Une panne, une page
Un site ne répond pas, un certificat n'est pas émis, le trafic ne passe pas : le Docteur vérifie tout de bout en bout au lieu de vous laisser deviner.
Docteur et mises à jour sûres
Un seul diagnostic, de la machine jusqu'à l'origine de vos sites, qui dit ce qui ne va pas et quoi faire, avec vos valeurs déjà remplies. Et des mises à jour de ToutWAF qui vérifient la somme de contrôle, sauvegardent avant et reviennent seules en arrière si la nouvelle version ne démarre pas.
Où le trouver dans la console : Console : Infrastructure > Docteur ToutWAF ; en ligne de commande : toutwafctl doctor ; mises à jour : Administration > Mises à jour.
À quoi ça sert
La cause et l'action
Chaque constat donne sa cause et ce qu'il faut faire, avec vos propres valeurs (adresses, noms, ports) déjà remplies.
Le même contrôle partout
La console, l'API REST, la ligne de commande et la vérification avant chaque commande de certificat utilisent le même contrôle : ils ne peuvent pas se contredire.
Un rapport à envoyer
Un texte brut à copier ou télécharger pour le support. Il contient les contrôles et les adresses de votre installation, rien sur vos visiteurs ni sur le contenu de vos pages.
Ce qu'il contrôle
Chaque carte est verte, orange (à surveiller), rouge (à corriger) ou grise (non contrôlé, avec la raison).
ToutWAF
Un nœud du plan de données est enrôlé et en ligne ; la politique est publiée et appliquée par les nœuds ; en ligne de commande, les services sont actifs.
Cette machine
Les ports locaux (80, 443, 9443, 9444) écoutent, le pare-feu de la machine laisse entrer les ports web, et aucune règle firewalld ne vise l'adresse de ToutWAF. Rien n'est modifié automatiquement.
DNS en IPv4 et IPv6
Chaque enregistrement A et AAAA de chaque nom de site mène bien à ce ToutWAF. Il repère le piège classique : un AAAA resté chez un CDN ou un proxy alors que le A pointe ici.
Certificat
Les prérequis d'une commande de certificat (nœud, politique, port 80, DNS), puis l'état du certificat stocké : absent, en attente, dernière commande échouée avec le message de l'autorité, expiré ou bientôt expiré.
Joignable depuis Internet
En option, le serveur de test (staging) de Let's Encrypt essaie d'atteindre le port 80 de votre site depuis l'extérieur ; aucun certificat n'est conservé.
Origine, tâches planifiées, anti-bot
L'origine répond (connexion refusée, erreur 5xx, certificat non approuvé, adresse protégée), y compris après un changement d'adresse ; les tâches planifiées en échec ou manquées ; les programmes (git, curl) défiés par erreur par l'anti-bot.
Mises à jour du produit depuis la console
La page Mises à jour propose une nouvelle version dès sa publication et peut l'installer sur le serveur où elle tourne.
- Deux canaux : stable (une version seulement quand tout a été testé) et développement (bêta, pouvant contenir des bogues, pas pour la production). Pour l'instant aucune version stable n'est publiée.
- La somme de contrôle est vérifiée, une sauvegarde de la configuration et de la base est faite avant, et si la nouvelle version ne démarre pas ou échoue son contrôle de santé, la précédente est rétablie automatiquement.
- Pas de rétrogradation silencieuse : rien n'est proposé si le canal choisi est plus ancien que la version installée.
- Quand la console ne peut pas appliquer la mise à jour, la page dit pourquoi et donne la commande exacte à lancer en root.
Confidentialité du Docteur
Ce qu'il lit et ce qu'il envoie.
- Il ne lit rien sur les visiteurs ni sur le contenu des sites et n'envoie rien à leur sujet.
- Ses sondes vers les adresses DNS de votre site s'identifient comme ToutWAF-Doctor/1.0 : si votre DNS pointe vers l'adresse d'une autre société (un CDN), elle le voit.
- Pour trouver l'adresse publique de ToutWAF, il interroge un service tiers au plus une fois par heure ; une variable d'environnement et le champ « Nom d'hôte ou IP public » des Paramètres permettent de l'éviter.
Ce qui n'est pas fait, ou pas prouvé
Nous préférons le dire clairement.
- Le Docteur dit ce qu'il faut faire mais ne corrige rien tout seul : un pare-feu, un DNS ou un routeur reste à régler par vous.
- Le test depuis Internet ne fonctionne qu'avec un répertoire de test Let's Encrypt configuré ; sans lui il est refusé plutôt que d'émettre un vrai certificat.
- Une partie des constats dépend de ce que ToutWAF voit depuis la machine : un routeur, une box ou un groupe de sécurité de cloud en amont ne sont pas inspectés, l'assistant montre seulement les réglages à y faire avec vos valeurs.
- Aucune version stable de ToutWAF n'est publiée : les mises à jour de la console portent aujourd'hui sur la version de développement.
Cas d'usage
Un site qui répond « 421 »
Le Docteur dit si le site vient d'être créé, si aucun nœud n'est enrôlé, si la publication a échoué ou si le nom saisi n'est pas le bon.
Un certificat qui n'est pas émis
Il repère l'enregistrement AAAA oublié chez un CDN avant la commande, pour ne pas perdre de tentatives.
Une mise à jour sans stress
Vous lisez les notes de version, vous mettez à jour d'un clic, et la version précédente revient seule en cas d'échec.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Pas encore essayée en conditions réelles Fonctionne dans les tests du produit, mais n'a pas encore été essayée avec le vrai service, le vrai système ou le vrai matériel. La console affiche la même mention à l'endroit où vous la configurez.
- Un diagnostic de la machine jusqu'à l'origine : nœud, politique, ports, pare-feu, DNS, certificat, accès Internet, origineGratuit
- Chaque constat vient avec sa cause et l'action à mener, en mots simplesGratuit
- Contrôle DNS en IPv4 et IPv6 qui reconnaît une adresse de CDN ou de proxy oubliée dans un enregistrement AAAAGratuit
- Assistant de mise en ligne : nœud, DNS, ports et certificat en quatre lignes, certificat commandé seulement quand tout est au vertGratuit
- Test facultatif depuis Internet, par le serveur de test d'une autorité de certificationGratuit
- Aide pour votre routeur, box, groupe de sécurité cloud ou pare-feu, avec vos valeurs (fichiers pour OPNsense et pfSense) Pas encore essayée en conditions réellesGratuit
- Rapport texte à envoyer au support : rien sur vos visiteurs ni sur le contenu de vos pagesGratuit
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.