自托管，数据驻留
流量和日志都留在您的基础设施上，位于您选择的司法辖区。无需云服务，没有遥测；少量的出站连接（更新、特征库、证书）都在文档中列明。
WAAP · Linux · Windows · Docker · Kubernetes · x86_64 / ARM64
完整的 Web 与 API 防护，在攻击到达您的应用之前就将其拦截。
ToutWAF，可自托管的 WAAP 平台：WAF、API 防护、反机器人、第 7 层抗 DDoS 和客户端安全，统一在一个控制台中管理。它还照看站点周边的一切：服务器（实时仪表盘、安全审计、一键修复）、终端杀毒和邮件网关。先用检测模式，准备好后再启用拦截。
- 自托管
- 10 种语言
- 数据留在您手中
攻击合法流量
您的应用
' OR 1=1--
../../etc/passwd
GET /api/orders
200 OK
已拦截已放行
- 29个防护与运维领域
- 10种语言，含从右到左排版
- 85个规则与威胁情报来源
- 0默认遥测
几乎兼容所有系统
数十种 Linux 发行版及版本，以及 Windows、Docker 和 Kubernetes，支持 x86_64 与 64 位 ARM。
- AlmaLinux10 · 9 · 8
- Rocky Linux10 · 9 · 8
- Red Hat Enterprise Linux10 · 9 · 8
- CentOS Stream10 · 9
- Oracle Linux10 · 9 · 8
- Fedora44 · 43 · 42 · 41
- Amazon Linux2023
- Debian13 · 12 · 11
- Ubuntu26.04 · 25.10 · 24.04 · 22.04 · 20.04
- Kali Linuxrolling
- openSUSE Leap16.0 · 15.6
- openSUSE Tumbleweedrolling
- openSUSE Slowrollrolling
- SUSE Linux Enterprise Server16.0 · 15.7 · 15.6
- Arch Linuxrolling
- Manjarorolling
- EndeavourOSrolling
- Garuda Linuxrolling
- CachyOSrolling
- Windows11 · 10 · Server 2025 · Server 2022 · Server 2019 · Server 2016
- DockerCompose
- KubernetesHelm · 1.25+
- CPUx86_64 · ARM64
Linux Mint / LMDE, Pop!_OS, Zorin OS, elementary OS
- tested 完整的容器安装测试已在该确切版本上通过。
- expected 同一系列，glibc 和 systemd 足够新，但未运行完整测试。
一个控制台，五层防护
不必再拼凑 WAF、API 网关、机器人工具和 DDoS 防护。ToutWAF 将它们合而为一。
WAF
OWASP Top 10、CRS 与 SecLang、虚拟补丁。
API 防护
路由配置、JWT、GraphQL 限制、接口发现；模式校验需要许可证。
反机器人
指纹识别、挑战、机器人评分、AI 爬虫。
L7 抗 DDoS
多维度限速、洪水检测、HTTP/2 滥用防护。
客户端
CSP 生成器、第三方脚本清单、盗刷脚本特征。
实时查看运行效果
每个请求都经过同一条处理流水线：名单、地理位置、信誉、限流、反机器人，以及带异常评分的特征检测。
$ curl -i "https://shop.example.com/?id=1' OR '1'='1" HTTP/2 403 x-toutwaf: blocked x-toutwaf-code: TW-2001 rule: sqli.tautology score 15/5
实时威胁地图 模拟示意
事件流 模拟示意
- 12:04:51185.220.101.7BAN/?id=1' UNION SELECTsqli
- 12:04:4945.155.205.12BLOCK/wp-login.php (wpscan)bot
- 12:04:46103.74.19.88BLOCK/download?f=../../etc/passwdlfi
- 12:04:4491.240.118.9BLOCK/q?s=<img onerror=x>xss
