PoC BunkerWeb 1.6.17 : docker-compose sur Proxmox, déployé par Ansible

Stack BunkerWeb (scheduler, UI, MariaDB, Redis), sites de test (nginx, Juice Shop, go-httpbin), filtrage DOCKER-USER, script de tests, README et schéma d'architecture. Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
2026-10-27 11:11:07 +01:00
commit 099584c95c
@@ -0,0 +1,5 @@
+credentials/
+collections/
+build/
+*.retry
+.vault_pass
@@ -0,0 +1,25 @@
+# Raccourcis du PoC BunkerWeb
+INV ?= inventory/hosts.yml
+
+.PHONY: deps deploy vms base apps waf client tests destroy creds
+
+deps:      ## Collections Ansible
+	ansible-galaxy collection install -r requirements.yml -p ./collections
+deploy:    ## Déploiement complet
+	ansible-playbook -i $(INV) playbooks/site.yml
+vms:
+	ansible-playbook -i $(INV) playbooks/00-proxmox.yml
+base:
+	ansible-playbook -i $(INV) playbooks/10-base.yml
+apps:
+	ansible-playbook -i $(INV) playbooks/20-apps.yml
+waf:
+	ansible-playbook -i $(INV) playbooks/30-bunkerweb.yml
+client:
+	ansible-playbook -i $(INV) playbooks/40-client.yml
+tests:
+	ansible-playbook -i $(INV) playbooks/50-tests.yml
+destroy:
+	ansible-playbook -i $(INV) playbooks/99-destroy.yml
+creds:     ## Affiche les accès à l'UI
+	@cat credentials/ACCES.txt
@@ -0,0 +1,214 @@
+# PoC BunkerWeb sur Proxmox
+
+Un environnement de test complet pour [BunkerWeb](https://www.bunkerweb.io/), le reverse proxy WAF open source basé sur nginx, déployé en docker-compose sur des VM Proxmox, de bout en bout par Ansible.
+
+L'objectif : voir concrètement ce que BunkerWeb bloque, laisse passer et journalise, sur des applis qui s'y prêtent, puis rejouer les mêmes attaques sans WAF pour comparer.
+
+![Architecture du PoC](docs/architecture.png)
+
+## Ce que contient le PoC
+
+| VM | Rôle | Conteneurs |
+|---|---|---|
+| `bw-waf` | Point d'entrée unique, ports 80/443 (TCP + UDP pour HTTP/3) | `bunkerweb`, `bw-scheduler`, `bw-ui`, `bw-db` (MariaDB 11), `bw-redis` |
+| `bw-apps` | Sites de test, joignables **uniquement** depuis le WAF (iptables `DOCKER-USER`) | `poc-www` (nginx), `poc-shop` (OWASP Juice Shop), `poc-api` (go-httpbin) |
+| `bw-client` | Poste "attaquant" avec les outils et le script de tests | `curl`, `sqlmap`, `nmap`, `ab`, `bwpoc-tests` |
+
+Versions épinglées dans [`inventory/group_vars/all.yml`](inventory/group_vars/all.yml) : BunkerWeb **1.6.17**, Juice Shop v20.3.0, go-httpbin 2.26.0, nginx 1.30, Debian 13 (trixie) genericcloud.
+
+Une variante **tout-en-un** (une seule VM) est fournie : [`inventory/single.yml`](inventory/single.yml). Le mode est détecté automatiquement : si WAF et applis sont le même hôte, BunkerWeb joint les applis par le réseau Docker `bw-services` et aucun port applicatif n'est publié.
+
+### Les sites de test
+
+Chaque site met en avant un groupe de fonctionnalités :
+
+| Site | Appli | Ce qu'on y teste |
+|---|---|---|
+| `www.<domaine>` | vitrine nginx statique (page d'accueil + formulaire de contact) | antibot JavaScript, en-têtes de sécurité, redirection HTTPS, XSS via formulaire dans le navigateur |
+| `shop.<domaine>` | [OWASP Juice Shop](https://owasp.org/www-project-juice-shop/), appli volontairement vulnérable | ModSecurity + OWASP CRS 4 (SQLi, XSS, traversée), websockets, User-Agents malveillants |
+| `api.<domaine>` | [go-httpbin](https://github.com/mccutchen/go-httpbin), API qui renvoie ce qu'elle reçoit | limitation de débit, méthodes autorisées, taille max du corps, bad behavior et bannissement, règle ModSecurity maison, compression, `X-Forwarded-For` |
+| `bwui.<domaine>` | interface web de BunkerWeb | rapports d'attaques, bannissements, réglages, journaux |
+
+Le domaine par défaut est `bwpoc.internal` (TLD réservé par l'ICANN pour l'usage privé). Les certificats sont auto-signés par BunkerWeb, site par site.
+
+## Prérequis
+
+- Un nœud Proxmox VE 8 joignable en SSH **root** depuis le poste Ansible, avec accès Internet (image Debian, images Docker, listes noires communautaires).
+- 3 IP libres sur le réseau des VM (1 en mode tout-en-un). Le playbook vérifie par ping qu'elles sont libres avant de créer les VM.
+- Sur le poste Ansible : `ansible-core` 2.16 ou plus, une paire de clés SSH.
+
+```bash
+git clone git@gitea.vlab.bzh:vLab-BZH/bunkerwebpoc.git && cd bunkerwebpoc
+make deps   # installe community.docker et ansible.posix dans ./collections
+```
+
+## Configuration
+
+Tout ce qui dépend de votre infra est marqué `A ADAPTER` :
+
+1. [`inventory/hosts.yml`](inventory/hosts.yml) : IP du nœud Proxmox, IP et VMID des 3 VM, CPU, RAM, disque.
+2. [`inventory/group_vars/all.yml`](inventory/group_vars/all.yml) : domaine, passerelle, DNS, stockage Proxmox, pont, VLAN, clé SSH publique.
+3. [`inventory/group_vars/bunkerweb.yml`](inventory/group_vars/bunkerweb.yml) : les réglages BunkerWeb, globaux et par site. C'est le fichier à modifier pour jouer avec les fonctionnalités.
+
+Les mots de passe (MariaDB, Redis, admin de l'UI) sont générés au premier lancement dans `credentials/` côté poste Ansible (ignoré par git). Pour les mettre sous `ansible-vault`, remplacez les `lookup('password')` de `bunkerweb.yml` par vos variables chiffrées.
+
+## Déploiement
+
+```bash
+make deploy        # = ansible-playbook playbooks/site.yml
+```
+
+| Étape | Playbook | Ce qu'elle fait |
+|---|---|---|
+| 1 | `00-proxmox.yml` | télécharge l'image Debian 13 genericcloud, crée le modèle cloud-init (VMID 9100), clone les VM, injecte IP et clé SSH, agrandit les disques, démarre |
+| 2 | `10-base.yml` | paquets de base, agent QEMU, résolution locale des noms du PoC vers le WAF, Docker CE depuis le dépôt officiel |
+| 3 | `20-apps.yml` | stack des applis, filtrage `DOCKER-USER` (mode split) |
+| 4 | `30-bunkerweb.yml` | stack BunkerWeb, attente qu'`api` réponde au travers du WAF, écriture de `credentials/ACCES.txt` |
+| 5 | `40-client.yml` | outils d'attaque et script de tests sur `bw-client` |
+
+Vous avez déjà vos VM (Debian 12 ou 13, accès SSH avec sudo) ? Renseignez-les dans l'inventaire et sautez l'étape 1 : `make base apps waf client`.
+
+Pour relire les fichiers compose générés sans rien déployer :
+
+```bash
+ansible-playbook playbooks/render.yml   # écrit build/split/... ou build/single/...
+```
+
+Un exemple de rendu (secrets remplacés par `CHANGEME`) est versionné dans [`examples/split/`](examples/split/) (`bunkerweb.compose.yml`, `apps.compose.yml`, `bwpoc-firewall.sh`).
+
+### Accéder aux sites depuis votre poste
+
+Les VM du PoC résolvent déjà les noms (bloc dans `/etc/hosts`). Sur votre poste, ajoutez la ligne suivante à `/etc/hosts`, ou déclarez les enregistrements dans votre DNS de labo :
+
+```
+192.168.200.61  www.bwpoc.internal shop.bwpoc.internal api.bwpoc.internal bwui.bwpoc.internal
+```
+
+Puis ouvrez `https://bwui.bwpoc.internal/` (certificat auto-signé à accepter). Identifiants : `make creds`.
