未开发
尚未开发
- HTTP/3：该选项会被忽略，UDP 443 端口保持关闭
- 集群化的控制平面：目前只有一个活动控制台，外加一个由您手动接管的备用控制台
- PostgreSQL：控制台使用 SQLite（事件存储可选 ClickHouse）
- AsyncAPI 强制校验、自定义 DLP 规则、ECH、后量子密钥交换、PKCS#11 与 KMS 密钥存储
- 检测内容抓取和囤货，以及泄露密码检查
ToutWAF 的覆盖范围
ToutWAF 是一套完整的 WAAP，周边还有一组配套工具。这里列出的每项功能如今都已存在于产品中，并标明版本：免费或需要许可证。其中一些尚未在真实环境中试过，并带有相应标签。尚未开发、已被移除或未在真实系统上验证的内容，列在本页底部。
版本免费 包含在所有方案中，包括两个免费方案（Free 和 Free +）Pro 及以上 付费方案：在控制台中可见，无许可证时被锁定。从 Pro 起，另有标注 Agency 或 Enterprise 的除外
尚未在真实环境中试过 在产品测试中运行正常，但尚未用真实的服务、系统或设备试过。您设置该功能时，控制台会在相应位置显示同样的提示。
需要许可证的功能在控制台中始终可见，只是被锁定，绝不会被隐藏。若某项功能有免费基础部分和需要许可证的高级部分，则两者都会列出。付费许可证结束时：48 小时宽限期、48 小时只读，之后 WAF 防护关闭（流量照常通过但不受保护），直到续订。
Functions in detail
Dedicated pages: how it works, illustrations, use cases, and what is free or under licence.
Load balancing
Pools, algorithms, session persistence, health checks, maintenance, canary and blue/green, several nodes.
See the details
Analytics
Visitors, sources, pages, audience, performance, realtime, goals and security traffic, without a cookie.
See the details
Rules and WAF protection
Detectors, OWASP CRS, anomaly score, modes, exceptions, virtual patches, simulation, canary and automatic rules.
See the details
Certificates and TLS
ACME HTTP-01 and DNS-01, several authorities, checks before ordering, your certificates, TLS profiles, OCSP, mTLS.
See the details
Bots, anti-bot and Under attack mode
Bot score, challenges, verified crawlers, AI crawlers, exemption of programmatic clients and Under attack mode.
See the details
API security
Route profile in learning mode, OWASP API Top 10, JWT, keys, GraphQL, BOLA, discovery; schema validation and consumers under licence.
See the details
Data protection (DLP)
Response inspection, error masking, leak detection, fields masked in logs.
See the details
Cluster and nodes
Host agent, live dashboard, audit and guided fixes, remote terminal, protection nodes and supervision.
See the details
Reports and compliance
PDF reports, evidence by framework, privacy, right of access and erasure, reports per client.
See the details
Alerts and incidents
Alert rules, acknowledgement, notification channels, grouped incidents, events and search, metrics.
See the details
Teams, permissions and multi-organisation
Roles and permissions, two-factor authentication, audit, SSO, isolated clients, quotas, invitations and policy floor.
See the details
ToutPanel and site creation
Link with ToutPanel web servers, creating a site and the protected site in one operation, host-name aliases, access guard.
See the details
Firewall and VPN modules
Off by default and not yet proven in production: nftables rules with a guard and automatic rollback, VPN configuration generated and kept.
See the details
Scheduled tasks
Backup, journal export, certificates, lists, Doctor and e-mail report at fixed times, with history and an alert on failure.
