Contrôler aussi ce qui sort
Une attaque réussie se voit souvent dans la réponse : fuite de données, sortie d'un webshell, page défigurée. ToutWAF inspecte la réponse avant qu'elle atteigne le visiteur.
Protection des données (DLP)
Ce qui sort de vos applications est contrôlé aussi : une trace de pile ne parvient pas au visiteur, les bannières sont retirées, les cartes bancaires, IBAN et clés qui fuient dans une réponse sont repérés, masqués ou bloqués, et vos journaux ne contiennent ni mot de passe ni jeton.
Où le trouver dans la console : menu Protection : Prévention des fuites de données ; Confidentialité dans Rapports et conformité.
À quoi ça sert
Ne rien révéler par une erreur
Une trace de pile ou une erreur de base de données est remplacée par une page générique. C'est actif par défaut.
Repérer les données sensibles
Cartes bancaires, IBAN, identifiants nationaux, clés d'API, clés privées et longues listes d'adresses e-mail : journalisés, masqués ou bloqués selon votre choix.
Des journaux sans secrets
Les valeurs des champs sensibles (mot de passe, jeton, carte...) sont remplacées par *** avant d'être enregistrées.
Comment la réponse est contrôlée
L'inspection des réponses est active par défaut ; la détection des données sensibles se choisit site par site.
L'origine répond d'abord
Votre serveur traite la requête normalement ; ToutWAF reçoit sa réponse.
Les détecteurs lisent la réponse
Jusqu'à 1 Mio de la réponse par défaut, pour y chercher erreurs, secrets, données personnelles et signes de webshell ou de défiguration.
L'action que vous avez choisie
Journaliser, masquer (par défaut) ou bloquer. Le visiteur reçoit la réponse nettoyée, ou une erreur 502 si vous bloquez.
Ce qui est détecté
Gratuit
La détection des données sensibles (DLP) est désactivée par défaut ; vous l'activez par site et vous choisissez les types.
- Cartes bancaires de 13 à 19 chiffres validées par l'algorithme de Luhn, et IBAN validés par leur clé de contrôle.
- Identifiants nationaux de forme connue, clés d'API et secrets, blocs de clé privée.
- Plus de 25 adresses e-mail dans une réponse (seuil réglable) : une liste qui fuit.
- Les types détectés par défaut sont carte, IBAN, identifiant national, e-mail, clé d'API et clé privée.
Erreurs et bannières
Gratuit
Deux protections actives par défaut.
- Masquage des erreurs : une trace de pile, ou une erreur de base de données renvoyée avec un code 500 à 504, est remplacée par une page générique.
- Les bannières Server, X-Powered-By, X-AspNet-Version, X-AspNetMvc-Version et X-Generator sont retirées de la réponse.
Sorties dangereuses
Gratuit
Des signes d'une compromission déjà en cours.
- Sortie de webshell (active par défaut), listages de répertoires, code source et cartes de sources.
- Défiguration, d'après des mots-clés que vous fixez (désactivée par défaut).
- Une taille maximale de réponse, si vous en voulez une (illimitée par défaut).
Des journaux sans mot de passe
Gratuit
Les événements ne contiennent pas les secrets que vos visiteurs ont tapés.
- Les champs dont le nom figure dans la liste (mot de passe, jeton, autorisation, clé d'API, carte, cryptogramme, IBAN...) sont remplacés par *** dans l'adresse, un formulaire, un corps JSON et l'extrait d'une règle.
- Vous ajoutez vos propres noms de champs dans Rapports et conformité ; ils s'appliquent aussi à la lecture des événements déjà enregistrés.
- La capture de charge utile se coupe, et la minimisation des journaux peut supprimer aussi la chaîne de requête, l'agent utilisateur et le référent.
- Les réponses de votre API sont aussi classées par type de donnée sensible pour l'inventaire des API, sans rien bloquer.
Ce qui n'est pas fait, ou pas éprouvé
Nous préférons le dire clairement.
- Les motifs personnalisés (vos propres expressions régulières) ne sont pas pris en charge : la carte a été retirée et l'API les refuse. La passerelle de courrier, sous licence, accepte en revanche vos propres mots et expressions.
- L'inspection porte sur les premiers 1 Mio d'une réponse par défaut ; le reste n'est pas lu.
- Une détection reste une détection : un faux positif est possible (un numéro qui ressemble à une carte). Commencez par journaliser avant de masquer ou de bloquer.
- Un nom de champ ajouté masque aussi les événements déjà enregistrés à la lecture, mais la copie stockée n'est pas réécrite, ni les sauvegardes déjà faites.
Cas d'usage
Une application qui affiche des traces d'erreur
Le visiteur voit une page générique, vos journaux gardent la trace pour que vous corrigiez.
Un export qui fuit des cartes
Vous journalisez d'abord, vérifiez les cas, puis vous passez au masquage.
Des mots de passe dans les journaux
Les champs sensibles sont masqués avant d'être enregistrés, y compris ceux que vous nommez vous-même.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
- Masquage des erreurs : une trace de pile ou une erreur de base de données n'atteint jamais le visiteurGratuit
- Bannières Server et X-Powered-By retiréesGratuit
- Détection de fuites : cartes bancaires (Luhn), IBAN, identifiants nationaux, clés d'API, clés privées, listes d'e-mailsGratuit
- Journaliser, masquer ou bloquer les données sensibles dans les réponsesGratuit
- Sortie de webshell, défiguration, listages de répertoires et cartes de sources détectésGratuit
- Événements et journaux : mots de passe, jetons et numéros de carte masquésGratuit
- Champs à masquer par leur nom : la valeur est remplacée par *** à la réception de l'événement, dans l'adresse, un formulaire ou un corps JSONGratuit
- Limite de taille des réponsesGratuit
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.