+
+## Comment BunkerWeb est configuré ici
+
+Intégration **Docker** officielle (pas l'autoconf) : toute la configuration est portée par les variables d'environnement du `bw-scheduler`, qui génère la configuration nginx et la pousse à l'instance `bunkerweb` par son API (réseau `bw-universe` 10.20.30.0/24, seul autorisé par `API_WHITELIST_IP`). Ce choix permet de protéger des backends situés sur une autre VM, ce que les labels de l'autoconf ne savent pas faire.
+
+`MULTISITE=yes` : chaque réglage peut être préfixé par le nom du site (`api.bwpoc.internal_LIMIT_REQ_RATE=5r/s`). Dans Ansible, il suffit de remplir le dictionnaire `bw_sites` :
+
+```yaml
+bw_sites:
+  api:
+    upstream: api                # clé de apps_ports, ou URL complète
+    settings:
+      ALLOWED_METHODS: "GET|POST|HEAD"
+      MAX_CLIENT_SIZE: "1m"
+      LIMIT_REQ_RATE: "5r/s"
+    custom_confs:                # devient api.<domaine>_CUSTOM_CONF_MODSEC_poc-rule
+      MODSEC_poc-rule: >-
+        SecRule ARGS:poc "@streq attack" "id:10001,phase:2,deny,status:403,log,msg:'PoC'"
+```
+
+Les réglages posés par variables d'environnement apparaissent dans l'UI en lecture seule (méthode `scheduler`). Les modifications faites dans l'UI sont stockées en base et s'ajoutent par-dessus.
+
+Redis est activé (`USE_REDIS=yes`) : bans, sessions et compteurs sont partagés, ce qui prépare l'ajout d'une seconde instance `bunkerweb` derrière un VIP (keepalived) sans changer le reste.
+
+## Tester les fonctionnalités
+
+Depuis `bw-client` (ou n'importe quel poste avec `curl` et `jq`, le script utilise `--resolve` et n'a pas besoin de DNS) :
+
+```bash
+make tests                              # depuis le poste Ansible
+ssh debian@192.168.200.63 bwpoc-tests   # ou directement sur le client
+```
+
+Le script enchaîne une vingtaine de contrôles et affiche `OK`, `KO` ou `INFO` :
+
+| Fonctionnalité | Réglage | Requête | Attendu |
+|---|---|---|---|
+| HTTPS forcé | `AUTO_REDIRECT_HTTP_TO_HTTPS` | `http://api/get` | 301 vers https |
+| Serveur par défaut fermé | `DISABLE_DEFAULT_SERVER` | Host inconnu | connexion fermée (444) |
+| En-têtes de sécurité | `STRICT_TRANSPORT_SECURITY`, `CONTENT_SECURITY_POLICY`... | `api/get` | en-têtes présents, `Server` masqué |
+| Proxy transparent | `USE_REVERSE_PROXY` | `api/headers` | le backend voit `X-Forwarded-For` |
+| Compression | `USE_GZIP`, `USE_BROTLI` | `api/html` | `Content-Encoding: br` ou `gzip` |
+| Antibot | `USE_ANTIBOT=javascript` | `www/` en curl | redirection vers `/challenge` |
+| WAF SQLi | ModSecurity + CRS 4 | `shop/rest/products/search?q=')) OR 1=1--` | 403 |
+| WAF XSS | idem | `shop/?q=<script>alert(1)</script>` | 403 |
+| WAF traversée | idem | `shop/?file=../../../../etc/passwd` | 403 |
+| WAF injection de commande | idem | `api/get?cmd=;cat /etc/passwd` | 403 |
+| Règle maison | `CUSTOM_CONF_MODSEC` | `api/get?poc=attack` | 403 |
+| User-Agent maison | `BLACKLIST_USER_AGENT` | `-A PoC-EvilBot` | 403 |
+| User-Agent communautaire | `BLACKLIST_COMMUNITY_LISTS` | `-A sqlmap/1.8` | 403 (info : dépend du téléchargement de la liste) |
+| Méthodes | `ALLOWED_METHODS` | `PUT api/put` | 405 |
+| Taille du corps | `MAX_CLIENT_SIZE=1m` | POST de 2 Mo | 413 |
+| Limitation de débit | `LIMIT_REQ_RATE=5r/s` | 40 requêtes en parallèle | une partie en 429 |
+| Bad behavior | `BAD_BEHAVIOR_THRESHOLD=10` en 1 min | 12 × `/status/404` | IP bannie (403) sur `api` seulement |
+
+Les derniers tests **bannissent volontairement votre IP** du site `api` pendant 5 minutes (`bw_ban_time`). Pour lever le ban : menu *Bans* de l'UI, ou sur `bw-waf` :
+
+```bash
+docker exec bw-scheduler bwcli unban 192.168.200.63
+```
+
+### Avec et sans WAF
+
+Pour mesurer l'apport du WAF, autorisez le client à joindre les applis en direct, puis rejouez les attaques :
+
+```yaml
+# inventory/group_vars/all.yml
+apps_direct_access_sources: [192.168.200.63]
+```
+
+```bash
+make apps
+ssh debian@192.168.200.63 bwpoc-tests --direct
+```
+
+La SQLi de Juice Shop renvoie alors la liste complète des produits (200) au lieu d'un 403, et le `PUT` passe.
+
+### Aller plus loin à la main
+
+- **sqlmap** contre Juice Shop, d'abord avec son User-Agent par défaut (bloqué par la liste communautaire), puis avec `--random-agent` pour voir le CRS prendre le relais :
+  `sqlmap -u "https://shop.bwpoc.internal/rest/products/search?q=test" --random-agent --batch`
+- **Antibot** dans le navigateur : passez `www` en `captcha` ou `cookie` dans `bunkerweb.yml`, relancez `make waf`.
+- **Faux positifs** : naviguez dans Juice Shop (connexion, panier, avis). Ce que le CRS bloque à tort apparaît dans l'UI (*Reports*) avec l'ID de règle ; on l'exclut par un `custom_confs` de type `MODSEC_CRS` (exemple : `SecRuleRemoveById 942100`).
+- **Mode détection seule** : `MODSECURITY_SEC_RULE_ENGINE: "DetectionOnly"` sur un site, pour observer avant de bloquer, comme on le ferait en production.
+- **Journaux** : `docker logs -f bunkerweb` sur `bw-waf`, et l'audit ModSecurity dans `/var/log/bunkerweb/modsec_audit.log` du conteneur.
+
+## Exploitation
+
+```bash
+make waf           # réapplique la conf BunkerWeb après modification de bunkerweb.yml
+make destroy       # supprime les VM (confirmation demandée), modèle conservé
+ansible-playbook playbooks/99-destroy.yml -e destroy_template=true   # supprime aussi le modèle
+```
+
+Sur `bw-waf`, la stack vit dans `/opt/bwpoc/bunkerweb` (`docker compose ps`, `logs`, `pull`...). Sur `bw-apps`, dans `/opt/bwpoc/apps`.
+
+## Limites assumées du PoC
+
+- Certificats auto-signés : pour du Let's Encrypt en labo fermé, passer par le challenge DNS (`AUTO_LETS_ENCRYPT`, `LETS_ENCRYPT_CHALLENGE=dns`) avec votre fournisseur DNS.
+- Une seule instance BunkerWeb : pas de haute disponibilité, Redis est là pour la suite.
+- Les fonctions PRO de BunkerWeb (anti DDoS, monitoring Prometheus, cache, rapports) ne sont pas couvertes.
+- Le géoblocage (`BLACKLIST_COUNTRY`) et les DNSBL ne se testent pas depuis des IP privées.