See the details
- 按词法单元结构而非关键词列表识别 SQL 注入，支持五种数据库方言免费
- NoSQL 注入：查询、表单和 JSON 正文中的运算符与服务器端 JavaScript免费
- 跨站脚本：带上下文检测器的 HTML 分词器，覆盖 SVG、DOM 汇点和多语言载荷免费
- 命令注入与代码执行：Shell、PowerShell、解释器和语言级 eval免费
- 文件包含与路径遍历，对各种编码进行多轮解码免费
- SSRF：指向内部地址、云元数据和非常规协议的请求免费
- XXE 与 XML 实体扩展、XPath 注入免费
- 模板注入：Jinja2、Twig、Freemarker、Velocity、Thymeleaf免费
- 不安全的反序列化：Java、PHP、.NET、Python、YAML免费
- LDAP、表达式语言（OGNL、SpEL）、CRLF、开放重定向和原型污染免费
- HTTP 请求走私、严格的 RFC 9112 报文界定，以及针对 HTTP/2 滥用的限制免费
- 超过检查窗口的请求正文会被拒绝或上报，绝不会未经检查就转发免费
- 文件上传：扩展名、双重扩展名、魔数、Webshell、宏，可选 ClamAV 扫描免费
- CMS 防护：WordPress、Drupal、Joomla、PrestaShop、Magento、Nextcloud免费
- 扫描器与攻击工具（sqlmap、Nikto、Nuclei、Burp），以及通过连续 404 进行的枚举免费
- CSRF：检查 Origin 和 Referer，向表单注入令牌免费
- 会话防护：固定攻击、劫持检测、Cookie 加密免费
- 有界解析：对嵌套深度、大小和参数数量设限，正则表达式按线性时间运行免费
- 原样加载 OWASP CRS v4，使用 ToutWAF 自研的 SecLang 解析器与求值器免费
- 偏执级别 1 到 4，可按站点或路径设置免费
- 异常评分，分别设置入站和出站阈值免费
- 可按站点、规则和路径设置关闭、检测或拦截模式，并可覆盖动作免费
- 可读的规则语言，用于编写您自己的规则免费
- 按规则、参数、路径和地址设置的精细例外，可设有效期并预览影响免费
- 针对已知漏洞（Log4Shell、Spring4Shell、Confluence 等）的虚拟补丁，可按站点开关免费
- 误报处理：从事件一键生成范围最窄的例外，并附通俗易懂的解释免费
- 模拟：将历史流量回放到草稿策略上免费
- 观察期结束时生成检测报告，并附建议的例外免费
- 渐进式发布：一部分节点、一部分请求，或单条规则免费
- 策略继承：全局、组织、站点、路径免费
- 模板：通用、WordPress、Laravel、Symfony、Django、Spring、Node、单页应用免费
- 版本管理、结构化差异比对，一步回滚免费
- 版本上线前需第二人审批（四眼原则）免费
- 策略即代码：在 CI 中导出、校验、比对并应用 YAML 或 JSON免费
- 可在 CI 中运行的规则测试，输出 JUnit 格式免费
- 自动发布：每次变更都会编译、校验并在几秒内下发到节点；若有节点拒绝则自动回滚免费
- 站点自检：在拦截任何内容之前，先由您的数据平面评估一批普通请求免费
- 按规则组估算的误报率，以及“可以开始拦截”指示免费
- 针对站点所检测到技术的 CRS 插件免费
- 自动决策日志，附依据，可一键撤销免费
- “自动”配置：先仅记录，再挑战，最后拦截，每次推进一个规则组Pro 及以上
- 自动例外：范围窄、有时效，仅在真实流量中有充分依据时才创建Pro 及以上
- 当规则更新开始拦截普通请求时自动回滚Pro 及以上
特征库与威胁情报
约 85 个规则、信誉名单和数据表来源，由控制平面保持更新。不会发送任何有关您访客的信息。
- 约 85 个来源，每小时检查一次，使用前校验，出错即回滚免费
- 默认启用 Essential 包：Web 规则、已知被利用漏洞、Tor、大型免费地址列表、CDN 网络免费
- Pro 与 Maximum 包：更广的地址列表、钓鱼域名、AS 表、城市表Pro 及以上
- 可解释的 IP 信誉评分（0 到 100）：名单类别、独立提供方的一致程度、新鲜度免费
- 离线模式：为无法访问互联网的服务器提供已签名的离线包免费
- 在控制台中查询某个指标或地址免费
- 显示每个来源的许可证或使用条款；条款有限制的名单在您接受之前保持关闭免费
- 基于您自己的流量测得的每个名单的精度Pro 及以上
- 可调整的每个信誉类别分值Pro 及以上
- 每周巡检公开注册表，推荐新来源并标出已失效的来源Pro 及以上
- 为需要密钥的名单配置您自己的密钥，加密存储Pro 及以上
- 每 6 小时跟踪已知被利用漏洞（CISA KEV），在存在经过验证的特征时与虚拟补丁关联免费
- 识别站点技术，并推荐合适的模板和 CRS 插件免费
- 路由配置：声明允许的方法、路径、内容类型、请求与批量大小，先在学习模式下运行免费
- 保护我的 API：根据地址或规范进行引导式设置，并报告哪些请求将被拒绝免费
- OWASP API Top 10 覆盖情况页，附安全的一键修复免费
