Un produit de sécurité doit d'abord être digne de confiance. Voici comment ToutWAF est conçu, construit et livré, et ce qu'il fait pour votre maîtrise de vos données.
Un plan de données en Rust et un plan de contrôle en Go, livrés en binaires natifs, sans environnement d'exécution à installer. L'évaluateur SecLang et les détecteurs sont le code du projet ; les jeux de règles tiers comme l'OWASP CRS sont téléchargés comme des données. Le code source n'est pas publié : le dépôt public ne contient que des binaires et des installeurs.
Les versions sont vérifiées avant l'installation (SHA-256, et signature Ed25519 quand une clé de version est définie), et une mise à jour qui échoue revient en arrière toute seule. Les définitions sont contrôlées, et peuvent être annulées.
Utilisateur de service sans privilèges, durcissement systemd, TLS sur la console, console accessible seulement sous un chemin secret, mots de passe hachés, protection CSRF, verrouillage après échecs de connexion et authentification à deux facteurs TOTP.
Les requêtes de vos visiteurs, vos sites et vos fichiers restent sur vos serveurs. Pas de télémétrie, pas de pistage, aucun contrôle de licence par le réseau. Les quelques connexions sortantes (mises à jour, définitions, certificats) sont listées dans la documentation. Les requêtes que le produit adresse à des tiers (définitions, certificats, intégrations, recherches d'adresses) portent des identifiants neutres : elles ne nomment ni ToutWAF ni sa version.
Le mode détection seule, les exceptions par règle, la simulation et le retour arrière en une étape permettent de déployer sans casser la production.
Vous avez trouvé une vulnérabilité ? Écrivez au contact sécurité ci-dessous.
Conçu pour les organisations qui doivent garder la maîtrise de leurs données.
Le trafic et les journaux restent sur votre infrastructure, dans la juridiction de votre choix. Pas de cloud obligatoire, pas de télémétrie ; les rares connexions sortantes (mises à jour, définitions, certificats) sont listées dans la documentation.
Pseudonymisation des IP, minimisation des journaux, capture de charge utile masquée, rétention réglable, export et effacement par adresse.
Une piste d'audit vérifiable et des éléments de preuve rattachés à des contrôles (PCI DSS 4.0, NIS2, DORA, ISO 27001, SOC 2) à partir de l'état réel de la plateforme. Ce sont des preuves, pas une attestation : ToutWAF ne détient aucune certification.
Le plan de données continue de protéger avec la dernière politique si le plan de contrôle est indisponible. Fail-open ou fail-closed par application.
Tout ce que fait la console est aussi disponible par l'API REST, la ligne de commande et des fichiers de politique YAML ou JSON. Exportez votre politique à tout moment.
Import SecLang et OWASP CRS v4 : vos règles et votre savoir-faire existants gardent leur valeur.
