TenthMatrix WSL Proxy
Passerelle API, CDN et WAF d'entreprise — Présentation du produit
TenthMatrix WSL Proxy (WSLProxy) est le plan de contrôle complet de TenthMatrix pour la passerelle API et la périphérie CDN. Il se place devant vos origines et décide à chaque requête de ce qui se passe — routage, sécurité, cache et observation — à partir de configurations JSON et MCP dynamiques, sans recharger nginx à chaque modification de règle.
Qu'est-ce que TenthMatrix WSL Proxy ?
WSLProxy est une passerelle API dynamique et un reverse proxy sur OpenResty. Les opérateurs gèrent hôtes virtuels, règles de routage, politiques WAF, cache, répartition du trafic et POP en périphérie depuis une interface d'administration, une API REST, des outils MCP ou wslproxy-cli. Les règles courantes s'appliquent sur le chemin critique ; nginx ne se recharge que lorsque les blocs listen ou SSL au niveau serveur changent.
Watch the overview
Regarder : introduction à TenthMatrix WSL Proxy
Regarder
Regarder sur YouTube: Regarder : introduction à TenthMatrix WSL Proxywslproxy.org
Regarder : présentation du WAF de WSL Proxy
Regarder
Regarder sur YouTube: Regarder : présentation du WAF de WSL Proxywslproxy.org/waf
Fonctionnement du proxy
Comme un guide de solutions : faire correspondre une fois, décider à chaque requête, puis relayer ou protéger. Le plan de contrôle n'a jamais besoin de redémarrer la périphérie pour des changements de règles ordinaires.
La requête arrive sur un POP
Navigateurs, API et agents atteignent une périphérie TenthMatrix WSL Proxy (Docker, POP bare-metal via Ansible ou ingress Helm sur k3s). OpenResty accepte le TLS et entre dans le chemin critique Lua.
Correspondance avec une règle de routage
gateway_ack.lua charge l'hôte virtuel et évalue les règles dynamiques depuis le disque ou Redis : chemin, IP, pays, JWT, S3, cookie, etc. La priorité et la spécificité désignent la règle gagnante — sans rechargement de nginx.
Pipeline : limitation de débit → WAF → réponse
Le pipeline de la passerelle applique la limitation de débit, puis le moteur WAF (étapes + signatures), puis gateway_resp.lua applique l'action de réponse et les timeouts du répartiteur.
Décider de l'issue
Issues typiques : 305 reverse proxy vers un upstream, redirection 301/302, blocage HTML statique, défi CAPTCHA ou blocage WAF 403 avec en-têtes d'identifiant de support.
Répartir et observer
Pour les réponses proxy, balancer_by_lua applique une répartition pondérée, RR, canary, sticky ou least-conn. Santé, métriques et statistiques de trafic alimentent l'exploitation et les hooks de logs IA.
Opérateurs et agents pilotent la configuration
Les humains utilisent l'interface d'administration / la CLI ; les agents utilisent REST ou les outils MCP pour gérer (CRUD) serveurs, règles et liaisons WAF — la même interface, avec pull/push compatible GitOps.
| Code | Signification |
|---|---|
| 305 | Reverse proxy vers l'upstream (chemin principal de la passerelle) |
| 301 / 302 | Redirection |
| 200 HTML | Blocage ou page intermédiaire statique / personnalisée |
| CAPTCHA | Défi avant de continuer |
| 403 WAF | Bloqué par le WAF avec en-têtes X-WAF-* et X-Support-ID |
Principales fonctionnalités du produit en détail
Tout ce qu'il faut pour une périphérie maîtrisée : routage, sécurité, cache CDN, distribution multi-POP et un plan de contrôle pilotable par les humains comme par les agents.
Règles de routage dynamiques
Correspondance sur chemin, IP, pays, claims JWT, clés de type S3 et cookies. Les actions incluent reverse proxy, redirection, réponses HTML et CAPTCHA. Les règles sont classées par priorité avec départage par spécificité : la route la plus précise l'emporte sans redémarrer nginx.
Ingénierie du trafic
Répartition pondérée, round-robin, canary par en-tête, sessions sticky par cookie et least-conn. Promouvez ou revenez en arrière sur des backends depuis le plan de contrôle quand un canary semble sain — ou retirez-le en une action.
Moteur WAF d'entreprise v2
Les packs de politiques se lient par domaine, service et route. Les étapes couvrent listes de méthodes autorisées, refus par type de fichier, listes IP/géo, politique d'algorithmes JWT, profils de corps JSON, vélocité de force brute et sécurité positive OpenAPI — plus des signatures d'attaque gouvernées et un score d'anomalie. Modes blocage ou transparent (surveillance).
CDN et cache en périphérie
Cache statique en périphérie, cache de blobs Docker optionnel et hooks Varnish vous offrent une couche de type CDN devant vos origines — idéal pour les sites marketing, la documentation d'API et la distribution d'artefacts aux côtés du trafic de la passerelle API.
SSL et HTTPS
auto-ssl / Let’s Encrypt, JSON SSL par domaine et politiques de HTTPS forcé pour que chaque hôte virtuel termine correctement le TLS sur le POP.
Multi-POP + DNS
Déclarez des emplacements en périphérie et provisionnez des enregistrements A Cloudflare avec garde-fous. Un schéma de production courant : POP public → NodePort k3s → Helm wslproxy-ingress → pods applicatifs.
Plan de contrôle
Tableaux de bord React Admin et Next.js, REST Swagger, outils MCP pour Claude/Cursor et l'image wslproxy-cli (ghcr.io/bwalia/wslproxy-cli) pour les workflows pull/push/diff/verify.
Déployez partout
Docker Compose pour les labos, Ansible pour les POP bare-metal ou VM, et charts Helm d'ingress controller pour k3s / Kubernetes — une même interface produit dans tous les environnements.