- JSON 值中的注入和批量赋值，GraphQL 限制（深度、别名、批量、复杂度）免费
- JWT 校验（签名、算法、声明、JWKS），并可从您的 OIDC 颁发方自动获取密钥免费
- API 密钥：可按方法和路径限定范围，支持配额与轮换免费
- BOLA/IDOR：同一身份访问过多对象免费
- 按连接设置 WebSocket 限制免费
- 从流量中发现接口、生成 OpenAPI、识别影子与僵尸 API，并给出安全态势评分免费
- 导入规范并校验请求与响应：OpenAPI 3、Swagger 2、GraphQL SDL、gRPC protoPro 及以上
- BOLA：从流量中学习哪些标识符从未分配给该客户端Pro 及以上
- 用无害攻击测试我的防护，对历史流量进行模拟，导入配置Pro 及以上
- 调用方、套餐与配额、私有用量页面，按密钥或用户限流Pro 及以上
- 已签名的入站 Webhook：Stripe、GitHub、GitLab、Slack、Shopify、Twilio 及通用 HMACPro 及以上
- 可解释的机器人评分（0 到 100），可用于规则，并显示在事件中免费
- 分级动作：记录、挑战、延迟、诱饵、拦截免费
- 无感的工作量证明、JavaScript 检查或保护隐私的内置验证码免费
- 可明确选择 Cloudflare Turnstile、hCaptcha 或 reCAPTCHA（此时访客地址会发送给服务商） 尚未在真实环境中试过免费
- 通过反向 DNS 验证爬虫：伪造的 Googlebot 会被拦截免费
- AI 爬虫策略（GPTBot、ClaudeBot 等）：放行、记录、挑战或拦截免费
- JA3 与 JA4 TLS 指纹，可用于拒绝特定工具和限制速率免费
- 请求头一致性：User-Agent、TLS 指纹、请求头顺序免费
- 在挑战过程中检查无头浏览器（headless）的特征免费
- 限制登录、一次性验证码和撞库攻击免费
- 拒绝使用一次性邮箱地址注册免费
- 可按地址、网段、会话、Cookie、请求头、API 密钥、JA4 或其组合限流免费
- 令牌桶或滑动窗口；返回带 Retry-After 的 429免费
- 按路径和方法设置规则，用于登录、搜索或 API免费
- 自适应洪水检测与自动进入遭受攻击模式免费
- 在顶部栏一键开启全局“遭受攻击”开关免费
- 防御 Slowloris、R.U.D.Y. 和慢速读取，并限制连接数免费
- HTTP/2 滥用：针对 Rapid Reset 和 CONTINUATION 洪水设置限制免费
- 源站保护：向源站发送密钥请求头，并生成让 Apache 只接受 ToutWAF 的文件免费
访问控制与 IP 信誉
名单、国家、信誉和自动封禁；按国家分级、阈值与模拟需要许可证。
- IPv4/IPv6 地址、网段、ASN 和国家的放行、拒绝和观察名单，支持有效期、标签、导入与导出免费
- 放行或拦截某个国家，仅放行模式，仅检测模式免费
- 保留访问权限的服务（支付、Webhook、监控）与受信任地址免费
- 信誉名单，可按类别设置动作（记录、挑战、拦截）免费
- Tor、VPN、代理和托管网络类别：记录、挑战或拦截免费
- 自动封禁，时长逐次递增免费
- 限制请求方法、主机、请求头和内容类型；管理路径仅限特定地址或国家访问免费
- 地址查询工具：位置、网络，以及已知的相关信息免费
- 整个站点的维护页面，指定地址仍可正常访问免费
- 按国家设置六个级别：正常、观察、加强、挑战、限制、拦截Pro 及以上
- 按路径、方法和时段限定范围；规则可设有效期；按国家设置信誉阈值Pro 及以上
- 对 Tor、VPN 和托管地址以及指定 ASN 单独设置级别Pro 及以上
- 对历史流量模拟地理策略的效果Pro 及以上
- 自动刷新的外部 IP 名单Pro 及以上
- 在内核层（nftables）拦截超大名单，仅限控制平面所在主机 尚未在真实环境中试过Pro 及以上
- TLS 1.2 和 1.3（中间配置）或仅 TLS 1.3（现代配置）免费
- 面向访客支持 HTTP/1.1 和 HTTP/2，面向源站支持 HTTP/2 或 h2c（不提供 HTTP/3）免费
- 由您选定的一家机构自动签发证书：Let's Encrypt、ZeroSSL、Google Trust Services、SSL.com 尚未在真实环境中试过免费
- 支持 HTTP-01 和 DNS-01 验证，到期前 30 天自动续期免费
- 下单前检查：A 和 AAAA 记录、CDN 识别、80 端口是否可达免费
- 可使用您自己的证书，热加载且不会中断握手免费
- OCSP stapling 与 HSTS免费
- 双向 TLS：访客的客户端证书，以及面向源站的证书免费
- 代理 WebSocket、服务器推送事件（SSE）和 gRPC免费
- 多家机构自动故障切换，支持付费和内部 ACME 目录 尚未在真实环境中试过Pro 及以上
客户端安全
安全响应头、Content-Security-Policy 生成器、第三方脚本清单以及 Cookie 加固。
- 默认启用的安全响应头：HSTS、nosniff、框架、Referrer、权限、COOP、CORP免费
- CSP 生成器：根据违规报告学习来源，先只报告，再强制执行免费
