Le bon droit pour chacun
Un analyste investigue sans pouvoir publier, un approbateur relit sans pouvoir modifier, un client voit ses sites et rien d'autre.
Équipes, droits et multi-organisations
Sept rôles intégrés et des rôles à vous, limités à certains sites, l'authentification à deux facteurs, un journal d'audit infalsifiable, et la gestion de plusieurs clients depuis une console avec des organisations isolées, des quotas et des invitations.
Où le trouver dans la console : menu Administration : Utilisateurs et accès, Journal d'audit, Locataires et prestataires.
À quoi ça sert
Des comptes mieux protégés
Authentification à deux facteurs par application TOTP avec codes de secours, jetons d'API à portée limitée, et connexion d'entreprise sous licence.
Savoir qui a fait quoi
Chaque changement est inscrit avec l'auteur, l'heure, l'origine et l'avant-après, dans une chaîne de hachage que vous pouvez vérifier.
Plusieurs clients, une console
Une organisation par client, isolée des autres, avec ses quotas, ses utilisateurs et ses rapports. Les sites de vos clients restent protégés quoi que vous fassiez de leurs accès.
Une plateforme, des prestataires, des clients
Les organisations forment un arbre. Chacun voit son espace et ce qui est en dessous, jamais l'espace d'un voisin.
Un arbre d'organisations
La plateforme est à la racine et reste gratuite. En dessous, des prestataires facultatifs, puis des clients. Un utilisateur appartient à une organisation.
Des rôles, par site si besoin
Un rôle s'attribue à une personne pour toute son organisation ou pour quelques sites seulement.
Une publication relue
L'administrateur d'un client modifie sa configuration, mais la mise en ligne reste à un administrateur de la plateforme : un client ne change pas ce qui tourne sur des nœuds partagés sans relecture.
Rôles et permissions
Gratuit
Une permission s'écrit ressource:action. Les sept rôles intégrés ne se modifient pas ; vous créez des rôles à vous pour combiner des permissions.
- Propriétaire, Administrateur, Opérateur, Analyste sécurité, Approbateur de changements, Lecture seule et Client (prestataire de services de sécurité gérés).
- Un rôle peut être limité à quelques sites ; un jeton d'API peut l'être aussi, et ne dépasse jamais les droits de la personne qui l'a créé.
- Approbation à quatre yeux : une version de politique n'est mise en ligne qu'après l'accord d'un approbateur.
- Gardez au moins deux propriétaires : le produit refuse de retirer le dernier.
Connexion et journal d'audit
GratuitPro et plus
Des contrôles sur l'accès, et la trace de chaque action.
- TOTP avec codes de secours à usage unique ; le secret est chiffré au repos. Les clés matérielles (WebAuthn, FIDO2) ne sont pas disponibles.
- Sous licence : connexion d'entreprise OIDC et SAML, et provisionnement SCIM.
- Journal d'audit : qui, quoi, quand, d'où, avec l'avant et l'après ; filtres, export CSV, JSON et NDJSON gratuits, CEF et Syslog sous licence.
- La vérification recalcule la chaîne de hachage et signale la première incohérence. Les secrets n'y sont jamais écrits.
Gérer plusieurs clients
Pro et plus
La première organisation, celle par défaut, est gratuite. Ajouter des clients demande une licence ; réactiver, exporter et supprimer ne sont jamais verrouillés.
- L'assistant « Ajouter un client » : client, quotas, premier utilisateur, marque des rapports, test d'isolation et remise des accès. Rien n'est créé avant la dernière étape.
- Des quotas sur les sites, les utilisateurs et les clients ; le volume mensuel de requêtes est mesuré pour votre facturation et ne coupe jamais le trafic.
- Un sélecteur de client limite chaque liste à un client ; une vue d'ensemble montre l'état de protection de chacun.
- Suspendre coupe l'accès à la console, pas la protection. Archiver exige un export de moins de 24 heures et le nom de l'organisation, puis ouvre un délai de grâce avant une suppression éventuelle.
Plancher imposé et marque du client
Pro et plus
Ce qui est imposé d'en haut peut être renforcé en dessous, jamais assoupli.
- Un prestataire impose un mode minimal, un niveau de paranoïa minimal, des seuils maximaux et des réglages de protection ; une valeur plus faible déjà en place est remontée sans rien effacer.
- Les intégrations ne descendent que vers le bas : une intégration reçoit les alertes de son organisation et de celles en dessous.
- Le nom, le logo et les couleurs du client apparaissent sur ses rapports et pages de refus à côté de ToutWAF, jamais à sa place.
- Les invitations se font par lien à usage unique, valable 7 jours par défaut : aucun mot de passe n'est envoyé ni affiché.
Ce qui n'est pas fait, ou pas éprouvé
Nous préférons le dire clairement.