+
+## Arborescence
+
+```
+inventory/            hosts.yml (3 VM), single.yml (tout-en-un), group_vars/
+playbooks/            00 à 50 + site.yml, render.yml, 99-destroy.yml
+roles/
+  proxmox_template/   modèle Debian 13 cloud-init via qm
+  proxmox_vm/         clonage, cloud-init, démarrage
+  common/             paquets, agent QEMU, /etc/hosts
+  docker/             Docker CE + compose (dépôt officiel)
+  apps/               compose des applis, vitrine, filtrage DOCKER-USER
+  bunkerweb/          compose BunkerWeb (template Jinja)
+  client/             outils et script de tests
+tests/bwpoc-tests.sh  batterie de tests fonctionnels
+examples/split/       compose générés, pour lecture
+docs/                 schéma d'architecture (.excalidraw et .png)
+```
+
+## Références
+
+- Documentation BunkerWeb : <https://docs.bunkerweb.io/latest/>
+- Fichiers d'intégration officiels (docker, MariaDB, UI) : <https://github.com/bunkerity/bunkerweb/tree/v1.6.17/misc/integrations>
+- Liste des réglages, extraite des `plugin.json` : <https://github.com/bunkerity/bunkerweb/tree/v1.6.17/src/common/core>
+- OWASP Core Rule Set : <https://coreruleset.org/>
@@ -0,0 +1,12 @@
+[defaults]
+inventory = inventory/hosts.yml
+roles_path = roles
+collections_path = ./collections:~/.ansible/collections
+host_key_checking = False
+stdout_callback = default
+result_format = yaml
+retry_files_enabled = False
+interpreter_python = auto_silent
+
+[ssh_connection]
+pipelining = True
@@ -0,0 +1,41 @@
+# Ansible managed
+# Sites de test du PoC BunkerWeb, mode split
+# Ports publiés sur 192.168.200.62, filtrés par la chaîne iptables BWPOC :
+# seul le WAF (192.168.200.61) peut les joindre.
+
+services:
+  www:
+    image: nginx:1.30-alpine
+    container_name: poc-www
+    restart: unless-stopped
+    read_only: true
+    tmpfs:
+      - /var/cache/nginx
+      - /run
+      - /tmp
+    volumes:
+      - ./www:/usr/share/nginx/html:ro
+    ports:
+      - "192.168.200.62:8081:80"
+    networks: [apps]
+
+  shop:
+    image: bkimminich/juice-shop:v20.3.0
+    container_name: poc-shop
+    restart: unless-stopped
+    ports:
+      - "192.168.200.62:8082:3000"
+    networks: [apps]
+
+  api:
+    image: mccutchen/go-httpbin:2.26.0
+    container_name: poc-api
+    restart: unless-stopped
+    read_only: true
+    ports:
+      - "192.168.200.62:8083:8080"
+    networks: [apps]
+
+networks:
+  apps:
+    name: poc-apps
@@ -0,0 +1,155 @@
+# Ansible managed
+# Stack BunkerWeb 1.6.17 : WAF + scheduler + UI + MariaDB + Redis
+# Mode split, applis sur 192.168.200.62
+x-db-env: &db-env
+  DATABASE_URI: "mariadb+pymysql://bunkerweb:CHANGEME@bw-db:3306/db"
+
+x-api-env: &api-env
+  API_WHITELIST_IP: "127.0.0.0/8 10.20.30.0/24"
+
+services:
+  bunkerweb:
+    image: bunkerity/bunkerweb:1.6.17
+    container_name: bunkerweb
+    restart: unless-stopped
+    ports:
+      - "80:8080/tcp"
+      - "443:8443/tcp"
+      - "443:8443/udp"   # HTTP/3 (QUIC)
+    labels:
+      - "bunkerweb.INSTANCE=yes"
+    environment:
+      <<: [*db-env, *api-env]
+    networks:
+      - bw-universe
+      - bw-services
+
+  bw-scheduler:
+    image: bunkerity/bunkerweb-scheduler:1.6.17
+    container_name: bw-scheduler
+    restart: unless-stopped
+    depends_on:
+      - bunkerweb
+      - bw-db
+      - bw-redis
+    volumes:
+      - bw-storage:/data
+    environment:
+      <<: [*db-env, *api-env]
+      BUNKERWEB_INSTANCES: "bunkerweb"
+      SERVER_NAME: "www.bwpoc.internal shop.bwpoc.internal api.bwpoc.internal bwui.bwpoc.internal"
+      # --- Réglages globaux ---
+      MULTISITE: "yes"
+      DISABLE_DEFAULT_SERVER: "yes"
+      SERVE_FILES: "no"
+      GENERATE_SELF_SIGNED_SSL: "yes"
+      AUTO_REDIRECT_HTTP_TO_HTTPS: "yes"
+      USE_MODSECURITY: "yes"
+      USE_MODSECURITY_CRS: "yes"
+      MODSECURITY_CRS_VERSION: "4"
+      USE_BAD_BEHAVIOR: "yes"
+      BAD_BEHAVIOR_THRESHOLD: "10"
+      BAD_BEHAVIOR_COUNT_TIME: "1m"
+      BAD_BEHAVIOR_BAN_TIME: "5m"
+      USE_BLACKLIST: "yes"
+      BLACKLIST_USER_AGENT: "PoC-EvilBot"
+      USE_GZIP: "yes"
+      USE_BROTLI: "yes"
+      USE_REDIS: "yes"
+      REDIS_HOST: "bw-redis"
+      REDIS_PASSWORD: "CHANGEME"
+      SEND_ANONYMOUS_REPORT: "no"
+      # --- www.bwpoc.internal ---
+      www.bwpoc.internal_USE_REVERSE_PROXY: "yes"
+      www.bwpoc.internal_REVERSE_PROXY_URL: "/"
+      www.bwpoc.internal_REVERSE_PROXY_HOST: "http://192.168.200.62:8081"
+      www.bwpoc.internal_SELF_SIGNED_SSL_SUBJ: "/CN=www.bwpoc.internal/"
+      www.bwpoc.internal_USE_ANTIBOT: "javascript"
+      www.bwpoc.internal_LIMIT_REQ_RATE: "10r/s"
+      # --- shop.bwpoc.internal ---
+      shop.bwpoc.internal_USE_REVERSE_PROXY: "yes"
+      shop.bwpoc.internal_REVERSE_PROXY_URL: "/"
+      shop.bwpoc.internal_REVERSE_PROXY_HOST: "http://192.168.200.62:8082"
+      shop.bwpoc.internal_SELF_SIGNED_SSL_SUBJ: "/CN=shop.bwpoc.internal/"
+      shop.bwpoc.internal_REVERSE_PROXY_WS: "yes"
+      shop.bwpoc.internal_LIMIT_REQ_RATE: "30r/s"
+      shop.bwpoc.internal_COOKIE_FLAGS: "* SameSite=Lax"
+      # --- api.bwpoc.internal ---
+      api.bwpoc.internal_USE_REVERSE_PROXY: "yes"
+      api.bwpoc.internal_REVERSE_PROXY_URL: "/"
+      api.bwpoc.internal_REVERSE_PROXY_HOST: "http://192.168.200.62:8083"
+      api.bwpoc.internal_SELF_SIGNED_SSL_SUBJ: "/CN=api.bwpoc.internal/"
+      api.bwpoc.internal_ALLOWED_METHODS: "GET|POST|HEAD"
+      api.bwpoc.internal_MAX_CLIENT_SIZE: "1m"
+      api.bwpoc.internal_LIMIT_REQ_RATE: "5r/s"
+      api.bwpoc.internal_CUSTOM_CONF_MODSEC_poc-rule: "SecRule ARGS:poc \"@streq attack\" \"id:10001,phase:2,deny,status:403,log,msg:'PoC BunkerWeb : regle maison'\""
+      # --- bwui.bwpoc.internal ---
+      bwui.bwpoc.internal_USE_REVERSE_PROXY: "yes"
+      bwui.bwpoc.internal_REVERSE_PROXY_URL: "/"
+      bwui.bwpoc.internal_REVERSE_PROXY_HOST: "http://bw-ui:7000"
+      bwui.bwpoc.internal_SELF_SIGNED_SSL_SUBJ: "/CN=bwui.bwpoc.internal/"
+      bwui.bwpoc.internal_USE_TEMPLATE: "ui"
+    networks:
+      - bw-universe
+      - bw-db
+
+  bw-ui:
+    image: bunkerity/bunkerweb-ui:1.6.17
+    container_name: bw-ui
+    restart: unless-stopped
+    depends_on:
+      - bw-db
+    volumes:
+      - bw-ui-data:/data   # secrets Flask, clés TOTP et Biscuit
+    environment:
+      <<: *db-env
+      ADMIN_USERNAME: "admin"
+      ADMIN_PASSWORD: "CHANGEME"
+      TZ: "Europe/Paris"
+    networks:
+      - bw-universe
+      - bw-db
+
+  bw-db:
+    image: mariadb:11
+    container_name: bw-db
+    restart: unless-stopped
+    command: --max-allowed-packet=67108864
+    environment:
+      MYSQL_RANDOM_ROOT_PASSWORD: "yes"
+      MYSQL_DATABASE: "db"
+      MYSQL_USER: "bunkerweb"
+      MYSQL_PASSWORD: "CHANGEME"
+    volumes:
+      - bw-data:/var/lib/mysql
+    networks:
+      - bw-db
+
+  bw-redis:
+    image: redis:8-alpine
+    container_name: bw-redis
+    restart: unless-stopped
+    command: ["redis-server", "--requirepass", "CHANGEME", "--save", "60", "1"]
+    volumes:
+      - bw-redis:/data
+    networks:
+      - bw-universe
+
+volumes:
+  bw-data:
+  bw-storage:
+  bw-ui-data:
+  bw-redis:
+
+networks:
+  bw-universe:
+    name: bw-universe
+    ipam:
+      driver: default
+      config:
+        - subnet: 10.20.30.0/24   # seul réseau autorisé à parler à l'API BunkerWeb
+  bw-services:
+    name: bw-services             # réseau des applis (mode single), créé par Ansible
+    external: true
+  bw-db:
+    name: bw-db
@@ -0,0 +1,16 @@
+#!/bin/sh
+# Ansible managed
+# N'autorise que le WAF (et les sources listées) à joindre les ports publiés
+# des applis. Les règles vont dans DOCKER-USER, consultée par Docker avant
+# ses propres règles ; --ctorigdstport filtre sur le port publié (avant DNAT).
