open-appsec

WAF à deux modèles appris, greffé sur le proxy existant

open-appsec est un pare-feu applicatif web (WAF) open source publié par Check Point Software Technologies, qui protège aussi les API. Le moteur ne compare pas les requêtes à des signatures. Un premier modèle, entraîné hors ligne sur des millions de requêtes malveillantes et légitimes, juge chaque requête décodée. S'il la trouve suspecte, un second modèle, appris sur le trafic du site protégé, tient compte de l'URL et des utilisateurs en jeu pour calculer le score de confiance qui décide du blocage.

open-appsec ne remplace pas le reverse proxy. Un module en C, l'« attachment », se greffe sur NGINX, Kong, APISIX ou Envoy et passe les requêtes à un agent en C++ par mémoire partagée. BunkerWeb prend au contraire la place du reverse proxy et filtre avec les règles de l'OWASP CRS, tandis que CrowdSec part des logs pour faire bloquer des adresses IP.

Le comparatif des WAF open source oppose cette approche par apprentissage aux règles OWASP et à la réputation communautaire.

Apprentissage par paliers, sans signatures à tenir à jour

• Aucune signature à tenir à jour : la documentation promet une protection des failles zero-day sans mise à jour de signatures, et sans la gestion d'exceptions des WAF à règles.
• Un apprentissage par paliers : le mode Learn/Detect journalise sans bloquer. Avec assez de trafic, l'apprentissage prend « environ 2 à 3 jours », et la documentation conseille de passer en mode Prevent au niveau « Graduate », le troisième sur cinq.
• Le proxy déjà en place : NGINX, Ingress NGINX, Kong, APISIX, Envoy, Envoy Gateway et la passerelle d'entrée Istio, sur Linux, Docker ou Kubernetes. Sur Linux, l'installeur prend un attachment précompilé pour la version du serveur ; une version absente de la liste oblige à le compiler.
• NGINX Proxy Manager et NPMplus : l'équipe publie des images de NPM qui embarquent l'attachment. Le WAF se règle alors depuis l'interface de NPM, sans le SaaS.
• CrowdSec dans les deux sens : open-appsec peut servir de bouncer et bloquer les adresses de la CTI CrowdSec (Ingress NGINX sur Kubernetes, ou Docker avec NGINX ou Kong). En retour, la collection openappsec/openappsec fait lire à CrowdSec les logs d'open-appsec, qui nourrissent sa liste de blocage communautaire.
• Configuration locale ou hébergée : fichier local_policy.yaml, CRD Kubernetes, chart Helm, ou interface web sur my.openappsec.io.

Modèle avancé sous licence séparée, anti-bot et IPS payants

Le modèle du dépôt n'est pas celui de la production. Le modèle supervisé livré avec le code, dit « basic », est sous Apache-2.0 comme le reste du dépôt, et le README le recommande pour les tests et la surveillance seule. Le modèle « advanced », recommandé en production, se télécharge après connexion au portail my.openappsec.io, sous une licence à part (« Machine Learning Model license »).

Les moteurs annexes sont payants. L'anti-bot, la validation de schéma d'API, l'analyse des fichiers et l'IPS, qui revient aux signatures (plus de 2 800 CVE web), demandent un abonnement à Check Point WAF (l'édition entreprise) ou à l'ancienne édition Premium, que la documentation marque « deprecated ». En édition communautaire, la limitation de débit n'admet qu'une règle. La page des tarifs vend pourtant toujours l'édition Premium, de 79 à 109 dollars par mois, avec une offre « prolongée jusqu'au 31 décembre 2024 ».

Sans le SaaS, six conteneurs dont un PostgreSQL. Le fichier Compose NGINX du dépôt lance l'agent et un conteneur NGINX doté de l'attachment. Sans jeton du portail, le profil standalone ajoute smartsync, qui fusionne l'apprentissage des instances, son stockage, le service de tuning et PostgreSQL 18. L'agent partage l'espace IPC de l'hôte (ipc: host), ce que le README rend obligatoire. Les pages d'installation ne chiffrent ni la mémoire ni le processeur, et l'exemple tire l'image latest.

Le code arrive par lots. La branche principale compte 10 commits en 2026, dont un lot de 216 fichiers intitulé « Jan 06 2026 dev ». Quatre versions sont sorties cette année, jusqu'à la 1.1.36 fin août, contre dix en 2025. Les notes des trois dernières se résument à « Support for new nginx & Linux distributions » et « General bug fixes ».

L'audit date du lancement. Le README renvoie à un audit du code par un tiers indépendant, mené en septembre et octobre 2022 ; le rapport de Lexfo est dans le dépôt. Le badge OpenSSF Best Practices, niveau « passing », a été obtenu le 26 octobre 2022, jour de la création du dépôt, et sa fiche n'a pas été mise à jour depuis.