- Le parcours SAML n'a pas été essayé de bout en bout avec un vrai fournisseur d'identité ; OIDC est la voie la mieux éprouvée. Gardez un compte propriétaire local de secours.
- Les règles imposées ne couvrent pas les remplacements de règles, les exceptions ni les règles personnalisées d'un site. Un prestataire ne partage pas ses intégrations vers le bas.
- La licence Agency (multi-clients) fixe un plafond de sites et de nœuds pour l'ensemble de ses clients ; ToutWAF ne facture personne, et les textes juridiques pour revendeurs ne sont pas écrits.
- L'envoi des invitations a été prouvé contre un serveur SMTP de test local, et le délai de grâce d'un client archivé en reculant la date de fin, sans l'attendre. Rien n'a tourné contre un vrai ToutPanel.
Cas d'usage
Une agence qui gère les sites de ses clients
Une organisation par client, un rôle Client en lecture seule pour eux, et un rapport mensuel à leur nom à côté de ToutWAF.
Une équipe sécurité de trois personnes
Un analyste, un approbateur et un propriétaire : personne ne met en ligne seul une règle qui bloque.
Un audit des accès
Vous vérifiez la chaîne du journal sur la période, exportez les entrées et prouvez qui a changé la politique.
Ce qui est inclus, par édition
La base est gratuite ; les options avancées demandent une offre payante. Une option sous licence reste visible dans la console, verrouillée, jamais cachée.
ÉditionGratuit Inclus dans toutes les offres, dont les deux offres gratuites (Free et Free +)Pro et plus Offres payantes : visible dans la console, verrouillé sans licence. À partir de Pro, sauf mention Agency ou Enterprise
Pas encore essayée en conditions réelles Fonctionne dans les tests du produit, mais n'a pas encore été essayée avec le vrai service, le vrai système ou le vrai matériel. La console affiche la même mention à l'endroit où vous la configurez.
Administration et accès
- Rôles et permissions : sept rôles intégrés, rôles personnalisés, limitation par site (2 utilisateurs dans l'édition gratuite)Gratuit
- Authentification à deux facteurs TOTP avec codes de secours, et jetons d'API limités par portéeGratuit
- Journal d'audit : qui, quoi, quand et d'où, avec l'avant et l'après, chaîne de hachage vérifiable, export CSV, JSON et NDJSONGratuit
- Exports du journal d'audit en CEF et en Syslog pour un SIEMPro et plus
- Connexion d'entreprise : fournisseurs OIDC et SAML, provisionnement SCIM Pas encore essayée en conditions réellesEnterprise
- API REST pour tout ce que fait la console, avec des jetons à portée limitéeGratuit
- Outil en ligne de commande : politique, tests, simulation, sauvegardes, diagnosticGratuit
- Page de la flotte : nœuds, versions, jetons d'enrôlement et mises à jour orchestrées des nœudsGratuit
- Licence : une clé signée vérifiée sur votre machine, sans contrôle par le réseau ; à l'expiration, 48 h de grâce puis 48 h de lecture seuleGratuit
Locataires et MSP
- Une organisation, celle par défaut, est incluse dans l'édition gratuiteGratuit
- Assistant « Ajouter un client » : client, quotas, premier utilisateur, marque des rapports, test d'isolation et remise des accèsAgency et plus
- Isolation stricte entre les clients, vérifiée par des tests sur chaque famille de routesAgency et plus
- Quotas par client (sites, utilisateurs) ; le volume mensuel de requêtes est mesuré et ne coupe jamais le traficAgency et plus
- Sélecteur de client et vue d'ensemble multi-clients avec l'état de protection de chacunAgency et plus
- Suspendre, archiver, exporter et supprimer un client ; réactiver, exporter et supprimer ne sont jamais verrouillésAgency et plus
- Déplacement d'un site d'un client à un autreAgency et plus
- Plancher de politique imposé d'en hautAgency et plus
- Invitations par lien à usage unique : aucun mot de passe n'est jamais envoyéAgency et plus
- Rapports PDF par client, planifiés ; export d'usage en CSV pour votre propre facturationAgency et plus
- Nom, logo, couleurs et contact de support du client sur ses rapports, à côté de ToutWAF et jamais à sa placeAgency et plus
- Licence revendeur : un lot de quotas partagé entre tous vos clientsAgency et plus
Revenir à la valeur par défaut d'une option avancée est toujours possible. Ce qui se passe à la fin d'une licence payante est décrit dans la FAQ des tarifs : 48 h de grâce, 48 h de lecture seule, puis protection WAF désactivée jusqu'au renouvellement.
Placez un bouclier devant vos applications dès aujourd'hui
Installez-le sur votre propre serveur, ou écrivez-nous pour parler de licences.