+set -eu
+IFACE="ens18"
+PORTS="8081:8083"
+
+iptables -N BWPOC 2>/dev/null || iptables -F BWPOC
+iptables -A BWPOC -s 192.168.200.61 -j RETURN
+iptables -A BWPOC -j DROP
+
+RULE="-i $IFACE -p tcp -m conntrack --ctstate NEW --ctorigdstport $PORTS -j BWPOC"
+# shellcheck disable=SC2086
+iptables -C DOCKER-USER $RULE 2>/dev/null || iptables -I DOCKER-USER $RULE
@@ -0,0 +1,62 @@
+---
+# =====================================================================
+#  Variables communes du PoC BunkerWeb
+#  Les valeurs marquées "A ADAPTER" dépendent de votre infra.
+# =====================================================================
+
+# --- Domaine de test -------------------------------------------------
+# Les sites seront www.<domaine>, shop.<domaine>, api.<domaine>, bwui.<domaine>
+# ".internal" est réservé par l'ICANN pour l'usage privé : pas de collision possible.
+poc_domain: bwpoc.internal            # A ADAPTER si vous avez une zone DNS de labo
+
+# --- Réseau des VM (cloud-init) --------------------------------------
+poc_net_prefix: 24                    # A ADAPTER
+poc_net_gateway: 192.168.200.1        # A ADAPTER
+poc_net_dns: [192.168.200.1]          # A ADAPTER
+poc_net_searchdomain: "{{ poc_domain }}"
+
+# --- Proxmox ----------------------------------------------------------
+pve_storage: local-lvm                # A ADAPTER : stockage des disques VM
+pve_bridge: vmbr0                     # A ADAPTER
+pve_vlan_tag: ""                      # vide = pas de VLAN, sinon ex. "200"
+pve_template_vmid: 9100
+pve_template_name: debian13-cloud
+pve_image_url: https://cloud.debian.org/images/cloud/trixie/latest/debian-13-genericcloud-amd64.qcow2
+pve_image_path: /var/lib/vz/template/debian-13-genericcloud-amd64.qcow2
+
+# --- Accès aux VM -----------------------------------------------------
+poc_vm_user: debian
+poc_ssh_pubkey_file: "~/.ssh/id_ed25519.pub"   # clé injectée par cloud-init
+
+# --- Versions (épinglées) --------------------------------------------
+bunkerweb_version: "1.6.17"
+mariadb_image: "mariadb:11"
+redis_image: "redis:8-alpine"
+juiceshop_image: "bkimminich/juice-shop:v20.3.0"
+httpbin_image: "mccutchen/go-httpbin:2.26.0"
+nginx_image: "nginx:1.30-alpine"
+
+# --- Arborescence sur les VM -----------------------------------------
+poc_base_dir: /opt/bwpoc
+
+# --- Ports publiés par la VM applis (mode split) ---------------------
+apps_ports:
+  www: 8081
+  shop: 8082
+  api: 8083
+
+# Ports d'écoute dans les conteneurs (utilisés en mode single)
+apps_internal_ports:
+  www: 80
+  shop: 3000
+  api: 8080
+
+# Sources autorisées à joindre directement les applis, en plus du WAF.
+# Ajoutez l'IP du client pour comparer "avec / sans WAF" (voir README).
+apps_direct_access_sources: []
+
+# Mode calculé : "single" si WAF et applis sont sur le même hôte.
+poc_mode: "{{ 'single' if (groups['apps'] | first) == (groups['bunkerweb'] | first) else 'split' }}"
+waf_ip: "{{ hostvars[groups['bunkerweb'] | first]['ansible_host'] }}"
+apps_ip: "{{ hostvars[groups['apps'] | first]['ansible_host'] }}"
+client_ip: "{{ hostvars[groups['client'] | first]['ansible_host'] }}"
@@ -0,0 +1,79 @@
+---
+# =====================================================================
+#  Réglages BunkerWeb du PoC
+#  Chaque site met en avant un groupe de fonctionnalités (voir README).
+#  Noms de paramètres vérifiés sur les plugin.json de BunkerWeb 1.6.17.
+# =====================================================================
+
+# Secrets générés au premier lancement et stockés côté contrôleur
+# dans ./credentials (ignoré par git). Remplaçables par ansible-vault.
+bw_db_password: "{{ lookup('ansible.builtin.password', playbook_dir ~ '/../credentials/bw_db_password', chars=['ascii_letters', 'digits'], length=24) }}"
+bw_ui_admin_user: admin
+# La politique de l'UI impose majuscule, minuscule, chiffre et caractère spécial.
+bw_ui_admin_password: "{{ lookup('ansible.builtin.password', playbook_dir ~ '/../credentials/bw_ui_admin_password', chars=['ascii_letters', 'digits'], length=20) }}!Aa9"
+bw_redis_password: "{{ lookup('ansible.builtin.password', playbook_dir ~ '/../credentials/bw_redis_password', chars=['ascii_letters', 'digits'], length=24) }}"
+
+# Bannissement court pour pouvoir rejouer les tests (défaut BunkerWeb : 1d)
+bw_ban_time: 5m
+
+# Réglages globaux (contexte global ou valeurs par défaut de tous les sites)
+bw_global_settings:
+  MULTISITE: "yes"
+  DISABLE_DEFAULT_SERVER: "yes"        # Host inconnu = connexion fermée (444)
+  SERVE_FILES: "no"
+  # TLS : certificats auto-signés par site (pas d'ACME en labo fermé)
+  GENERATE_SELF_SIGNED_SSL: "yes"
+  AUTO_REDIRECT_HTTP_TO_HTTPS: "yes"
+  # WAF : ModSecurity + OWASP CRS v4 actifs partout (défaut BunkerWeb)
+  USE_MODSECURITY: "yes"
+  USE_MODSECURITY_CRS: "yes"
+  MODSECURITY_CRS_VERSION: "4"
+  # Bad behavior : 10 codes 4xx en 1 min = bannissement
+  USE_BAD_BEHAVIOR: "yes"
+  BAD_BEHAVIOR_THRESHOLD: "10"
+  BAD_BEHAVIOR_COUNT_TIME: "1m"
+  BAD_BEHAVIOR_BAN_TIME: "{{ bw_ban_time }}"
+  # Listes noires : listes communautaires + un User-Agent maison, testable à coup sûr
+  USE_BLACKLIST: "yes"
+  BLACKLIST_USER_AGENT: "PoC-EvilBot"
+  # Compression
+  USE_GZIP: "yes"
+  USE_BROTLI: "yes"
+  # Redis : bans et sessions partagés (prêt pour ajouter une 2e instance)
+  USE_REDIS: "yes"
+  REDIS_HOST: "bw-redis"
+  REDIS_PASSWORD: "{{ bw_redis_password }}"
+  SEND_ANONYMOUS_REPORT: "no"
+
+# Un dictionnaire par site. "upstream" = clé de apps_ports (ou URL complète).
