctions que vous ajoutez. La règle de pic d'erreurs 5xx de l'origine existe mais est désactivée.
Incidents : une campagne plutôt que des milliers de lignes
Gratuit
ToutWAF regroupe les événements d'attaque d'un même site et d'une même catégorie tant qu'ils se suivent à moins de 15 minutes d'écart.
- Un incident n'apparaît qu'à partir de 5 événements, ou de 2 s'il est critique : une visite isolée d'un scanner est du bruit, pas une campagne.
- Statuts : ouvert, en cours de traitement, résolu, faux positif. Un incident sans nouvel événement depuis 30 minutes est résolu automatiquement.
- La page de blocage montre un identifiant de référence : un visiteur qui vous le donne vous mène à l'événement.
- Un résumé par l'assistant IA est facultatif ; l'assistant fonctionne hors ligne avec des réponses intégrées, et un fournisseur externe n'est qu'un choix explicite de votre part.
Notifications
GratuitPro et plus
Les notifications partent pour les incidents, les alertes et les rapports, pas pour chaque événement.
- Gratuit : e-mail, webhook générique signé, Slack, Microsoft Teams, PagerDuty et Opsgenie, avec des filtres (par exemple une gravité minimale) et un bouton de test.
- Sous licence : SIEM et journaux (Syslog, Splunk, Elastic, Sentinel...), autres messageries, tickets (Jira, GLPI, ServiceNow...), SOAR et renseignement sur les menaces.
- L'e-mail passe par le serveur SMTP de la plateforme, ou par celui que vous indiquez.
Événements, recherche et métriques
Gratuit
Derrière chaque incident, les événements restent consultables.
- Vue d'événement avec chronologie et explication : quoi, où, pourquoi ; langage de recherche, recherches enregistrées, export CSV et NDJSON, flux en direct.
- Testeur de règles pour rejouer une requête, carte des attaques en direct et rejouable.
- Métriques Prometheus et traces OpenTelemetry ; conservation réglable, avec ClickHouse en option pour les gros volumes.
Ce qui n'est pas fait, ou pas éprouvé
Nous préférons le dire clairement.
- Les règles créées au premier démarrage n'ont aucun canal de notification : elles s'affichent dans la console tant que vous n'en avez pas choisi. Ajoutez au moins un canal à chaque règle qui compte pour vous.
- Les modules SIEM et tickets ont été essayés contre des serveurs de test locaux, pas contre un vrai SIEM ni un vrai service de tickets. Le bouton de test de l'intégration envoie un vrai message et montre la réponse.
- Le réseau de défense collective n'est pas proposé dans cette version : rien n'est envoyé à un tiers.
- Les compteurs de limites et les bannissements automatiques du plan de données sont propres à chaque nœud ; les bannissements que vous créez dans la console sont publiés sur tous les nœuds.
Cas d'usage
Une astreinte qui reçoit l'essentiel
Les alertes de gravité haute partent vers PagerDuty ou Opsgenie, le reste vers un canal Slack.
Comprendre une attaque en cours
Un incident montre d'où elle vient, quelles règles réagissent et quels chemins sont visés ; vous bannissez ses sources en un clic.
Ne pas rater un certificat
Une alerte quatorze jours avant l'expiration, et une métrique à surveiller dans votre propre outil.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Événements et observabilité
- Journaux JSON structurés, avec capture de charge utile masquéeGratuit
- Vue d'événement avec chronologie et explication en langage clair : quoi, où, pourquoiGratuit
- Langage de recherche d'événements, recherches enregistrées, export CSV et NDJSON, flux en directGratuit
- Incidents : des milliers d'événements regroupés en une attaque, avec un identifiant d'incident sur la page de blocageGratuit
- Testeur de règles : rejouez une requête contre la politique actuelle et voyez la décisionGratuit
- Métriques Prometheus et traces OpenTelemetryGratuit
- Rétention réglable, avec ClickHouse en option pour les gros volumes d'événementsGratuit
- Alertes sur des seuils, des anomalies, des certificats qui expirent et des nœuds hors ligneGratuit
- Carte des attaques : en direct et rejouable, à plat ou en globe, mode TV, couleurs qui suivent le thèmeGratuit
Intégrations
- Notifications d'alerte : e-mail, webhook générique signé, Slack, Microsoft Teams, PagerDuty, OpsgenieGratuit
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.