PARE-FEU APPLICATIF ROOKGUARD
Du noyau réseau aux chemins-pièges, le WAF RookGuard filtre, analyse et applique la défense de vos services web. Son moteur est conçu par RookGuard, ses composants sont opérés dans votre chaîne de protection.
La protection s’applique
avant votre application.
Schéma de principe · parcours réseau simplifié.
01 / LE PARCOURS DU TRAFIC
Choisissez une requête et suivez son parcours. Une adresse déjà bloquée s’arrête au noyau ; un contact sur un chemin-piège se révèle plus loin dans la chaîne.
La visualisation illustre les rôles des étages. Elle ne constitue pas un test de détection ni une mesure de latence ou de performance.
02 / UNE RESPONSABILITÉ PAR ÉTAGE
NOYAU NFTABLES
Une adresse confirmée et inscrite dans la liste de blocage est arrêtée au niveau du noyau. Elle ne doit plus atteindre nginx ni l’application. Le Bouclier collectif peut alimenter cette défense par des ordres signés et acquittés.
FRONTAL NGINX
Le frontal applique les règles d’accès, les motifs interdits et la limitation de débit. Il traite les rafales et les requêtes qui correspondent aux règles configurées avant le travail du moteur applicatif.
MOTEUR ROOKGUARD
Le moteur combine les signatures développées par RookGuard et des éléments de contexte : activité de l’adresse, comportement observé et signaux du parc. Il couvre notamment les injections, les traversées de chemins, les tentatives d’exécution et les scanners.
PIÈGES SOUVERAINS
Les canaris et chemins-pièges apportent un signal distinct : un visiteur légitime n’est pas censé les toucher. La capture peut déclencher la réponse et alimenter la protection collective, sous réserve des garde-fous.
LE WAF, DANS LES FAITS / CAPTURE DU 8 SEPTEMBRE 2026
Les chiffres ci-dessous reprennent votre console à la date de la capture. Le trafic propre à l’organisation, les blocages HTTP et la protection collective en amont se lisent séparément.
Un moteur qui examine
cinq familles de signaux.
Repérer les outils de reconnaissance et les sondes automatisées. Dans cet instantané, les 784 détections appartiennent à cette famille.
GET /.aws/credentialsRecherche de secretsDétectéGET /.env/.env.bakConfiguration exposéeDétectéGET /api/.envExploration de l’applicationDétectéGET /_profiler/phpinfoSonde d’un outil de diagnosticCapture de piègeLes chiffres restent datés et fixes. Dans cette capture, les blocages HTTP sont à zéro car le WAF est en détection ; le Bouclier collectif protège déjà contre 14 184 IP hostiles connues en amont.
LA DÉCISION SE NOURRIT DE PLUSIEURS SIGNAUX
Le moteur rapproche les renseignements disponibles, l’activité observée et les captures de ses propres pièges. Cette lecture combinée permet de distinguer une adresse à surveiller d’une menace éligible à la réponse.
Une adresse présente dans une seule source incertaine est suivie et enrichie. Le schéma ne déclenche pas de blocage collectif sur ce seul indice.
Indicateurs distincts de la capture du 8 septembre 2026. Ils ne constituent pas une répartition exhaustive à additionner.
Scanners, rafales de requêtes et spam se reconnaissent aussi par leur comportement. Les capteurs apportent une observation propre à RookGuard, complémentaire aux listes de réputation.
ThreatFox, OTX et Feodo contribuent à l’enrichissement. Les informations sont recoupées avec le comportement observé avant la décision ; la présence dans un flux ne raconte pas à elle seule toute l’activité.
Domaines, adresses de confiance, sensibilité et mode d’application restent dans votre périmètre. Les paramètres permettent d’adapter la protection à l’usage réel de l’application.
LES PIÈGES SOUVERAINS
Un chemin-piège placé hors des usages métier donne un signal de reconnaissance. RookGuard capture le contact, le qualifie et peut enrichir la défense collective sous ses garde-fous.
/.env/.git/.aws/_profiler03 / QUI TRAITE QUOI ?
Cette grille explique le rôle principal de chaque composant. La protection effective dépend de la configuration, des règles actives et du contexte de la requête.
| Situation | 00 · Noyau | 01 · Frontal | 02 · Moteur | 03 · Pièges |
|---|---|---|---|---|
| Adresse déjà bloquée | Blocage | Non atteints | Non atteints | Non atteints |
| Rafale / accès interdit | Contrôle IP | Filtrage | Selon passage | Selon passage |
| Injection / traversée / RCE | Contrôle IP | Règles frontales | Analyse | Si contact |
| Exploration d’un canari | Contrôle IP | Règles frontales | Contexte | Capture |
| Trafic légitime | Contrôle | Contrôle | Contrôle | Aucun piège touché |
04 / VOS DOMAINES, VOTRE PROFIL
Le trafic est rattaché à l’organisation par son domaine. Le mode de protection, le niveau de sensibilité et les exclusions se règlent pour tenir compte de vos applications et de vos équipes.
Observez les événements et les règles déclenchées pour comprendre le comportement du trafic avant d’ajuster la politique.
Exemple de périmètres. Cette commande explique les modes ; elle ne modifie aucune configuration.
Le niveau de contrôle se règle en fonction du profil de l’application et de ses usages. Une politique se valide sur le trafic de l’organisation.
Les adresses et usages légitimes sont pris en compte dans les listes blanches et les garde-fous de la plateforme.
Le domaine, le signal observé, la règle et la décision permettent de comprendre pourquoi une protection s’est appliquée.
05 / LA DÉFENSE NE S’ARRÊTE PAS AU DOMAINE
La trace relie la capture, la décision et la mesure appliquée. Le chaînage SHA-256 et l’horodatage tiers RFC 3161 du Bouclier dirigeant permettent de constituer le dossier de preuves de l’offre Sovereign.
Les indicateurs déjà consolidés dans la plateforme peuvent nourrir la défense. Les données client ne sont pas envoyées à un service de réputation pour chaque requête.
06 / CONÇU ET OPÉRÉ PAR ROOKGUARD
Le moteur WAF et les pièges sont développés par RookGuard. nginx et nftables sont des composants libres opérés dans cette architecture. Selon la plaquette, aucun CDN ni WAF tiers n’est interposé devant les données de la plateforme.
WAF souverain à quatre étages, Bouclier collectif, cartographie et SIEM.
Voir les offres ↗VOS DOMAINES. VOTRE TRAFIC. VOTRE POLITIQUE.