+bw_sites:
+  # Vitrine statique : antibot (challenge JavaScript), en-têtes de sécurité, compression
+  www:
+    upstream: www
+    settings:
+      USE_ANTIBOT: "javascript"
+      LIMIT_REQ_RATE: "10r/s"
+  # OWASP Juice Shop : appli volontairement vulnérable, terrain de jeu du WAF CRS
+  shop:
+    upstream: shop
+    settings:
+      REVERSE_PROXY_WS: "yes"          # socket.io
+      LIMIT_REQ_RATE: "30r/s"          # SPA Angular, beaucoup d'assets
+      COOKIE_FLAGS: "* SameSite=Lax"   # l'appli lit certains cookies en JS
+  # go-httpbin : API de test pour méthodes, tailles, limites, bad behavior, règle maison
+  api:
+    upstream: api
+    settings:
+      ALLOWED_METHODS: "GET|POST|HEAD"
+      MAX_CLIENT_SIZE: "1m"
+      LIMIT_REQ_RATE: "5r/s"
+    # Règle ModSecurity maison : ?poc=attack => 403
+    custom_confs:
+      MODSEC_poc-rule: >-
+        SecRule ARGS:poc "@streq attack"
+        "id:10001,phase:2,deny,status:403,log,msg:'PoC BunkerWeb : regle maison'"
+  # Interface d'administration de BunkerWeb
+  bwui:
+    upstream: "http://bw-ui:7000"
+    settings:
+      USE_TEMPLATE: "ui"
@@ -0,0 +1,40 @@
+---
+# Inventaire du PoC BunkerWeb.
+# Mode "split" (défaut) : 3 VM distinctes (WAF, applis, client).
+# Mode "single" : voir inventory/single.yml (tout sur une seule VM).
+all:
+  children:
+    proxmox:
+      hosts:
+        pve01:
+          ansible_host: 192.168.200.10   # A ADAPTER : nœud Proxmox qui héberge les VM
+          ansible_user: root
+    poc_vms:
+      vars:
+        ansible_user: debian
+        ansible_become: true
+      children:
+        bunkerweb:
+          hosts:
+            bw-waf:
+              ansible_host: 192.168.200.61   # A ADAPTER
+              vm_id: 9101
+              vm_cores: 2
+              vm_memory: 4096
+              vm_disk_gb: 20
+        apps:
+          hosts:
+            bw-apps:
+              ansible_host: 192.168.200.62   # A ADAPTER
+              vm_id: 9102
+              vm_cores: 2
+              vm_memory: 4096
+              vm_disk_gb: 20
+        client:
+          hosts:
+            bw-client:
+              ansible_host: 192.168.200.63   # A ADAPTER
+              vm_id: 9103
+              vm_cores: 1
+              vm_memory: 1024
+              vm_disk_gb: 10
@@ -0,0 +1,29 @@
+---
+# Variante "tout-en-un" : WAF, applis et outils de test sur la même VM.
+# ansible-playbook -i inventory/single.yml playbooks/site.yml
+all:
+  children:
+    proxmox:
+      hosts:
+        pve01:
+          ansible_host: 192.168.200.10   # A ADAPTER
+          ansible_user: root
+    poc_vms:
+      vars:
+        ansible_user: debian
+        ansible_become: true
+      children:
+        bunkerweb:
+          hosts:
+            bw-poc:
+              ansible_host: 192.168.200.61   # A ADAPTER
+              vm_id: 9101
+              vm_cores: 4
+              vm_memory: 6144
+              vm_disk_gb: 30
+        apps:
+          hosts:
+            bw-poc:
+        client:
+          hosts:
+            bw-poc:
@@ -0,0 +1,9 @@
+---
+# Crée le modèle Debian 13 cloud-init puis clone les VM du PoC.
+# A sauter si vous fournissez vos propres VM (Debian 12/13 avec accès SSH).
+- name: Provisionner les VM sur Proxmox
+  hosts: proxmox
+  gather_facts: false
+  roles:
+    - proxmox_template
+    - proxmox_vm
@@ -0,0 +1,6 @@
+---
+- name: Socle des VM (paquets, résolution locale, Docker)
+  hosts: poc_vms
+  roles:
+    - common
+    - docker
@@ -0,0 +1,5 @@
+---
+- name: Déployer les sites de test
+  hosts: apps
+  roles:
+    - apps
@@ -0,0 +1,5 @@
+---
+- name: Déployer BunkerWeb
+  hosts: bunkerweb
+  roles:
+    - bunkerweb
@@ -0,0 +1,5 @@
+---
+- name: Préparer le client de test
+  hosts: client
+  roles:
+    - client
@@ -0,0 +1,15 @@
+---
+# Lance la batterie de tests depuis le client et affiche le résultat.
+- name: Tests fonctionnels BunkerWeb
+  hosts: client
+  gather_facts: false
+  tasks:
+    - name: Exécuter bwpoc-tests
+      ansible.builtin.command: "{{ poc_base_dir }}/tests/bwpoc-tests.sh"
+      register: tests
+      changed_when: false
+      failed_when: false
+
+    - name: Résultat
+      ansible.builtin.debug:
+        msg: "{{ tests.stdout_lines }}"
@@ -0,0 +1,33 @@
+---
+# Supprime les VM du PoC (le modèle est conservé, sauf -e destroy_template=true).
