Ne rien casser au départ
Un nouveau site démarre en détection : chaque requête est inspectée et enregistrée, rien n'est bloqué. Les événements disent ce qui aurait été fait.
Faux positifs et mode détection
Observer d'abord, bloquer ensuite : un nouveau site enregistre sans rien bloquer, un rapport dit ce qui aurait été bloqué, chaque faux positif devient l'exception la plus étroite possible, et vous pouvez simuler, déployer progressivement et revenir en arrière.
Où le trouver dans la console : Console : Sites, puis l'onglet Protection du site (rapport de détection, passage en blocage) ; Événements (« C'est un faux positif ») ; Faux positifs (analyse et suggestions) ; Exceptions.
À quoi ça sert
Comprendre chaque correspondance
Chaque événement montre la règle, l'endroit (paramètre, en-tête…), le fragment trouvé et une explication en langage simple : quoi, où, pourquoi, que faire.
Corriger au plus étroit
« C'est un faux positif » propose l'exception la plus étroite d'abord, avec une durée et un aperçu de son effet, au lieu d'affaiblir toute la politique.
Avoir toujours le retour
Le passage en blocage se déroule en un clic et se défait en un clic : retour en détection, ou retour à la version précédente de la politique.
De l'observation au blocage
Le chemin recommandé : observer, relire, simuler, basculer, surveiller, garder le retour prêt.
1. Observer
Détection pendant la période choisie (7 jours par défaut) pour couvrir les cycles de la semaine : tâches planifiées, campagnes, fins de mois.
2. Lire le rapport
Le rapport de détection donne le volume, la part du trafic qui resterait autorisée, les familles d'attaques, les quelques règles à l'origine de la plupart des faux positifs, et des exceptions proposées.
3. Traiter les faux positifs
La page Faux positifs regroupe les blocages évités par règle et par endroit ; acceptez une suggestion, écartez-la, ou signalez vous-même des événements.
4. Simuler
Rejouez le trafic enregistré contre la politique prévue : requêtes nouvellement bloquées, nouvellement autorisées, règles en cause. Une exception se règle avant de basculer.
5. Basculer en blocage
Un bouton dans l'onglet Protection du site, ou la ligne de commande. Un déploiement progressif existe : une part des nœuds, ou une part des requêtes.
6. Surveiller et revenir
Suivez le taux de blocage, les erreurs 4xx et les tickets qui citent un identifiant d'incident. Retour en détection d'un clic, ou retour à la version précédente de la politique.
Trois portées d'exception
Le dialogue propose la plus étroite en premier.
- La plus étroite : cette règle, ce chemin et le seul paramètre en cause.
- Ce chemin : cette règle sur tous les paramètres sous le même répertoire.
- Toute la règle : cette règle partout sur le site (plus risqué).
- Une expiration (30 jours par défaut), une raison, et un aperçu : combien d'événements l'exception couvrirait, depuis combien d'adresses, avec quel niveau de risque.
Autres façons de corriger, dans l'ordre
À préférer dans cet ordre.
- Une exception, la plus étroite.
- Un mode par règle ou par chemin : « détection » au lieu de « blocage » pour une règle sur un chemin.
- Un niveau de paranoïa plus bas pour un chemin.
- Corriger l'application (par exemple ne pas renvoyer du texte ressemblant à du SQL dans les paramètres).
- Relever le seuil ou baisser les scores : dernier recours, cela affaiblit tout.
Ce qui n'est pas fait, ou pas prouvé
Nous préférons le dire clairement.
- Les suggestions ne sont que des propositions : rien n'est jamais appliqué automatiquement.
- Le rapport et l'estimation du taux de faux positifs reposent sur votre propre trafic : avec peu de jours observés ou peu de trafic, le rapport peut être incomplet, et la console le signale.
- La simulation rejoue des événements conservés : elle est limitée par le nombre de requêtes demandé (2 000 par défaut) et par la durée de conservation des événements.
- Une exception affaiblit la protection pour ce qu'elle couvre : préférez la plus étroite, avec une expiration. Nous ne publions aucune mesure de taux de faux positifs.
Cas d'usage
Un site existant à protéger
Vous le mettez en détection, vous laissez passer une semaine de trafic réel, puis vous lisez le rapport avant de bloquer.
Un moteur de recherche interne
Les clients tapent « select your size from the list » : une exception limitée à ce paramètre de recherche, avec expiration, règle le cas.
Une règle qui dérange sur un seul chemin
Vous passez cette règle en détection sur ce chemin, le temps de corriger l'application, sans toucher au reste.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Règles, politique et déploiement
- Faux positifs : de l'événement à l'exception la plus étroite en un clic, avec explication en langage clairGratuit
- Simulation : rejouer le trafic passé contre une politique en brouillonGratuit
- Rapport de détection à la fin de la période d'observation, avec les exceptions proposéesGratuit
- Déploiement progressif : une part des nœuds, une part des requêtes ou une seule règleGratuit
- Exceptions fines par règle, paramètre, chemin et adresse, avec expiration et aperçu de l'impactGratuit
- Tests de règles exécutables en CI, avec sortie JUnitGratuit
Règles automatiques
- Taux de faux positifs estimé par groupe de règles et indicateur « Prêt à bloquer »Pro et plus
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.