- 第三方脚本清单（含哈希）：标出新增域名和变更，并识别盗刷脚本特征免费
- Cookie 加固：Secure、HttpOnly、SameSite免费
- 错误屏蔽：堆栈跟踪和数据库错误绝不会到达访客免费
- 移除 Server 和 X-Powered-By 标识免费
- 泄露检测：银行卡（Luhn）、IBAN、国民身份号码、API 密钥、私钥、批量邮箱列表免费
- 对响应中的敏感数据执行记录、屏蔽或拦截免费
- 识别 Webshell 输出、网页篡改、目录列表和 source map免费
- 事件与日志：密码、令牌和卡号均被屏蔽免费
- 按名称屏蔽字段：接收事件时，地址、表单或 JSON 请求体中该字段的值会被替换为 ***免费
- 响应大小限制免费
异常检测、AI 助手与 LLM 应用防护
可解释的异常评分、会解释并提出建议的助手，以及保护您自有聊天和工具接口的防护层。
- 按接口计算的异常评分（孤立森林与基线），可解释，默认关闭免费
- LLM 应用防护：覆盖六种语言的提示注入特征（启发式，并非保证）免费
- MCP 防护：协议格式、允许与禁止的工具名、参数大小免费
- AI 助手：解释事件、事故或站点，并建议规则；规则在您保存之前保持停用免费
- 可离线使用内置答案；是否使用外部服务商由您明确选择免费
- 提问内容由摘要构成，绝不使用访客记录；仅在您点击按钮时才附上请求摘录免费
- 运行在您自己服务器上的私有语言模型（Ollama 或兼容 OpenAI）：任何提问都不会离开您的网络 尚未在真实环境中试过Enterprise
- 加权轮询、备用服务器、被动健康检查、安全重试和熔断器免费
- 路由池：把某个路径、主机、请求头、方法、国家或 A/B 比例的流量送往专属服务器组免费
- 超时、长连接，以及面向源站的 HTTP/1.1、HTTP/2 或 h2c；可用自有 CA 与源站建立 TLS免费
- 静态响应的内存缓存，支持清除免费
- Brotli、zstd 和 gzip 压缩免费
- URL 重写、重定向和自定义错误页面免费
- 10 种语言的拦截页面，带事故编号；您的站点名称、颜色和标志显示在固定的 ToutWAF 标识旁免费
- 从 PROXY 协议、受信任的 X-Forwarded-For 或 CF-Connecting-IP 获取真实客户端地址免费
- 多个防护节点：为在用节点给出建议的 DNS 记录，并检查您的 DNS 实际返回什么；提供用于虚拟地址的 keepalived 文件；ToutWAF 不管理 DNS 尚未在真实环境中试过免费
- 其他算法：最少连接、IP 哈希、一致性哈希、随机、二选一、最快响应Pro 及以上
- 通过 Cookie、地址或请求头保持会话Pro 及以上
- 主动健康检查，以及熔断器的精细调节Pro 及以上
- 对服务器或节点进行维护时不中断任何请求（排空）Pro 及以上
- 按请求比例的金丝雀与蓝绿发布，以及慢启动Pro 及以上
- 结构化 JSON 日志，附脱敏的载荷捕获免费
- 事件视图：带时间线，并用通俗语言说明发生了什么、在哪里、为什么免费
- 事件搜索语言、已保存的搜索、CSV 与 NDJSON 导出、实时流免费
- 事故聚合：成千上万条事件归并为一次攻击，拦截页面上显示事故编号免费
- 规则测试器：把一个请求在当前策略上重放，查看判定结果免费
- Prometheus 指标与 OpenTelemetry 链路追踪免费
- 可配置的保留期限，事件量很大时可选用 ClickHouse免费
- 针对阈值、异常、即将到期的证书和离线节点的告警免费
- 攻击地图：实时、可回放，平面或地球仪显示，电视模式，颜色随主题变化免费
- 访客、会话、页面浏览量、跳出率和时长，在代理处测得：无需脚本，无需 Cookie免费
- 每个请求都被归类为已拦截、攻击、机器人或真人：只有真人才计入访客免费
- 渠道、来源网站和营销活动（UTM），按国家、网络（ASN）和语言划分的受众免费
- 目标与自定义事件、外链点击、下载、表单；可选的自有站点脚本提供更多信息免费
- 性能：源站延迟百分位、状态码、缓存；启用脚本后还有 Core Web Vitals免费
- 安全流量：真人、机器人、攻击、已拦截和已挑战的占比；主要规则、国家和路径免费
- 实时：当前在线访客、每分钟浏览量、实时动态免费
- 与上一时段对比、筛选、CSV 和 JSON 导出免费
- 隐私：每日随机盐值、遵守 Do Not Track、匿名模式、按站点设置保留期免费
- Advanced analytics: conversion funnels, retention cohorts, map down to the city, traffic alerts, scheduled reports by e-mail (PDF or CSV)Pro 及以上
Reports and compliance
PDF reports, evidence by framework and privacy settings, computed from the real state of your installation. No certification is claimed.
