Un prodotto di sicurezza deve essere prima di tutto affidabile. Ecco come ToutWAF è progettato, costruito e distribuito, e cosa fa per il tuo controllo sui tuoi dati.
Un data plane in Rust e un control plane in Go, distribuiti come binari nativi, senza runtime da installare. L'evaluatore SecLang e i rilevatori sono codice proprio del progetto; i set di regole di terze parti come l'OWASP CRS vengono scaricati come dati. Il codice sorgente non è pubblicato: il repository pubblico contiene solo binari e installer.
Le versioni vengono verificate prima dell'installazione (SHA-256 e, quando è impostata una chiave di versione, firma Ed25519) e un aggiornamento fallito torna indietro da solo. Le definizioni vengono verificate e possono essere ripristinate.
Utente di servizio dedicato senza privilegi, hardening di systemd, TLS sulla console, console raggiungibile solo da un percorso segreto, password con hash, protezione CSRF, blocco dopo accessi falliti e autenticazione a due fattori TOTP.
Le richieste dei tuoi visitatori, i tuoi siti e i tuoi file restano sui tuoi server. Nessuna telemetria, nessun tracciamento, nessun controllo della licenza in rete. Le poche connessioni in uscita (aggiornamenti, definizioni, certificati) sono elencate nella documentazione. Le richieste che il prodotto rivolge a terzi (definizioni, certificati, integrazioni, ricerche di indirizzi) usano identificativi neutri: non nominano né ToutWAF né la sua versione.
La modalità solo rilevamento, le eccezioni per regola, la simulazione e il rollback in un passaggio permettono di distribuire senza rompere la produzione.
Hai trovato una vulnerabilità? Scrivi al contatto di sicurezza qui sotto.
Pensato per le organizzazioni che devono mantenere il controllo dei propri dati.
Il traffico e i log restano sulla tua infrastruttura, nella giurisdizione che scegli. Nessun cloud obbligatorio, nessuna telemetria; le poche connessioni in uscita (aggiornamenti, definizioni, certificati) sono elencate nella documentazione.
Pseudonimizzazione degli IP, minimizzazione dei log, acquisizione del payload mascherato, conservazione configurabile, ed esportazione o cancellazione per indirizzo.
Una traccia di audit verificabile ed elementi di prova collegati ai controlli (PCI DSS 4.0, NIS2, DORA, ISO 27001, SOC 2) a partire dallo stato reale della piattaforma. Sono prove, non un'attestazione: ToutWAF non possiede alcuna certificazione.
Il data plane continua a proteggere con l'ultima policy se il control plane non è disponibile. Fail-open o fail-closed per applicazione.
Tutto ciò che fa la console è disponibile anche tramite l'API REST, la riga di comando e file di policy YAML o JSON. Esporta la tua policy quando vuoi.
Importazione di SecLang e OWASP CRS v4: le tue regole e il tuo know-how esistenti mantengono il loro valore.
