Rendre compte sans effort
Un rapport exécutif ou technique, sur la période de votre choix, envoyé chaque semaine ou chaque mois à la liste que vous fixez.
Rapports et conformité
Des rapports PDF à la demande ou planifiés, des éléments de preuve pour PCI DSS, NIS2, DORA, ISO 27001 et SOC 2 calculés sur l'état réel de votre installation, et des réglages de vie privée. ToutWAF ne revendique aucune certification : il fournit des contrôles et des preuves.
Où le trouver dans la console : menu Analyse : Rapports et conformité (onglets Rapports, Preuves de conformité et Paramètres de confidentialité).
À quoi ça sert
Des preuves tirées de l'état réel
Chaque contrôle d'un référentiel est relié à un constat de la plateforme : réussi, attention, échec ou manuel.
La vie privée sous contrôle
Adresses pseudonymisées ou rendues anonymes, durées de conservation, minimisation des journaux, champs masqués.
Les droits des personnes
Exporter ou effacer ce qui est conservé sur une adresse IP, en un geste réservé aux administrateurs de la plateforme.
Un rapport, de la demande à la boîte de réception
Le contenu d'un rapport ne dépasse jamais ce que votre rôle permet de voir.
Choisir le type et la période
Exécutif ou technique, de 1 à 365 jours (7 par défaut), éventuellement selon un référentiel.
Générer ou planifier
À la demande, ou chaque semaine ou chaque mois. L'envoi passe par l'intégration e-mail de l'organisation ou par le serveur de courrier de la plateforme.
Retrouver et relire
Les rapports générés sont listés ; « Exécuter maintenant » lance une planification tout de suite et affiche son dernier résultat.
Éléments de preuve par référentiel
Gratuit
PCI DSS 4.0, NIS2, DORA, ISO/IEC 27001 et SOC 2 : chaque contrôle est relié à l'état réel de la plateforme, en PDF ou en JSON.
- Un contrôle prend le pire résultat des vérifications dont il dépend : WAF en blocage, TLS, journaux, chaîne de hachage du journal d'audit, authentification à deux facteurs, approbation des changements, sauvegardes, incidents et plus.
- « Réussi » veut dire que la fonction du produit est en place et configurée ; ce n'est pas une attestation, et pour plusieurs vérifications cela signifie « activée sur au moins un site ».
- Là où seul vous pouvez apporter la preuve (une politique écrite, par exemple), le contrôle est « manuel ».
Vie privée
Gratuit
Des réglages qui s'appliquent aux événements et aux incidents.
- Pseudonymisation des adresses IP avec un sel généré automatiquement, appliquée par le plan de données puis encore par le plan de contrôle.
- Durée de conservation des événements (de 1 à 3650 jours) ; les adresses des incidents et des échantillons de faux positifs partent avec eux.
- Durée de conservation des adresses : passé ce délai, 203.0.113.7 devient 203.0.113.0 (un IPv6 garde ses 48 premiers bits), l'événement restant jusqu'à la fin de sa conservation.
- Minimisation des journaux : aucune, standard ou stricte (qui retire aussi la chaîne de requête, l'agent utilisateur et le référent), et capture de charge utile désactivable.
Droit d'accès et d'effacement
Gratuit
Pour une adresse IP, réservé aux administrateurs de la plateforme puisque les données couvrent toutes les organisations.
- L'export renvoie les événements conservés, les identifiants d'incidents et les bannissements qui concernent l'adresse.
- L'effacement supprime ses événements, la retire des incidents et des statistiques de faux positifs, retire ses bannissements et la masque dans le journal d'audit ; la réponse chiffre chaque suppression.
- Vous restez responsable du traitement : la base légale, le registre et l'information des personnes relèvent de vous.
Rapports par client et note par site
GratuitPro et plus
Pour les prestataires qui gèrent plusieurs clients, et pour le suivi d'un site dans le temps.
- Sous licence (plusieurs organisations) : un rapport par client, qui ne contient que ses sites, avec son nom et son logo à côté de ToutWAF, jamais à sa place ; envoi à une liste et au contact de chaque client.
- Gratuit : une note de sécurité par site, avec la liste des améliorations à faire, comme point de revue régulier.
- Les rapports PDF existent en sept langues ; en russe, chinois et arabe, ils sont produits en anglais.
Ce qui n'est pas fait, ou pas éprouvé
Nous préférons le dire clairement.
- ToutWAF ne détient aucune certification (ISO 27001, SOC 2, PCI DSS, Critères communs, CSPN de l'ANSSI) et ne revendique aucune conformité. La conformité est une propriété de votre organisation, pas d'un produit.
- La conservation des événements est de 30 jours par défaut : la vérification de conservation sur douze mois reste donc en attention tant que vous ne l'allongez pas.
- L'effacement agit sur les données vivantes ; les sauvegardes déjà écrites ne sont pas réécrites. Avec ClickHouse, qui ne peut pas réécrire ses lignes, une durée de conservation des adresses plus courte que celle des événements est refusée.
- L'envoi des rapports a été prouvé contre un serveur SMTP de test local, pas contre un fournisseur de courrier.
Cas d'usage
Un rapport mensuel pour la direction
Un rapport exécutif planifié, envoyé à la liste de la direction avec le résumé des attaques et de l'état de la protection.
Préparer un audit PCI DSS
Les éléments de preuve en PDF montrent ce qui est en place, ce qui est à régler et ce que vous devez documenter vous-même.
Répondre à une demande d'effacement
Vous exportez ce qui concerne l'adresse, puis vous l'effacez ; le journal d'audit garde la trace de l'opération.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Rapports et conformité
- Rapports PDF exécutif ou technique, à la demande ou planifiés (chaque semaine ou chaque mois), envoyés par e-mail ou par une intégrationGratuit
- Éléments de preuve pour PCI DSS 4.0, NIS2, DORA, ISO 27001 et SOC 2, calculés sur l'état réel ; ce n'est pas une attestationGratuit
- Vie privée : pseudonymisation des adresses, durées de conservation des événements et des adresses, minimisation des journaux, champs masquésGratuit
- Droit d'accès et d'effacement pour une adresse IP : export, puis effacement des événements, des incidents et des bannissementsGratuit
- Note de sécurité par site, avec la liste des améliorations à faireGratuit
Locataires et MSP
- Rapports PDF par client, planifiés ; export d'usage en CSV pour votre propre facturationAgency et plus
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.