Pas de superlatifs, pas de benchmarks inventés — une phrase honnête par capacité, chacune reliée au code qui tourne à la périphérie aujourd'hui.
Deux moteurs Coraza — proxy-wasm 0.5.0 et libcoraza FFI — tiennent dans une seule image dataplane et se sélectionnent par route.
Le wasm isolé en sandbox pour les règles écrites par le locataire, l'audit FFI plus riche pour les routes de confiance ops — aucun compromis unique imposé.
Les deux moteurs exécutent le jeu de règles OWASP Core Rule Set 4.26 épinglé contre chaque requête.
Vous héritez de la base maintenue par la communauté contre SQLi, XSS et RCE sans écrire de signatures à la main.
Les clients suspects passent par une preuve de travail, puis un CAPTCHA, puis Web Bot Auth (RFC 9421 / Ed25519).
Une friction graduée cale les abus automatisés tout en laissant passer les humains et les bots vérifiés — pas de blocage global.
Le scoring de risque par entité passe de la détection à la vérification puis à l'application avant de pouvoir bloquer.
Un nouveau signal observe et fait ses preuves d'abord, si bien que le scoring se resserre sans faux positifs bloquants dès le premier jour.
Le trafic à malveillance confirmée est écarté dans le noyau via nftables/netdev avant d'atteindre la WAF.
Les floods volumétriques sont absorbés à bas coût à la périphérie, gardant le pipeline de requêtes libre pour le trafic légitime.
Le module nginx-acme émet et renouvelle un certificat Let''s Encrypt dédié pour chaque domaine locataire.
Le TLS est automatique dès le premier changement de DNS — aucun certificat manuel, aucun rayon d'impact de certificat partagé.
Les nœuds edge fonctionnent en UE (Hetzner, OVH, Scaleway) avec résidence native RGPD, rétention configurable et droit à l'effacement.
Vos métadonnées de trafic restent dans la région par architecture — pas comme une option à contourner par configuration.
Nous intégrons les premiers partenaires à la main. Indiquez-nous votre domaine, nous nous occupons du reste.