- Executive or technical PDF reports, on demand or scheduled (weekly or monthly), sent by e-mail or through an integration免费
- Evidence for PCI DSS 4.0, NIS2, DORA, ISO 27001 and SOC 2, computed from the real state; it is not an attestation免费
- Privacy: address pseudonymisation, retention of events and addresses, log minimisation, masked fields免费
- Right of access and erasure for an IP address: export, then erasure of events, incidents and bans免费
- Security score per site, with the list of improvements to make免费
ToutWAF 医生与上线向导
一次检查覆盖从本机到站点源站的全链路，给出原因和处理办法，并已填好您自己的取值。
- 从本机到源站的一站式诊断：节点、策略、端口、防火墙、DNS、证书、互联网访问、源站免费
- 每条发现都附带原因和处理办法，用简单的语言说明免费
- IPv4 与 IPv6 的 DNS 检查，可识别遗留在 AAAA 记录中的 CDN 或代理地址免费
- 上线向导：节点、DNS、端口和证书四项检查，全部通过后才申请证书免费
- 可选的互联网侧测试，借助证书颁发机构的测试服务器完成免费
- 针对您的路由器、光猫、云安全组或防火墙的设置帮助，已填好您的取值（提供 OPNsense 与 pfSense 文件） 尚未在真实环境中试过免费
- 可发给技术支持的文本报告：不含访客信息，也不含页面内容免费
- 用生成的安装脚本或通过 SSH 安装来添加服务器免费
- 适用于 Linux 和 Windows 的小型代理，只发起出站连接免费
- 每台服务器的实时仪表盘：CPU、内存、磁盘、网络、端口、进程免费
- A 到 F 的安全评分，审计访问、网络、更新、系统、Web 服务器和恶意软件免费
- 19 项引导式一键修复，支持预览、撤销和防锁死保护免费
- 针对 13 类变化的入侵告警：新增端口、账户和 SSH 密钥、暴力破解、被修改的文件、Web Shell免费
- 杀毒扫描：Linux 使用 ClamAV，Windows 使用 Microsoft Defender，并支持隔离免费
- 浏览器中的远程终端：仅限会话所有者使用，留有审计记录，无需开放 SSH 端口免费
- SSH 安装绑定您先行确认的主机密钥指纹；凭据只用一次，绝不保存免费
- 一个 ToutWAF 防护节点，通过 SSH 或生成的命令安装，显示国旗、版本和同步状态免费
- 多个防护节点，由控制台安装并保持同步Pro 及以上
- 在全新服务器上远程安装 ToutPanel（网站托管面板），随后安装其 Web 栈（默认 Nginx、MariaDB、PHP 8.5） 尚未在真实环境中试过免费
- ToutPanel Web 服务器：通过命令或 SSH 关联，使用专用令牌、固定证书和心跳；待 ToutPanel 交付其部分后，ToutWAF 即成为面板的 WAF 引擎 尚未在真实环境中试过免费
ToutPanel integration and websites
Create a site in ToutPanel and ToutWAF in one operation, add aliases, and keep the two products reachable from each other.
