Um produto de segurança tem de ser, antes de mais, digno de confiança. Eis como o ToutWAF é concebido, construído e entregue, e o que faz pelo seu controlo sobre os seus dados.
Um plano de dados em Rust e um plano de controlo em Go, entregues como binários nativos, sem ambiente de execução para instalar. O avaliador SecLang e os detetores são código próprio do projeto; os conjuntos de regras de terceiros, como o OWASP CRS, são descarregados como dados. O código-fonte não é publicado: o repositório público só contém binários e instaladores.
As versões são verificadas antes da instalação (SHA-256 e, quando há uma chave de versão, assinatura Ed25519) e uma atualização que falhe volta atrás sozinha. As definições são verificadas e podem ser revertidas.
Utilizador de serviço dedicado sem privilégios, reforço do systemd, TLS na consola, consola acessível apenas sob um caminho secreto, palavras-passe com hash, proteção CSRF, bloqueio após falhas de início de sessão e autenticação de dois fatores TOTP.
Os pedidos dos seus visitantes, os seus sites e os seus ficheiros ficam nos seus servidores. Sem telemetria, sem rastreio, sem verificação de licença pela rede. As poucas ligações de saída (atualizações, definições, certificados) estão listadas na documentação. Os pedidos que o produto dirige a terceiros (definições, certificados, integrações, consultas de endereços) usam identificadores neutros: não mencionam o ToutWAF nem a sua versão.
O modo só deteção, as exceções por regra, a simulação e a reversão num só passo permitem implementar sem quebrar a produção.
Encontrou uma vulnerabilidade? Escreva para o contacto de segurança abaixo.
Concebido para organizações que têm de manter o controlo dos seus dados.
O tráfego e os registos permanecem na sua infraestrutura, na jurisdição que escolher. Sem cloud obrigatória, sem telemetria; as poucas ligações de saída (atualizações, definições, certificados) estão listadas na documentação.
Pseudonimização de IP, minimização de registos, captura de carga útil mascarada, retenção configurável, e exportação ou eliminação por endereço.
Um rasto de auditoria verificável e elementos de prova associados a controlos (PCI DSS 4.0, NIS2, DORA, ISO 27001, SOC 2) a partir do estado real da plataforma. São provas, não uma atestação: o ToutWAF não possui nenhuma certificação.
O plano de dados continua a proteger com a última política se o plano de controlo estiver em baixo. Fail-open ou fail-closed por aplicação.
Tudo o que a consola faz está também disponível pela API REST, pela linha de comandos e por ficheiros de política YAML ou JSON. Exporte a sua política quando quiser.
Importação de SecLang e OWASP CRS v4: as suas regras e know-how atuais mantêm o seu valor.
