La politique dans Git
Exportez la configuration actuelle en YAML, versionnez-la, modifiez-la par demandes de fusion et relisez les changements comme du code.
GitOps
Garder la politique de ToutWAF en fichiers dans Git : exporter, valider, comparer, tester, simuler puis appliquer et publier depuis la CI. Un rôle Ansible installe les nœuds ; le fournisseur Terraform n'est pas encore livré.
Où le trouver dans la console : Ligne de commande : toutwafctl policy et toutwafctl test ; console : Politiques (versions, comparaison, approbation).
À quoi ça sert
Détecter la dérive
policy diff sort avec le code 3 quand des changements sont en attente, comme git diff --exit-code : une tâche de nuit voit si quelqu'un a changé la console.
Tester avant d'appliquer
Validation du schéma et du DSL, tests de règles avec sortie JUnit, simulation sur du trafic réel enregistré.
Revenir en arrière
Les versions de politique se listent, se publient et se restaurent en une commande ; chaque version a sa comparaison.
Un flux de travail type
Les mêmes commandes servent à GitHub Actions, GitLab CI, Jenkins et les autres.
1. Exporter
toutwafctl policy export -o policy.yaml, au format YAML ou JSON, pour tout ou pour un site.
2. Valider
toutwafctl policy validate -f policy.yaml : le schéma et le DSL sont contrôlés.
3. Comparer
toutwafctl policy diff -f policy.yaml : 0 sans changement, 3 avec des changements en attente, 1 si le fichier est invalide.
4. Tester et simuler
toutwafctl test et toutwafctl simulate, avec un compte rendu JUnit pour la CI.
5. Appliquer et publier
toutwafctl policy apply -f policy.yaml --publish --comment « PR 123 ». Sans --prune, apply ajoute et modifie seulement ; avec --prune, il supprime ce qui est absent du fichier.
6. Un jeton minimal
Le jeton de CI ne porte que policy:read, policy:write, policy:publish, apps:read, rules:read (et exceptions:write si le fichier contient des exceptions), avec une expiration.
Ce qui existe
Vérifié par les tests du produit.
- L'export, la validation, la comparaison, l'application, la publication et le retour arrière en ligne de commande.
- Une approbation à quatre yeux avant qu'une version ne parte en production, dans la console.
- Un rôle Ansible qui enveloppe l'installateur : version, groupe, jeton d'enrôlement, politique et configuration du nœud, avec validation avant écriture.
- Un chart Helm avec la politique en ConfigMap rechargée à chaud.
Ce qui n'existe pas encore
Dit clairement.
- Le fournisseur Terraform est un squelette : le client REST fonctionne, mais pas la couche de ressources Terraform. En attendant, appelez toutwafctl depuis Terraform ou gérez le fichier de politique comme du code.
- Il n'existe pas d'action GitHub publiée : le flux de travail ci-dessus (quelques commandes toutwafctl) est le modèle pris en charge.
- L'opérateur Kubernetes est un squelette : les définitions de ressources et la bibliothèque de traduction existent, pas le contrôleur ni son image.
Ce qui n'est pas fait, ou pas prouvé
Nous préférons le dire clairement.
- Les fichiers du rôle Ansible, du chart Helm et des manifestes sont fournis avec votre distribution de ToutWAF, pas dans le dépôt public, qui ne contient que les binaires et les installateurs.
- Une simulation rejoue des événements conservés ; elle ne prouve pas ce qui se passera sur un trafic futur.
- « apply --prune » supprime des objets : relisez la comparaison avant de l'utiliser en CI.
Cas d'usage
Une politique relue comme du code
Chaque changement passe par une demande de fusion, des tests et une simulation avant d'être publié.
Une flotte pilotée depuis Git
Les nœuds sont installés par Ansible avec une politique en variables de groupe, validée avant écriture.
Surveiller la dérive
Une tâche de nuit compare le fichier à la console et prévient si l'écart n'est pas nul.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Règles, politique et déploiement
- Politique en code : exporter, valider, comparer et appliquer du YAML ou du JSON depuis la CIGratuit
- Versions, différence structurée et retour arrière en une étapeGratuit
- Approbation à quatre yeux avant la mise en ligne d'une versionGratuit
Intégrations
- Fichiers de politique pour Git et la CI, un rôle Ansible, un chart Helm et un client d'API pour TerraformGratuit
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.