- Creating a site from the console: ToutPanel site, database, FTP account, DNS zone, certificate and backups as chosen, then the protected site, with undo if a step fails免费
- Host-name aliases after creation: the ToutPanel site, the protected site, the policy and the certificate are updated together免费
- firewalld « keep-open » guard: restores ToutWAF's access to the web server's ports if a rule cut it (never tried against a real firewalld in production)免费
- « Behind ToutWAF » check of a panel site, in five verifications (not yet tried against a real ToutPanel)免费
- 第一台受监控的服务器免费：处理器、内存、交换区、磁盘、inode、负载、网络、服务、端口和进程免费
- 本地证书到期、待安装的安全更新、最近一次备份的时间、代理失联时长免费
- 按服务器类型（Web、数据库、邮件、DNS、容器）预设 25 条告警规则，含“注意”和“严重”两级阈值免费
- 按服务器、指标和对象发出告警，支持确认，恢复正常时发出通知免费
- 为您选定的指标自定义规则和阈值Pro 及以上
- 监控多台服务器Pro 及以上
- 历史数据保存在您自己的安装中：30 天明细、365 天小时均值，均可调整免费
- 从您的安装发起的可用性探测：HTTP、TCP 和 TLS 证书检查（3 个免费）免费
- 超过 3 个可用性探测Pro 及以上
- 当承载源站的服务器资源耗尽时通知 WAF免费
- “仅监控”模式：代理不会在该服务器上执行修复、扫描、恢复或终端操作免费
- 主机安全：盘点软件包、账户、SSH 密钥和计划任务，漏洞比对在您的控制台上完成（软件包清单绝不外传）Pro 及以上
- 监测您指定文件的完整性，并提供 25 项只读的加固检查Pro 及以上
备份与备用控制台
备份控制台和您监控的服务器并做恢复测试；由您决定何时让备用控制台接管。
- 控制台的定时本地备份，每次备份后都做一次恢复测试免费
- 带预览的引导式恢复，自动重启，并可回滚免费
- 备份中没有明文机密：密钥、令牌和密码都用主密钥加密封存免费
- 可在同一页面启动已关联 ToutPanel 的备份计划免费
- 异地目标：S3、SFTP、WebDAV 或自定义命令Pro 及以上
- 备份服务器：备份受监控服务器的文件和数据库（MySQL、MariaDB、PostgreSQL），用只有您持有的恢复密钥加密，并通过恢复测试验证Pro 及以上
- 备用控制台：每小时一份加密且经校验的副本，由您手动引导式接管 尚未在真实环境中试过Agency 及以上
- 即使没有许可证，从备用控制台接管也永远不会被锁定免费
邮件安全
ToutWAF 通过 SSH 在您自己的服务器上安装并管理的 Postfix 与 Rspamd 网关，置于您真正的邮件服务器之前。没有免费版。
- 置于邮件服务器之前的入站网关，通过 SSH 在专用 Linux 服务器上安装和管理 尚未在真实环境中试过Pro 及以上
- 反垃圾邮件与反钓鱼、附件策略、可选杀毒、隔离区 尚未在真实环境中试过Pro 及以上
- 防止邮件中的数据泄露 尚未在真实环境中试过Pro 及以上
- 发件人验证（SPF、DKIM、DMARC）、灰名单、冒充与链接检测：默认全部关闭 尚未在真实环境中试过Pro 及以上
- 绝不会成为开放中继：每份配置都经过检查；过滤器停止时邮件被暂存，而不会丢失 尚未在真实环境中试过Pro 及以上
- 可选的外发邮件：中继、DKIM 签名、发送限额 尚未在真实环境中试过Pro 及以上
- 邮件诊断、隔离区每日摘要、报告和导出 尚未在真实环境中试过Pro 及以上
- 默认情况下您的邮件不会发给任何第三方；邮件内容绝不会出现在审计日志中 尚未在真实环境中试过Pro 及以上
- 免费版包含一个组织，即默认组织免费
- “添加客户”向导：客户信息、配额、首位用户、报告品牌、隔离验证和交付Agency 及以上
- 客户之间严格隔离，对每一类接口都有测试验证Agency 及以上
- 按客户设置配额（站点、用户）；每月请求量只做统计，绝不会中断流量Agency 及以上
- 客户选择器，以及显示各客户防护状态的多客户总览Agency 及以上
- 可暂停、归档、导出和删除客户；重新启用、导出和删除永远不会被锁定Agency 及以上
- 把站点从一个客户移到另一个客户Agency 及以上
- 由上级强制规定的策略底线Agency 及以上
- 通过一次性链接发出邀请：绝不发送密码Agency 及以上
- 按客户定期生成 PDF 报告；导出 CSV 用量，供您自行开具账单Agency 及以上
- 客户的名称、标志、颜色和支持联系方式显示在其报告中，与 ToutWAF 并列，绝不取代 ToutWAFAgency 及以上
- 经销商许可证：所有客户共享一个配额池Agency 及以上
- 角色与权限：七个内置角色、自定义角色、按站点限定范围（免费版 2 个用户）免费
