Aller au contenu principal

Référentiel technique

En-têtes HTTP​

Les serveurs Visiativ Cyber WAF peuvent modifier leur comportement pour le traitement de certaines requêtes en fonction d'en-têtes spécifiques fournies par le navigateur client ou votre application. Par ailleurs, un certain nombre d'en-têtes spécifiques de réponses peuvent être activées, en plus des en-têtes standard.

Echanges avec le navigateur client​

En-têtes de réponse​

Les en-têtes HTTP suivants peuvent être ajoutés, modifiés ou supprimés lors de la réponse des serveurs Visiativ Cyber WAF vers les navigateurs de vos internautes.

En-tête HTTPDescription
viaIndique le serveur Visiativ Cyber WAF par lequel la requête a transité jusqu'à votre application. Le niveau de debug doit être positionné sur Moyen ou plus haut.
X-ProxeeGuard-BackendIndique le backend et l'IP du serveur ayant pris en charge la requête. Le niveau de debug doit être positionné sur Moyen ou plus haut et votre application doit être paramétrée avec plusieurs serveurs (voir la section Equilibrage de charge).
X-ProxeeGuard-Cache-DateIndique la date de mise en cache d'un contenu. Le niveau de debug doit être positionné sur Moyen ou plus haut.
X-ProxeeGuard-Cache-StatusIndique l'état de mise en cache d'un contenu :

  • MISS : le contenu n'a pas été trouvé dans le cache et a donc été lu depuis le serveur d'origine. La réponse peut alors avoir été mise en cache ;
  • HIT : la réponse contient un contenu provenant directement du cache ;
  • EXPIRED : le contenu dans le cache a expiré. La réponse contient un contenu frais en provenance du serveur d'origine.
Le niveau de debug doit être positionné sur Moyen ou plus haut.
X-ProxeeGuard-Request-IdIndique un identifiant unique de requête. Cet identifiant peut être utilisé par les équipes Visiativ à des fins de diagnostic. Le niveau de debug doit être positionné sur Haut.
X-ProxeeGuard-Rule-IdIndique un identifiant unique de règle. Cet identifiant peut être utilisé par les équipes Visiativ à des fins de diagnostic. Le niveau de debug doit être positionné sur Moyen ou plus haut.

Echanges avec les backends​

En-têtes de requête​

Les en-têtes HTTP suivants sont positionnés dans les requêtes émises par les serveurs Visiativ Cyber WAF vers vos serveurs backends.

En-tête HTTPDescription
HostContient le nom de domaine de l'application, ou le nom de domaine personnalisé si celui-ci a été précisé.
X-Forwarded-ForContient l'en-tête X-Forwarded-For fournit par le navigateur de l'internaute qui a émis la requête, avec l'adresse IP de l'internaute séparé par une virgule. Si l'en-tête X-Forwarded-For est absent de la requête initiale le contenu est identique à X-Real-IP.
X-Forwarded-ProtoContient le type de connexion de la requête initiale, http ou https.
X-Real-IPContient l'adresse IP de l'internaute qui a émis la requête initiale.

Adressage IP des clusters​

Les clusters Visiativ Cyber WAF sont constitués de plusieurs serveurs afin de garantir une disponibilité et une performance maximale.

Vous trouverez ici la liste des plages IP depuis lesquelles des connexions vers vos serveurs vont être initiées, en fonction des clusters auxquels votre application est rattachée. Ces IP peuvent être utilisées pour configurer des restrictions d'accès à vos serveurs, par exemple pour bloquer le trafic qui ne provient pas des serveurs Visiativ Cyber WAF.

ClusterComposition géographiquePlage / Adresses IP
Cluster OVH France #1Strasbourg, Gravelines5.39.7.192/29
Staging OVH France #1Strasbourg5.39.7.192/29

Compatibilité TLS / SSL​

Protocoles supportés​

ProtocolePrise en charge
TLS v1.3Oui
TLS v1.2Oui
TLS v1.1Non (version déclarée obsolète par l'IETF)
TLS v1.0Non (version déclarée obsolète par l'IETF)
SSL v3Non (version déclarée obsolète par l'IETF)
SSL v2Non (version déclarée obsolète par l'IETF)

Ciphers supportés​

Niveau de sécurité des ciphers

Le tableau ci-dessous donne la liste exhaustive des ciphers pris en charge par Visiativ Cyber WAF. Ceux-ci sont activés par défaut afin de conserver une compatibilité maximale avec des équipements historiques, sans toutefois compromettre le niveau de sécurisation des échanges. Il est toutefois possible de réduire cette liste pour ne conserver que les ciphers les plus sécurisés.