+- name: Détruire les VM du PoC
+  hosts: proxmox
+  gather_facts: false
+  vars_prompt:
+    - name: confirm
+      prompt: "Taper 'detruire' pour supprimer les VM {{ groups['poc_vms'] | unique | join(', ') }}"
+      private: false
+  tasks:
+    - name: Abandon sans confirmation
+      ansible.builtin.meta: end_play
+      when: confirm != 'detruire'
+
+    - name: Arrêter et supprimer les VM
+      ansible.builtin.shell: |
+        if qm status {{ hostvars[item].vm_id }} >/dev/null 2>&1; then
+          qm stop {{ hostvars[item].vm_id }} --skiplock 1 || true
+          qm destroy {{ hostvars[item].vm_id }} --purge 1 --destroy-unreferenced-disks 1
+          echo destroyed
+        fi
+      register: destroy
+      changed_when: "'destroyed' in destroy.stdout"
+      loop: "{{ groups['poc_vms'] | unique }}"
+
+    - name: Supprimer le modèle
+      ansible.builtin.shell: |
+        if qm status {{ pve_template_vmid }} >/dev/null 2>&1; then
+          qm destroy {{ pve_template_vmid }} --purge 1 && echo destroyed
+        fi
+      register: tpl_destroy
+      changed_when: "'destroyed' in tpl_destroy.stdout"
+      when: destroy_template | default(false) | bool
@@ -0,0 +1,36 @@
+---
+# Génère les fichiers compose dans build/<mode>/ sans rien déployer,
+# pour les relire ou les utiliser à la main : ansible-playbook playbooks/render.yml
+- name: Rendu local des fichiers compose
+  hosts: bunkerweb:apps
+  connection: local
+  gather_facts: false
+  vars:
+    ansible_become: false
+    render_dir: "{{ playbook_dir }}/../build/{{ poc_mode }}"
+    ansible_default_ipv4: { interface: ens18 }
+  tasks:
+    - name: Répertoires de sortie
+      ansible.builtin.file:
+        path: "{{ render_dir }}/{{ item }}"
+        state: directory
+        mode: "0755"
+      loop: [bunkerweb, apps]
+      run_once: true
+
+    - name: Compose BunkerWeb
+      ansible.builtin.template:
+        src: ../roles/bunkerweb/templates/compose.yml.j2
+        dest: "{{ render_dir }}/bunkerweb/compose.yml"
+        mode: "0600"
+      when: inventory_hostname in groups['bunkerweb']
+
+    - name: Compose applis et filtrage
+      ansible.builtin.template:
+        src: "../roles/apps/templates/{{ item.src }}"
+        dest: "{{ render_dir }}/apps/{{ item.dest }}"
+        mode: "0644"
+      loop:
+        - { src: compose.yml.j2, dest: compose.yml }
+        - { src: bwpoc-firewall.sh.j2, dest: bwpoc-firewall.sh }
+      when: inventory_hostname in groups['apps']
@@ -0,0 +1,12 @@
+---
+# Déploiement complet du PoC : ansible-playbook playbooks/site.yml
+- name: Proxmox
+  ansible.builtin.import_playbook: 00-proxmox.yml
+- name: Socle
+  ansible.builtin.import_playbook: 10-base.yml
+- name: Applis
+  ansible.builtin.import_playbook: 20-apps.yml
+- name: BunkerWeb
+  ansible.builtin.import_playbook: 30-bunkerweb.yml
+- name: Client
+  ansible.builtin.import_playbook: 40-client.yml
@@ -0,0 +1,5 @@
+---
+collections:
+  - name: community.docker
+    version: ">=3.10.0"
+  - name: ansible.posix
@@ -0,0 +1,2 @@
+---
+apps_dir: "{{ poc_base_dir }}/apps"
@@ -0,0 +1,13 @@
+[Unit]
+Description=PoC BunkerWeb - filtrage des ports applis (DOCKER-USER)
+After=docker.service
+Requires=docker.service
+PartOf=docker.service
+
+[Service]
+Type=oneshot
+RemainAfterExit=yes
+ExecStart=/usr/local/sbin/bwpoc-firewall.sh
+
+[Install]
+WantedBy=multi-user.target docker.service
@@ -0,0 +1,6 @@
+---
+- name: Recharger le filtrage applis
+  ansible.builtin.systemd_service:
+    name: bwpoc-firewall.service
+    state: restarted
+    daemon_reload: true
@@ -0,0 +1,68 @@
+---
+- name: Créer l'arborescence des applis
+  ansible.builtin.file:
+    path: "{{ item }}"
+    state: directory
+    mode: "0755"
+  loop:
+    - "{{ apps_dir }}"
+    - "{{ apps_dir }}/www"
+
+- name: Déposer la vitrine statique
+  ansible.builtin.template:
+    src: "www/{{ item }}.j2"
+    dest: "{{ apps_dir }}/www/{{ item }}"
+    mode: "0644"
+  loop:
+    - index.html
+    - contact.html
+
+- name: Créer le réseau partagé bw-services (mode single)
+  ansible.builtin.shell: docker network inspect bw-services >/dev/null 2>&1 || { docker network create bw-services && echo created; }
+  register: apps_net
+  changed_when: "'created' in apps_net.stdout"
+  when: poc_mode == 'single'
+
+- name: Générer le compose des applis
+  ansible.builtin.template:
+    src: compose.yml.j2
+    dest: "{{ apps_dir }}/compose.yml"
+    mode: "0644"
+    validate: docker compose -f %s config -q
+
+- name: Démarrer les applis
+  community.docker.docker_compose_v2:
+    project_src: "{{ apps_dir }}"
+    project_name: apps
+    pull: missing
+    remove_orphans: true
+    state: present
+
+- name: Filtrage des ports publiés (mode split)
+  when: poc_mode == 'split'
+  block:
+    - name: Installer iptables
+      ansible.builtin.apt:
+        name: iptables
+        state: present
+
+    - name: Déposer le script de filtrage
+      ansible.builtin.template:
+        src: bwpoc-firewall.sh.j2
+        dest: /usr/local/sbin/bwpoc-firewall.sh
+        mode: "0755"
+      notify: Recharger le filtrage applis
+
+    - name: Déposer l'unité systemd
+      ansible.builtin.copy:
+        src: bwpoc-firewall.service
+        dest: /etc/systemd/system/bwpoc-firewall.service
+        mode: "0644"
+      notify: Recharger le filtrage applis
+
+    - name: Activer le filtrage au démarrage
+      ansible.builtin.systemd_service:
+        name: bwpoc-firewall.service
+        enabled: true
+        state: started
+        daemon_reload: true
@@ -0,0 +1,18 @@
+#!/bin/sh
+# {{ ansible_managed }}
+# N'autorise que le WAF (et les sources listées) à joindre les ports publiés
+# des applis. Les règles vont dans DOCKER-USER, consultée par Docker avant
+# ses propres règles ; --ctorigdstport filtre sur le port publié (avant DNAT).
+set -eu
+IFACE="{{ ansible_default_ipv4.interface }}"
+PORTS="{{ apps_ports.values() | min }}:{{ apps_ports.values() | max }}"
+
+iptables -N BWPOC 2>/dev/null || iptables -F BWPOC
+{% for src in [waf_ip] + apps_direct_access_sources %}
+iptables -A BWPOC -s {{ src }} -j RETURN
+{% endfor %}
+iptables -A BWPOC -j DROP
+
+RULE="-i $IFACE -p tcp -m conntrack --ctstate NEW --ctorigdstport $PORTS -j BWPOC"
+# shellcheck disable=SC2086
+iptables -C DOCKER-USER $RULE 2>/dev/null || iptables -I DOCKER-USER $RULE
@@ -0,0 +1,56 @@
+# {{ ansible_managed }}
+# Sites de test du PoC BunkerWeb, mode {{ poc_mode }}
+{% if poc_mode == 'split' %}
+# Ports publiés sur {{ ansible_host }}, filtrés par la chaîne iptables BWPOC :
+# seul le WAF ({{ waf_ip }}) peut les joindre.
+{% else %}
+# Aucun port publié : BunkerWeb joint les conteneurs par le réseau bw-services.