- TOTP 双因素认证（含恢复码），以及限定权限范围的 API 令牌免费
- 审计日志：谁、做了什么、何时、从哪里，含变更前后对比，可验证的哈希链，支持 CSV、JSON 和 NDJSON 导出免费
- 审计日志以 CEF 和 Syslog 格式导出，供 SIEM 使用Pro 及以上
- 企业登录：OIDC 和 SAML 身份提供方，以及 SCIM 账户同步 尚未在真实环境中试过Enterprise
- 控制台能做的一切都有对应的 REST API，令牌可限定权限范围免费
- 命令行工具：策略、测试、模拟、备份、诊断免费
- 节点总览页：节点、版本、注册令牌，以及按序编排的节点更新免费
- 许可证：签名密钥在您的机器上本地校验，不经网络核验；到期后先有 48 小时宽限期，再有 48 小时只读免费
集成
六种通知类型免费；面向 SIEM、聊天、工单、SOAR 和威胁情报共 45 个模块，需要许可证。您现有的代理和 CDN 都能与 ToutWAF 配合使用。
- 告警通知：电子邮件、带签名的通用 Webhook、Slack、Microsoft Teams、PagerDuty、Opsgenie免费
- SIEM 与日志：Syslog（CEF、LEEF、JSON）、Splunk、Elastic 与 OpenSearch、Microsoft Sentinel、QRadar、ArcSight、Wazuh、Graylog、Datadog、Loki、OpenTelemetry 尚未在真实环境中试过Pro 及以上
- 更多聊天与呼叫渠道：Discord、Google Chat、Mattermost、Telegram、ntfy、Pushover、Rocket.Chat、Webex、Zulip、GotifyPro 及以上
- 工单系统：Jira、GLPI、ServiceNow、GitHub 与 GitLab Issues、Linear、Redmine、Zendesk 尚未在真实环境中试过Pro 及以上
- SOAR 与自动化：n8n、Shuffle、Zapier、TheHivePro 及以上
- 威胁情报：MISP 双向同步、STIX/TAXII（OpenCTI 等）、CrowdSecPro 及以上
- 您现有的反向代理可向 ToutWAF 请求判定：nginx、Caddy、HAProxy、Envoy、Traefik免费
- 可部署在 CDN 或云负载均衡器之后或之前，并获取真实客户端地址（PROXY 协议或受信任的请求头）免费
- 用于 Git 和 CI 的策略文件、Ansible 角色、Helm Chart，以及面向 Terraform 的 API 客户端免费
- Git link (off by default, experimental): the configuration lives in a Git repository, ToutWAF computes a plan and applies it after checks 尚未在真实环境中试过Pro 及以上
Firewall and VPN (optional modules)
Two modules that are off by default and not yet proven in production: try them first on a machine you can reach another way.
- Firewall: inbound, outbound and forwarded rules loaded with nftables, aliases, NAT, OPNsense and pfSense import, history (not yet proven in production)免费
- Guard against locking out the console and SSH, and automatic return of the rules after 60 seconds without confirmation (not yet proven in production)免费
- VPN: WireGuard, OpenVPN and IPsec/IKEv2 servers with their clients; the configuration is generated and kept, no tunnel is started (not yet proven in production)免费
- Outgoing connections from this machine to an existing VPN (WireGuard, OpenVPN), without replacing the default route unless explicitly asked (not yet proven in production)免费
- One switch per module in Settings > Modules, reserved to platform administrators; switching a module off hides it and deletes nothing免费
Scheduled tasks
Safe maintenance actions at fixed times: backup, journal export, certificates, lists, Doctor and e-mail report.
