Distinguer humains et automates
Chaque requête reçoit un score de 0 (humain) à 100 (automate), somme de signaux que l'événement détaille : agent utilisateur, empreinte TLS, cohérence des en-têtes, réputation de l'adresse, rythme.
Gestion des bots et anti-robot
Un score de bot explicable, des défis qui ne gênent pas les humains, des robots d'indexation vérifiés, une politique pour les robots d'IA et un mode « Sous attaque ». Vos outils (git, curl, installateurs, appels d'API) ne sont pas bloqués par le défi du navigateur.
Où le trouver dans la console : menu Protection : Bots et Limitation de débit ; le bouton rouge « Sous attaque » de la barre du haut.
À quoi ça sert
Répondre en proportion
Journaliser, défier, ralentir ou bloquer selon le score, avec des seuils que vous réglez. Un visiteur qui réussit un défi reçoit un cookie et n'est plus dérangé.
Garder les bons robots
Googlebot et les autres robots d'indexation sont reconnus par DNS inverse, un faux est bloqué. Les robots d'IA ont leur propre politique.
Ne pas casser vos outils
git, curl, les installateurs et les appels d'API ne peuvent pas passer un défi de navigateur. Ils en sont exemptés par défaut, même en mode Sous attaque.
Du score à l'action
Le module anti-robot est désactivé par défaut : vous l'activez site par site. Son mode par défaut est « graduée ».
Un score de 0 à 100
Un agent utilisateur de scanner, une empreinte TLS refusée, un faux robot d'indexation ou une adresse mal réputée font monter le score. Un cookie de passage valide le fait baisser.
Une action graduée
Par défaut : journaliser dès 30, défier dès 60, ralentir dès 80, bloquer dès 90. Les modes sont désactivé, détection (score et journal seulement), toujours défier, ou gradué.
Un cookie de passage
Après un défi réussi, le visiteur reçoit un cookie signé, lié à son adresse, valable une heure par défaut.
Des défis qui respectent la vie privée
Gratuit
Le défi est une page intermédiaire disponible en dix langues.
- Preuve de travail invisible (par défaut) : le navigateur résout un petit calcul et signale des signes d'automatisation, sans rien demander à la personne.
- Contrôle JavaScript sans calcul, ou CAPTCHA intégré à image vectorielle (caractères déformés ou petite addition) dont la réponse ne quitte jamais le serveur.
- Cloudflare Turnstile, hCaptcha ou reCAPTCHA en option explicite : l'adresse du visiteur part alors chez le fournisseur et son script est chargé dans le navigateur.
- Sans clé valide, le site retombe sur la preuve de travail. Si le fournisseur est injoignable, le visiteur reste sur le défi, ou passe selon votre réglage.
Pas encore essayée en conditions réellesLes services Turnstile, hCaptcha et reCAPTCHA réels n'ont jamais été essayés. Ouvrez votre site dans une fenêtre privée pour vérifier le défi avant de compter dessus.
Robots d'indexation vérifiés
Gratuit
Un robot qui se dit Googlebot est confirmé par DNS inverse confirmé en avant, ou par des plages d'adresses publiées.
- La liste intégrée couvre Googlebot, Bingbot, Applebot, DuckDuckBot, YandexBot, Baiduspider, Slurp et les robots de Facebook, X et LinkedIn.
- Un robot qui prétend en être un et échoue à la vérification est bloqué comme usurpateur.
Robots d'IA
Gratuit
Une politique par site : autoriser, journaliser (par défaut), défier ou bloquer, avec une liste d'exceptions.
- La liste intégrée couvre GPTBot, ClaudeBot, PerplexityBot, CCBot, Bytespider, Amazonbot et d'autres.
- Vous pouvez autoriser un partenaire et bloquer le reste, robot par robot.
Mode « Sous attaque »
Gratuit
Un interrupteur qui oblige chaque visiteur à passer un défi avant d'atteindre vos sites, le temps de l'attaque.
- Le bouton « Sous attaque » de la barre du haut s'applique à tous les sites tout de suite, après confirmation. Il est réservé aux administrateurs de la plateforme et s'éteint seul après deux heures.
- Par l'API, le mode peut aussi viser quelques sites seulement, avec une durée de votre choix.
- Tous les visiteurs sont défiés (preuve de travail), sauf ceux qui détiennent déjà un cookie de passage valide, les moteurs de recherche vérifiés, les adresses de votre liste d'autorisation et les clients programmatiques exemptés.
- La détection d'inondation peut aussi l'activer seule (désactivée par défaut), avec un délai de retour au calme de 300 secondes par défaut.
Les clients programmatiques ne sont pas défiés
Gratuit
Un programme ne peut pas passer un défi de navigateur. Avant, un git clone, un téléchargement ou le déploiement Git d'un panel recevait une erreur 403 sur la page « Vérification de votre navigateur ». Ces clients sont désormais exemptés par défaut du défi imposé à tous les visiteurs : en mode « toujours défier » comme en mode Sous attaque.