- 12:04:40194.26.29.55BLOCK/api/login x 240/minrate
现代 WAAP 应有的一切
从特征检测到服务器、终端和邮件安全：每项功能都标明免费还是需要许可证。不会被云服务商绑定。
应用防护
注入、反序列化、请求走私、文件上传、扫描器和 CMS 攻击，每个请求都会在检测或拦截模式下受到检查。
API 安全
先在学习模式下建立路由配置，覆盖 OWASP API Top 10，支持令牌、密钥和 GraphQL 限制；模式校验与消费者套餐需要许可证。
机器人、滥用与 AI 流量
可解释的机器人评分、挑战、已验证的爬虫、TLS 指纹、AI 爬虫策略和滥用限制。
第 7 层抗 DDoS 与限流
按键限流、洪水检测、遭受攻击模式，以及针对慢速攻击和 HTTP/2 滥用的连接防护。
访问控制与 IP 信誉
名单、国家、信誉和自动封禁；按国家分级、阈值与模拟需要许可证。
自动规则
ToutWAF 会自行处理误报，并把站点从观察阶段推进到拦截，所有依据都可审计、可撤销。
租户与 MSP
在一个控制台里管理多个客户：每个客户一个组织，含配额、隔离、邀请和按客户出具的报告。默认组织免费，其余需要许可证。
服务器与主机代理
添加现有服务器，在同一个控制台里监控它们；适用于 Linux 和 Windows 的小型代理只发起出站连接。
备份与备用控制台
备份控制台和您监控的服务器并做恢复测试；由您决定何时让备用控制台接管。
邮件安全
ToutWAF 通过 SSH 在您自己的服务器上安装并管理的 Postfix 与 Rspamd 网关，置于您真正的邮件服务器之前。没有免费版。
控制台与语言
可自定义的控制台，支持 10 种语言（含从右到左书写的阿拉伯语），通过秘密路径访问。
三步完成防护
安装
安装程序会先检查您的系统。在受支持的 Linux 上执行一条命令，在 Windows 上运行脚本，或使用 Docker 与 Kubernetes 文件。
添加站点
填写域名和源站。ToutWAF 会获取证书、识别您的技术栈并推荐策略模板。
先观察，再拦截
先运行检测模式。查看报告后一键切换为拦截，也可一键回滚。
靠方法减少误报
先观察，有把握后再拦截
拦错了请求的 WAF，代价比它提供的保护还大。ToutWAF 默认从检测模式开始，告诉您它本来会拦截什么，让您在历史流量上测试变更，并解释每一次判定。它不能承诺零误报，也没有就此公布任何数字。
观察
默认使用检测模式。观察期结束后，报告会针对反复出现的误报提出范围很窄的例外建议。
模拟
把记录下来的流量在草稿策略上回放，看看它会拦截什么。
分步启用拦截
一键切换到拦截，或先在一部分节点或请求上试行，并可一步回滚。
403请求已拦截（示例）
TW-2001- 什么
- SQL 注入尝试
- 位置
- /product 上的查询参数 id
- 原因
- 该值包含 ' OR '1'='1，这是典型的恒真条件。规则 sqli.tautology，评分 15（阈值 5）。
这是误报创建最窄的例外
影响预览：最近 7 天流量的 0.01% 会受到影响。
7 天后的检测报告（示例）
- ✓99.8% 的流量将被放行
- !3 条规则造成了 95% 的误报
- ✓已提出 3 条例外，待您审核
设计上自主可控：您的流量、您的服务器、您的规则
为必须掌控自身数据的组织而设计。
隐私控制
IP 假名化、日志最小化、脱敏的载荷捕获、可配置的保留期，以及按地址导出或删除。
合规佐证，而非认证
可验证的审计轨迹，以及依据平台实时状态对应到各项控制要求（PCI DSS 4.0、NIS2、DORA、ISO 27001、SOC 2）的佐证材料。这是佐证而非证明：ToutWAF 不持有任何认证。
保护您的站点，并照看承载它们的服务器
控制台真实截图：实时仪表盘、A 到 F 的安全评分、一键修复，以及可自行定制的外观。
团队会喜欢的控制台
ToutWAF 控制台让您全面掌控：实时攻击、带解释的事件、站点、规则、封禁和证书，提供七种主题、浅色与深色模式，并适配手机。图示使用演示数据。
https://waf.example.com:9443
192.168.4.2 web.local AlmaLinux 10.2FR
仪表盘
请求1.2M/ 24h
已拦截14 3801.2%
CPU12 / 122296 MHz
内存1.6 / 63 GBtoutwaf-dp 0.3.0-dev
请求 / 已拦截
待关注2
双因素认证未启用启用 2FA 以保护控制台访问。
1 个站点没有证书Let's Encrypt 免费且自动。