- Six built-in actions: configuration backup, journal export and rotation, certificate check, list update, Doctor, e-mail report免费
- Five-field schedules or simple repetitions, time zone, single run, preview of the next runs and catch-up of a missed run免费
- One run at a time per task, time limit, bounded history with truncated output and masked secrets, alert after two failures in a row免费
- Actions on a linked ToutPanel web server (service, cache, backup): reserved to platform administrators and off by default免费
安装与部署
适用于 Linux 和 Windows 的单行安装程序，会先检查您的系统；一体化安装；可用 Apache 或 Nginx 作为源站；Docker 与 Kubernetes 文件；以及控制台内的更新。
- 适用于 Linux 和 Windows 的单行安装程序，可交互菜单或无人值守，支持 10 种语言，带 SHA-256 校验，设置发布密钥后还校验签名免费
- 任何改动之前先做兼容性检查：系统分为已测试、预期支持和不支持，数据来自安装程序自身免费
- 环境检查：端口被占用、开机自启的 Web 服务器、防火墙未放行，并给出原因和处理办法免费
- 一体化安装：本机数据平面自动注册，之后无需再输入任何内容免费
- 以 Apache 或 Nginx 作为源站：“源站服务器”卡片会检查它，并生成用于获取真实访客地址和 HTTPS 的文件；ToutWAF 绝不会修改您的服务器免费
- 公开的安装模式矩阵：已测试、部分测试、未测试或不支持免费
- 适用于 Docker Compose 的一体化镜像（已在 Linux amd64 上测试）和 Helm Chart，随您的发行包提供免费
- 由 YAML 文件驱动的独立数据平面，支持热加载；可用本地压缩包离线安装免费
- 在控制台中更新：可选择通道（目前为 dev，尚无稳定版）、发布说明、“立即更新”并显示进度，失败时自动回滚免费
- firewalld 或 ufw 启用时，安装程序会放行所需端口；在“设置”中有卡片可检查并开放端口免费
- 首次启动向导，带技术识别：显示识别到的层次、置信度和依据免费
控制台与语言
可自定义的控制台，支持 10 种语言（含从右到左书写的阿拉伯语），通过秘密路径访问。
- 七种主题：经典、蓝宝石、Aurora（默认）、Obsidian、Nordic、Ember、行政；浅色与深色模式，可自选强调色免费
- 控制台和安装程序支持 10 种语言，包括从右到左书写的阿拉伯语免费
- 控制台只在一个秘密路径下提供服务，并附带一次性设置链接免费
- 每项设置旁都有帮助说明，带加载动画，适配手机的布局，可折叠的菜单免费
- 悬浮的任务窗口，跟踪安装、更新和证书申请的进度免费
控制台的真实样子
产品截图：规则、事件、站点和备份。
本版本中尚未包含的内容
ToutWAF 会如实说明哪些功能尚未实现、哪些尚未验证，免得您在生产环境中才发现。详细说明和已知限制的完整列表见文档。
部分实现
预览或部分实现
- 集体防御网络：已从本版本中移除（没有菜单、页面，也没有许可证条目）。它只是本地预览，从未向任何地方发送过任何内容
- Terraform：仅有 API 客户端，没有提供程序资源；Kubernetes 运算符只有 CRD 和骨架
- 杀毒：已有初版（EICAR、来自免费名单的 SHA-256 特征，没有反勒索功能），但目前不包含在任何方案中；不能取代完整的杀毒软件
- 限流计数器、封禁和基线按节点保存，不在节点之间共享
- Envoy 和 HAProxy 通过 HTTP 决策接口调用：没有 gRPC ext_authz，也没有 SPOE 代理
未验证
未在真实系统上验证
- 在每个所列系统的干净机器上安装，以及 Windows、macOS 和 arm64 上的杀毒代理：未使用真实的 Windows、macOS 或 arm64 硬件，只用过容器和模拟环境
- 真实的 ToutPanel：关联和 Web 栈安装只针对模拟对象测试过
- 路由器与防火墙、内核层拦截和虚拟地址：针对 OPNsense 和 pfSense 生成的文件从未在真实路由器上试过，内核辅助程序从未在真实的 systemd 下运行，也没有测试过真实的 keepalived 切换
- 真实的证书颁发机构、SAML 登录、SIEM 与工单服务、外部验证码服务商和私有语言模型服务器：只针对模拟对象测试过
- 邮件网关：Postfix 守护进程从未运行过，也没有接收或投递过真实邮件。备用控制台：只在两个本地控制台之间试过
有意为之
有意不做
- ToutWAF 绝不管理您的 DNS：它告诉您该创建什么记录，并负责检查
- ToutWAF 不处理付款，也不开发票：您可根据用量导出文件向客户收费
- 不提供贴牌（白标）：每个页面和报告上都保留 ToutWAF 品牌，客户的名称和标志只是并排添加
- 不声称获得任何认证（PCI DSS、ISO 27001、SOC 2、ANSSI CSPN）：ToutWAF 提供的是佐证材料，而非证明
- 10 种语言的文本借助 AI 撰写，尚未经过母语人士审校