+{% endif %}
+
+services:
+  www:
+    image: {{ nginx_image }}
+    container_name: poc-www
+    restart: unless-stopped
+    read_only: true
+    tmpfs:
+      - /var/cache/nginx
+      - /run
+      - /tmp
+    volumes:
+      - ./www:/usr/share/nginx/html:ro
+{% if poc_mode == 'split' %}
+    ports:
+      - "{{ ansible_host }}:{{ apps_ports.www }}:80"
+{% endif %}
+    networks: [apps]
+
+  shop:
+    image: {{ juiceshop_image }}
+    container_name: poc-shop
+    restart: unless-stopped
+{% if poc_mode == 'split' %}
+    ports:
+      - "{{ ansible_host }}:{{ apps_ports.shop }}:3000"
+{% endif %}
+    networks: [apps]
+
+  api:
+    image: {{ httpbin_image }}
+    container_name: poc-api
+    restart: unless-stopped
+    read_only: true
+{% if poc_mode == 'split' %}
+    ports:
+      - "{{ ansible_host }}:{{ apps_ports.api }}:8080"
+{% endif %}
+    networks: [apps]
+
+networks:
+  apps:
+{% if poc_mode == 'single' %}
+    name: bw-services
+    external: true
+{% else %}
+    name: poc-apps
+{% endif %}
@@ -0,0 +1,26 @@
+<!doctype html>
+<html lang="fr">
+<head>
+  <meta charset="utf-8">
+  <meta name="viewport" content="width=device-width, initial-scale=1">
+  <title>PoC BunkerWeb - contact</title>
+  <style>
+    body { font-family: system-ui, sans-serif; max-width: 40rem; margin: 2rem auto; padding: 0 1rem; }
+    label, input, textarea, button { display: block; width: 100%; margin-bottom: .8rem; }
+  </style>
+</head>
+<body>
+  <h1>Contact</h1>
+  <p>Formulaire factice envoyé en GET : la vitrine est statique, c'est BunkerWeb qui
+     inspecte les paramètres. Essayez un message contenant
+     <code>&lt;script&gt;alert(1)&lt;/script&gt;</code> ou <code>' OR 1=1 --</code>.</p>
+  <form method="get" action="contact.html">
+    <label for="nom">Nom</label>
+    <input id="nom" name="nom">
+    <label for="message">Message</label>
+    <textarea id="message" name="message" rows="5"></textarea>
+    <button type="submit">Envoyer</button>
+  </form>
+  <p><a href="index.html">Retour</a></p>
+</body>
+</html>
@@ -0,0 +1,36 @@
+<!doctype html>
+<html lang="fr">
+<head>
+  <meta charset="utf-8">
+  <meta name="viewport" content="width=device-width, initial-scale=1">
+  <title>PoC BunkerWeb - vitrine</title>
+  <style>
+    body { font-family: system-ui, sans-serif; max-width: 52rem; margin: 2rem auto; padding: 0 1rem; line-height: 1.5; color: #222; }
+    h1 { color: #0b7a75; }
+    code { background: #f2f2f2; padding: .1rem .3rem; border-radius: 3px; }
+    table { border-collapse: collapse; width: 100%; }
+    td, th { border: 1px solid #ddd; padding: .4rem .6rem; text-align: left; }
+  </style>
+</head>
+<body>
+  <h1>PoC BunkerWeb</h1>
+  <p>Vous voyez cette page : vous avez passé le <strong>challenge antibot JavaScript</strong>
+     de BunkerWeb. Un <code>curl</code> sur cette même URL reste bloqué sur <code>/challenge</code>.</p>
+
+  <h2>Sites du PoC</h2>
+  <table>
+    <tr><th>Site</th><th>Application</th><th>Fonctionnalités mises en avant</th></tr>
+    <tr><td><a href="https://www.{{ poc_domain }}/">www</a></td><td>nginx statique</td><td>antibot, en-têtes de sécurité, HTTPS forcé</td></tr>
+    <tr><td><a href="https://shop.{{ poc_domain }}/">shop</a></td><td>OWASP Juice Shop</td><td>ModSecurity + OWASP CRS 4, websockets, User-Agents malveillants</td></tr>
+    <tr><td><a href="https://api.{{ poc_domain }}/get">api</a></td><td>go-httpbin</td><td>limitation de débit, méthodes, taille max, bad behavior, règle ModSecurity maison</td></tr>
+    <tr><td><a href="https://bwui.{{ poc_domain }}/">bwui</a></td><td>UI BunkerWeb</td><td>rapports, bannissements, réglages</td></tr>
+  </table>
+
+  <h2>Essais rapides dans le navigateur</h2>
+  <ul>
+    <li><a href="contact.html">Formulaire de contact</a> : saisissez <code>&lt;script&gt;alert(1)&lt;/script&gt;</code> et envoyez.</li>
+    <li><a href="/?file=../../../../etc/passwd">Traversée de répertoire</a> : réponse 403 attendue.</li>
+  </ul>
+  <p><small>Servi par {{ nginx_image }} derrière BunkerWeb {{ bunkerweb_version }}.</small></p>
+</body>
+</html>
@@ -0,0 +1,2 @@
+---
+bw_dir: "{{ poc_base_dir }}/bunkerweb"
@@ -0,0 +1,64 @@
+---
+- name: Créer le répertoire de la stack BunkerWeb
+  ansible.builtin.file:
+    path: "{{ bw_dir }}"
+    state: directory
+    owner: root
+    group: root
+    mode: "0750"
+
+- name: Créer le réseau partagé bw-services
+  ansible.builtin.shell: docker network inspect bw-services >/dev/null 2>&1 || { docker network create bw-services && echo created; }
+  register: bw_net
+  changed_when: "'created' in bw_net.stdout"
+
+- name: Générer le compose BunkerWeb
+  ansible.builtin.template:
+    src: compose.yml.j2
+    dest: "{{ bw_dir }}/compose.yml"
+    owner: root
+    group: root
+    mode: "0600"   # contient les secrets
+    validate: docker compose -f %s config -q
+
+- name: Démarrer la stack BunkerWeb
+  community.docker.docker_compose_v2:
+    project_src: "{{ bw_dir }}"
+    project_name: bunkerweb
+    pull: missing
+    remove_orphans: true
+    state: present
+  register: bw_compose
+
+- name: Attendre que BunkerWeb réponde sur 443
+  ansible.builtin.wait_for:
+    host: "{{ ansible_host }}"
+    port: 443
+    timeout: 300
+
+- name: Attendre que le site api réponde au travers du WAF
+  ansible.builtin.uri:
+    url: "https://{{ ansible_host }}/get"
+    headers:
+      Host: "api.{{ poc_domain }}"
+    validate_certs: false
+    status_code: 200
+  register: bw_probe
+  until: bw_probe.status == 200
+  retries: 30
+  delay: 10
+
+- name: Écrire le récapitulatif des accès côté contrôleur (credentials/ACCES.txt)
+  ansible.builtin.copy:
+    dest: "{{ playbook_dir }}/../credentials/ACCES.txt"
+    mode: "0600"
+    content: |
+      UI BunkerWeb : https://bwui.{{ poc_domain }}/   (WAF {{ ansible_host }})
+      Identifiant  : {{ bw_ui_admin_user }}
+      Mot de passe : {{ bw_ui_admin_password }}
+  delegate_to: localhost
+  become: false
+
+- name: Rappel des accès
+  ansible.builtin.debug:
+    msg: "UI BunkerWeb : https://bwui.{{ poc_domain }}/ , identifiants dans credentials/ACCES.txt"
@@ -0,0 +1,133 @@
+# {{ ansible_managed }}
+# Stack BunkerWeb {{ bunkerweb_version }} : WAF + scheduler + UI + MariaDB + Redis
+# Mode {{ poc_mode }}{% if poc_mode == 'split' %}, applis sur {{ apps_ip }}{% endif %}
+
+{% macro upstream(name, site) -%}
+{%- if site.upstream is match('^https?://') -%}
+{{ site.upstream }}
+{%- elif poc_mode == 'single' -%}
+http://poc-{{ site.upstream }}:{{ apps_internal_ports[site.upstream] }}
+{%- else -%}
+http://{{ apps_ip }}:{{ apps_ports[site.upstream] }}
+{%- endif -%}
+{%- endmacro %}
+{% macro val(v) %}{{ (v | string | replace('$', '$$')) | to_json }}{% endmacro %}
+x-db-env: &db-env
+  DATABASE_URI: {{ val('mariadb+pymysql://bunkerweb:' ~ bw_db_password ~ '@bw-db:3306/db') }}
+
+x-api-env: &api-env
+  API_WHITELIST_IP: "127.0.0.0/8 10.20.30.0/24"
+
+services:
+  bunkerweb:
+    image: bunkerity/bunkerweb:{{ bunkerweb_version }}
+    container_name: bunkerweb
+    restart: unless-stopped
+    ports:
+      - "80:8080/tcp"
+      - "443:8443/tcp"
+      - "443:8443/udp"   # HTTP/3 (QUIC)
+    labels:
+      - "bunkerweb.INSTANCE=yes"
+    environment:
+      <<: [*db-env, *api-env]
+    networks:
+      - bw-universe
+      - bw-services
+
+  bw-scheduler:
+    image: bunkerity/bunkerweb-scheduler:{{ bunkerweb_version }}
+    container_name: bw-scheduler