- Une requête est exemptée si son chemin correspond (par défaut les chemins Git comme git-upload-pack, les fichiers bruts de GitLab et /api/), si son agent utilisateur commence par git, curl, wget, Go-http-client, python-requests (ou contient PowerShell), ou si elle porte un en-tête Authorization ou PRIVATE-TOKEN.
- Les trois listes se règlent par site, et un seul réglage (ANTIBOT_EXEMPT_API) désactive l'exemption pour défier les programmes comme des navigateurs.
- L'exemption ne saute que le défi : les règles d'attaque, les limites de débit, la réputation des adresses et les listes d'accès s'appliquent à ces requêtes comme aux autres.
- Ce n'est pas une authentification : un agent utilisateur et un en-tête s'écrivent à la main. Si votre site s'appuie sur le défi pour un chemin sous /api/, restreignez la liste des chemins ou désactivez l'exemption pour ce site.
- Les nœuds doivent exécuter la version qui contient cette exemption ; un nœud plus ancien défie encore les chemins et les en-têtes.
Connexions, inscriptions et empreintes
Gratuit
Des protections plus ciblées contre les abus.
- Limites sur les chemins de connexion (10 tentatives en 300 secondes par défaut), sur les codes à usage unique (5 par heure par défaut) et détection du bourrage d'identifiants.
- Inscriptions refusées avec une adresse e-mail jetable (désactivé par défaut).
- Empreintes TLS JA3 et JA4 quand ToutWAF termine le TLS : refus d'outils connus, limite de débit par empreinte, contrôle de cohérence avec l'agent utilisateur.
- Détection des navigateurs sans interface (headless) pendant le défi.
Ce qui n'est pas fait, ou pas éprouvé
Nous préférons le dire clairement.
- Les services CAPTCHA externes sont codés mais n'ont jamais été essayés avec les vrais fournisseurs.
- Ne sont pas faits : la biométrie comportementale, la détection de prise de contrôle de compte et de test de cartes, la détection du pillage de contenu ou de stock, et la vérification des mots de passe divulgués.
- ToutWAF traite les inondations de couche 7 dans la limite de ce qu'un nœud peut traiter ; ce n'est pas un service de nettoyage volumétrique (couches 3 et 4). Gardez la protection de votre hébergeur devant lui.
- Les compteurs de limites vivent en mémoire de chaque nœud : avec plusieurs nœuds, la limite effective par client est à peu près multipliée par leur nombre, sauf si le répartiteur fixe un client sur un nœud.
Cas d'usage
Une boutique visée par un bourrage d'identifiants
Limite sur la page de connexion, détection des nombreux comptes essayés depuis un client, défi pour les scores élevés.
Une attaque en cours
Un clic sur « Sous attaque » : chaque visiteur passe un défi, vos déploiements Git et vos appels d'API continuent.
Décider pour les robots d'IA
Vous autorisez un partenaire, journalisez les autres pendant un mois, puis vous décidez de les défier ou de les bloquer.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Pas encore essayée en conditions réelles Fonctionne dans les tests du produit, mais n'a pas encore été essayée avec le vrai service, le vrai système ou le vrai matériel. La console affiche la même mention à l'endroit où vous la configurez.
Bots, abus et trafic d'IA
- Score de bot explicable de 0 à 100, utilisable dans les règles et visible dans les événementsGratuit
- Actions graduées : journaliser, défier, ralentir, leurrer, bloquerGratuit
- Preuve de travail invisible, contrôle JavaScript ou CAPTCHA intégré respectueux de la vie privéeGratuit
- Cloudflare Turnstile, hCaptcha ou reCAPTCHA en option explicite (l'adresse du visiteur part alors chez le fournisseur) Pas encore essayée en conditions réellesGratuit
- Robots d'indexation vérifiés par DNS inverse : un faux Googlebot est bloquéGratuit
- Politique pour les robots d'IA (GPTBot, ClaudeBot et autres) : autoriser, journaliser, défier ou bloquerGratuit
- Empreintes TLS JA3 et JA4, utilisables pour refuser des outils et pour limiter le débitGratuit
- Cohérence des en-têtes : agent utilisateur, empreinte TLS, ordre des en-têtesGratuit
- Signaux de navigateur sans interface (headless), contrôlés pendant le défiGratuit
- Limites sur les connexions, les codes à usage unique et le bourrage d'identifiantsGratuit
- Inscriptions refusées avec une adresse e-mail jetableGratuit
Anti-DDoS de couche 7 et limitation de débit
- Interrupteur global « sous attaque » en un clic, depuis la barre du hautGratuit
- Détection adaptative d'inondation et mode sous attaque automatiqueGratuit
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.