Observabilité
/health, /healthz, /ready, Prometheus /metrics, traffic stats, structured WAF security logs, and AI log analysis hooks for SRE teams.
Règles et application du WAF
Le WAF s'exécute dans le chemin des requêtes OpenResty (inspiré des schémas WAF NGINX d'entreprise). Il est fail-open par défaut pour qu'un bug du WAF ne puisse pas faire tomber le site, explicable à chaque blocage et rétrocompatible avec les listes de règles v1 simples. Pour une visite guidée et une analyse approfondie, consultez les lectures ci-dessous — ou regardez la vidéo WAF sur cette page.
Pipeline du chemin de requête
- rewrite_by_lua : gateway_ack.lua sélectionne la règle de routage
- gateway_pipeline.execute() : limitation de débit → WAF → poursuite
- waf_engine.inspect() : charge la politique, résout la liaison, exécute les étapes puis les signatures
- En cas de blocage : 403 + X-WAF-Block, X-WAF-Rule, X-WAF-Violation, X-Support-ID
Pipeline d'étapes (avant les signatures)
| Code | Étape | Détail |
|---|---|---|
| VIOL_METHOD | Liste de méthodes autorisées | Uniquement les méthodes HTTP autorisées (par ex. GET, POST, HEAD, OPTIONS). |
| VIOL_FILETYPE | Refus par type de fichier | Bloque les extensions sensibles comme .env, .sql, .bak, .git, .pem. |
| VIOL_IP_DENY / VIOL_GEO | Listes IP et géo | Autorise/refuse des CIDR et refuse des pays via une base de type IP2Location. |
| VIOL_JWT_ALG | Politique d'algorithmes JWT | Refuse les algorithmes faibles (none, HS256) ; exige RS256/ES256 si nécessaire. |
| VIOL_JSON_SIZE / DEPTH | Profil de corps JSON | Limite la profondeur JSON et la taille du corps pour empêcher les abus du parseur. |
| VIOL_BRUTE_FORCE | Vélocité de force brute | Fenêtres glissantes par chemin (par ex. /api/login) indexées par IP. |
| VIOL_OPENAPI_* | Sécurité positive OpenAPI | Autorise uniquement les couples chemin+méthode déclarés (chemins paramétrés). |
Règles de signatures et gouvernance
Chaque signature possède un ID stable (l'unité adressable), une catégorie/un ensemble, une gravité, une cible de correspondance (url, args, body, headers, cookies, UA ou all), un motif regex ou texte, une action (block ou monitor) et un score d'anomalie.
disable
signatures.disable ignore entièrement une règle.
stage
signatures.stage ne fait qu'alerter jusqu'à un horodatage — un déploiement sûr qui ne contribue jamais au score d'anomalie pendant la phase de test.
ensembles de signatures
Basculez des ensembles entiers (par ex. SET_SQLI) entre blocage et alerte sans réécrire chaque règle.
seuil d'anomalie
Un score cumulé ≥ seuil déclenche VIOL_ANOMALY_SCORE même si aucune signature seule ne bloquerait.
Priorité des liaisons
La plus spécifique l'emporte : surcharge de route → waf_mode_override par serveur → enforcementMode par défaut de la politique (blocking ou transparent/monitor). Chaque détection enregistre la liaison retenue, pour que les logs répondent à « pourquoi est-ce bloqué ? »
Blocage
Les violations renvoient 403 avec un identifiant de support et une page de blocage personnalisée en option.
Transparent / surveillance
Les violations ne font qu'alerter et journaliser — idéal pour les essais à blanc et le staging.
Agents Gateway et MCP Gateway
TenthMatrix fait entrer WSL Proxy dans l'ère des agents. La même périphérie qui expose les API HTTP régira la façon dont les agents et les clients Model Context Protocol (MCP) accèdent aux outils et aux backends.
In progress
MCP Gateway (en cours)
Une porte d'entrée maîtrisée devant les serveurs MCP externes — pont d'authentification, listes d'autorisation/refus d'outils et de méthodes, audit de tools/call et limitation de débit par outil. Les clients ne détiennent jamais les jetons upstream.
In progress
Agents Gateway (en cours)
Politiques, routage et observabilité pour le trafic multi-agents — afin que les flottes d'agents atteignent les origines via la même périphérie TenthMatrix WSL Proxy que vos API et charges CDN.
Available
Interface de gestion MCP (disponible)
WSLProxy expose déjà sa propre interface d'administration sous forme d'outils MCP pour Claude, Cursor et d'autres agents — configurez des règles et inspectez la périphérie sans quitter votre IDE.
Architecture de la solution
Clients et agents atteignent un POP TenthMatrix WSL Proxy. La périphérie applique les règles dynamiques, le WAF et le cache, puis répartit vers les origines. Les opérateurs pilotent tout via l'interface d'administration, REST, MCP ou la CLI.
POP en périphérie
Chemin critique OpenResty + Lua : correspondance des règles, réponse, répartition vers les backends.
Configuration dynamique
Règles, WAF et répartitions de trafic depuis le disque ou Redis — sans rechargement de nginx pour les changements courants.
Plan de contrôle
Interface d'administration, REST, MCP et wslproxy-cli pour les humains et les agents.
Origines
API, services k3s, sites statiques et futurs upstreams MCP / agents.
Continuer sur le site du produit
Rendez-vous sur wslproxy.org pour les démos, la documentation et les dernières versions de TenthMatrix WSL Proxy.
Obtenir TenthMatrix WSL Proxy
Découvrez le produit sur wslproxy.org, lisez l'analyse approfondie du WAF sur TenthMatrix ou parlez-nous de vos déploiements de périphérie, CDN, WAF et passerelle d'agents.