Продукт безопасности должен быть прежде всего достойным доверия. Вот как ToutWAF проектируется, собирается и поставляется и что он делает для вашего контроля над данными.
Плоскость данных на Rust и плоскость управления на Go поставляются как нативные бинарные файлы, среду выполнения устанавливать не нужно. Вычислитель SecLang и детекторы — собственный код проекта; сторонние наборы правил вроде OWASP CRS загружаются как данные. Исходный код не публикуется: в открытом репозитории только бинарные файлы и установщики.
Выпуски проверяются перед установкой (SHA-256, а при заданном ключе выпуска — ещё и подпись Ed25519), неудавшееся обновление откатывается само. Определения проверяются и могут быть откачены.
Выделенный служебный пользователь без привилегий, усиление systemd, TLS на консоли, консоль доступна только по секретному пути, хеширование паролей, защита от CSRF, блокировка после неудачных входов и двухфакторная аутентификация TOTP.
Запросы ваших посетителей, ваши сайты и файлы остаются на ваших серверах. Никакой телеметрии, слежки и проверки лицензии по сети. Немногочисленные исходящие соединения (обновления, определения, сертификаты) перечислены в документации. Запросы, которые продукт отправляет третьим сторонам (определения, сертификаты, интеграции, поиск по адресам), используют нейтральные идентификаторы: в них нет ни названия ToutWAF, ни его версии.
Режим только обнаружения, исключения по правилам, симуляция и откат одним шагом позволяют развёртывать защиту, не ломая рабочую систему.
Нашли уязвимость? Напишите по контакту безопасности ниже.
Для организаций, которые обязаны сохранять контроль над своими данными.
Трафик и журналы остаются на вашей инфраструктуре, в выбранной вами юрисдикции. Никакого обязательного облака и телеметрии; немногочисленные исходящие соединения (обновления, определения, сертификаты) перечислены в документации.
Псевдонимизация IP, минимизация журналов, маскированный захват полезной нагрузки, настраиваемое хранение, экспорт и удаление по адресу.
Проверяемый журнал аудита и подтверждающие данные, сопоставленные с требованиями (PCI DSS 4.0, NIS2, DORA, ISO 27001, SOC 2), по фактическому состоянию платформы. Это доказательства, а не аттестация: у ToutWAF нет никаких сертификатов.
Плоскость данных продолжает защиту по последней политике, если плоскость управления недоступна. Fail-open или fail-closed для каждого приложения.
Всё, что делает консоль, доступно и через REST API, командную строку и файлы политики YAML или JSON. Экспортируйте политику в любой момент.
Импорт SecLang и OWASP CRS v4: ваши существующие правила и опыт сохраняют ценность.