IdentifiantNom IANANom OpenSSLRecommandation ANSSI
0x1302TLS_AES_256_GCM_SHA384TLS_AES_256_GCM_SHA384Oui
0x1303TLS_CHACHA20_POLY1305_SHA256TLS_CHACHA20_POLY1305_SHA256Oui
0x1301TLS_AES_128_GCM_SHA256TLS_AES_128_GCM_SHA256Oui
0xC030TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384ECDHE-RSA-AES256-GCM-SHA384Oui
0xCCA8TLS_ECDHE_RSA_WITH_CHACHA20_POLY1305_SHA256ECDHE-RSA-CHACHA20-POLY1305Oui
0xC061TLS_ECDHE_RSA_WITH_ARIA_256_GCM_SHA384ECDHE-ARIA256-GCM-SHA384-
0xC02FTLS_ECDHE_RSA_WITH_AES_128_GCM_SHA256ECDHE-RSA-AES128-GCM-SHA256Oui
0xC060TLS_ECDHE_RSA_WITH_ARIA_128_GCM_SHA256ECDHE-ARIA128-GCM-SHA256-
0xC028TLS_ECDHE_RSA_WITH_AES_256_CBC_SHA384ECDHE-RSA-AES256-SHA384Mode dégradé
0xC077TLS_ECDHE_RSA_WITH_CAMELLIA_256_CBC_SHA384ECDHE-RSA-CAMELLIA256-SHA384-
0xC027TLS_ECDHE_RSA_WITH_AES_128_CBC_SHA256ECDHE-RSA-AES128-SHA256Mode dégradé
0xC076TLS_ECDHE_RSA_WITH_CAMELLIA_128_CBC_SHA256ECDHE-RSA-CAMELLIA128-SHA256-
0xC014TLS_ECDHE_RSA_WITH_AES_256_CBC_SHAECDHE-RSA-AES256-SHA-
0xC013TLS_ECDHE_RSA_WITH_AES_128_CBC_SHAECDHE-RSA-AES128-SHA-
0x009DTLS_RSA_WITH_AES_256_GCM_SHA384AES256-GCM-SHA384-
0xC0A1TLS_RSA_WITH_AES_256_CCM_8AES256-CCM8-
0xC09DTLS_RSA_WITH_AES_256_CCMAES256-CCM-
0xC051TLS_RSA_WITH_ARIA_256_GCM_SHA384ARIA256-GCM-SHA384-
0x009CTLS_RSA_WITH_AES_128_GCM_SHA256AES128-GCM-SHA256-
0xC0A0TLS_RSA_WITH_AES_128_CCM_8AES128-CCM8-
0xC09CTLS_RSA_WITH_AES_128_CCMAES128-CCM-
0xC050TLS_RSA_WITH_ARIA_128_GCM_SHA256ARIA128-GCM-SHA256-
0x003DTLS_RSA_WITH_AES_256_CBC_SHA256AES256-SHA256-
0x00C0TLS_RSA_WITH_CAMELLIA_256_CBC_SHA256CAMELLIA256-SHA256-
0x003CTLS_RSA_WITH_AES_128_CBC_SHA256AES128-SHA256-
0x00BATLS_RSA_WITH_CAMELLIA_128_CBC_SHA256CAMELLIA128-SHA256-
0x0035TLS_RSA_WITH_AES_256_CBC_SHAAES256-SHA-
0x0084TLS_RSA_WITH_CAMELLIA_256_CBC_SHACAMELLIA256-SHA-
0x002FTLS_RSA_WITH_AES_128_CBC_SHAAES128-SHA-
0x0041TLS_RSA_WITH_CAMELLIA_128_CBC_SHACAMELLIA128-SHA-