+    restart: unless-stopped
+    depends_on:
+      - bunkerweb
+      - bw-db
+      - bw-redis
+    volumes:
+      - bw-storage:/data
+    environment:
+      <<: [*db-env, *api-env]
+      BUNKERWEB_INSTANCES: "bunkerweb"
+      SERVER_NAME: {{ val(bw_sites.keys() | map('regex_replace', '$', '.' ~ poc_domain) | join(' ')) }}
+      # --- Réglages globaux ---
+{% for k, v in bw_global_settings.items() %}
+      {{ k }}: {{ val(v) }}
+{% endfor %}
+{% for name, site in bw_sites.items() %}
+{%   set fqdn = name ~ '.' ~ poc_domain %}
+      # --- {{ fqdn }} ---
+      {{ fqdn }}_USE_REVERSE_PROXY: "yes"
+      {{ fqdn }}_REVERSE_PROXY_URL: "/"
+      {{ fqdn }}_REVERSE_PROXY_HOST: {{ val(upstream(name, site)) }}
+      {{ fqdn }}_SELF_SIGNED_SSL_SUBJ: {{ val('/CN=' ~ fqdn ~ '/') }}
+{%   for k, v in (site.settings | default({})).items() %}
+      {{ fqdn }}_{{ k }}: {{ val(v) }}
+{%   endfor %}
+{%   for k, v in (site.custom_confs | default({})).items() %}
+      {{ fqdn }}_CUSTOM_CONF_{{ k }}: {{ val(v) }}
+{%   endfor %}
+{% endfor %}
+    networks:
+      - bw-universe
+      - bw-db
+
+  bw-ui:
+    image: bunkerity/bunkerweb-ui:{{ bunkerweb_version }}
+    container_name: bw-ui
+    restart: unless-stopped
+    depends_on:
+      - bw-db
+    volumes:
+      - bw-ui-data:/data   # secrets Flask, clés TOTP et Biscuit
+    environment:
+      <<: *db-env
+      ADMIN_USERNAME: {{ val(bw_ui_admin_user) }}
+      ADMIN_PASSWORD: {{ val(bw_ui_admin_password) }}
+      TZ: "Europe/Paris"
+    networks:
+      - bw-universe
+      - bw-db
+
+  bw-db:
+    image: {{ mariadb_image }}
+    container_name: bw-db
+    restart: unless-stopped
+    command: --max-allowed-packet=67108864
+    environment:
+      MYSQL_RANDOM_ROOT_PASSWORD: "yes"
+      MYSQL_DATABASE: "db"
+      MYSQL_USER: "bunkerweb"
+      MYSQL_PASSWORD: {{ val(bw_db_password) }}
+    volumes:
+      - bw-data:/var/lib/mysql
+    networks:
+      - bw-db
+
+  bw-redis:
+    image: {{ redis_image }}
+    container_name: bw-redis
+    restart: unless-stopped
+    command: ["redis-server", "--requirepass", {{ val(bw_redis_password) }}, "--save", "60", "1"]
+    volumes:
+      - bw-redis:/data
+    networks:
+      - bw-universe
+
+volumes:
+  bw-data:
+  bw-storage:
+  bw-ui-data:
+  bw-redis:
+
+networks:
+  bw-universe:
+    name: bw-universe
+    ipam:
+      driver: default
+      config:
+        - subnet: 10.20.30.0/24   # seul réseau autorisé à parler à l'API BunkerWeb
+  bw-services:
+    name: bw-services             # réseau des applis (mode single), créé par Ansible
+    external: true
+  bw-db:
+    name: bw-db
@@ -0,0 +1,44 @@
+---
+- name: Installer les outils de test
+  ansible.builtin.apt:
+    name:
+      - curl
+      - jq
+      - sqlmap
+      - nmap
+      - apache2-utils   # ab
+      - dnsutils
+    state: present
+    update_cache: true
+    cache_valid_time: 3600
+
+- name: Créer le répertoire des tests
+  ansible.builtin.file:
+    path: "{{ poc_base_dir }}/tests"
+    state: directory
+    mode: "0755"
+
+- name: Déposer le script de tests
+  ansible.builtin.copy:
+    src: "{{ playbook_dir }}/../tests/bwpoc-tests.sh"
+    dest: "{{ poc_base_dir }}/tests/bwpoc-tests.sh"
+    mode: "0755"
+
+- name: Déposer la configuration des tests
+  ansible.builtin.copy:
+    dest: "{{ poc_base_dir }}/tests/bwpoc-tests.env"
+    mode: "0644"
+    content: |
+      # Généré par Ansible
+      WAF_IP={{ waf_ip }}
+      DOMAIN={{ poc_domain }}
+      APPS_IP={{ apps_ip }}
+      PORT_WWW={{ apps_ports.www }}
+      PORT_SHOP={{ apps_ports.shop }}
+      PORT_API={{ apps_ports.api }}
+
+- name: Lien pratique dans le PATH
+  ansible.builtin.file:
+    src: "{{ poc_base_dir }}/tests/bwpoc-tests.sh"
+    dest: /usr/local/bin/bwpoc-tests
+    state: link
@@ -0,0 +1,54 @@
+---
+- name: Attendre la fin de cloud-init
+  ansible.builtin.command: cloud-init status --wait
+  changed_when: false
+  failed_when: false
+
+- name: Installer les paquets de base
+  ansible.builtin.apt:
+    name:
+      - qemu-guest-agent
+      - ca-certificates
+      - curl
+      - gnupg
+      - jq
+      - python3-yaml
+      - python3-debian   # requis par deb822_repository
+      - chrony
+    state: present
+    update_cache: true
+    cache_valid_time: 3600
+
+- name: Activer l'agent QEMU
+  ansible.builtin.systemd_service:
+    name: qemu-guest-agent
+    state: started
+    enabled: true
+  failed_when: false   # inactif hors Proxmox
+
+- name: Fuseau horaire Europe/Paris
+  ansible.builtin.file:
+    src: /usr/share/zoneinfo/Europe/Paris
+    dest: /etc/localtime
+    state: link
+    force: true
+
+- name: Résolution locale des sites du PoC (vers le WAF)
+  ansible.builtin.blockinfile:
+    path: /etc/hosts
+    marker: "# {mark} PoC BunkerWeb"
+    block: |
+      {{ waf_ip }} www.{{ poc_domain }} shop.{{ poc_domain }} api.{{ poc_domain }} bwui.{{ poc_domain }}
+
+- name: Vérifier la présence du modèle hosts de cloud-init
+  ansible.builtin.stat:
+    path: /etc/cloud/templates/hosts.debian.tmpl
+  register: ci_hosts_tmpl
+
+- name: Persister la résolution si cloud-init gère /etc/hosts
+  ansible.builtin.blockinfile:
+    path: /etc/cloud/templates/hosts.debian.tmpl
+    marker: "# {mark} PoC BunkerWeb"
+    block: |
+      {{ waf_ip }} www.{{ poc_domain }} shop.{{ poc_domain }} api.{{ poc_domain }} bwui.{{ poc_domain }}
+  when: ci_hosts_tmpl.stat.exists
@@ -0,0 +1,5 @@
+---
+- name: Redémarrer Docker
+  ansible.builtin.systemd_service:
+    name: docker
+    state: restarted
@@ -0,0 +1,51 @@
+---
+# Installation de Docker CE depuis le dépôt officiel (Debian 13 trixie)
+- name: Retirer les paquets Docker de la distribution
+  ansible.builtin.apt:
+    name: [docker.io, docker-compose, docker-doc, podman-docker, containerd, runc]
+    state: absent
+
+- name: Déclarer le dépôt Docker
+  ansible.builtin.deb822_repository:
+    name: docker
+    types: [deb]
+    uris: https://download.docker.com/linux/debian
+    suites: ["{{ ansible_distribution_release }}"]
+    components: [stable]
+    architectures: [amd64]
+    signed_by: https://download.docker.com/linux/debian/gpg
+    state: present
+
+- name: Installer Docker CE et le plugin compose
+  ansible.builtin.apt:
+    name:
+      - docker-ce
+      - docker-ce-cli
+      - containerd.io
+      - docker-buildx-plugin
+      - docker-compose-plugin
+    state: present
+    update_cache: true
+
+- name: Limiter la taille des journaux des conteneurs
+  ansible.builtin.copy:
+    dest: /etc/docker/daemon.json
+    mode: "0644"
+    content: |
+      {
+        "log-driver": "json-file",
+        "log-opts": { "max-size": "20m", "max-file": "3" }
+      }
+  notify: Redémarrer Docker
+
+- name: Démarrer Docker
+  ansible.builtin.systemd_service:
+    name: docker
+    state: started
+    enabled: true
+
+- name: Ajouter l'utilisateur au groupe docker
+  ansible.builtin.user:
+    name: "{{ poc_vm_user }}"
+    groups: docker
+    append: true
@@ -0,0 +1,45 @@
+---
+# Modèle Debian 13 cloud-init, créé une seule fois sur le nœud Proxmox.
+- name: Le modèle existe-t-il déjà ?
+  ansible.builtin.command: qm status {{ pve_template_vmid }}
+  register: tpl_status
+  changed_when: false
+  failed_when: false
+
+- name: Créer le modèle
+  when: tpl_status.rc != 0
+  block:
+    - name: Télécharger l'image Debian genericcloud
+      ansible.builtin.get_url:
+        url: "{{ pve_image_url }}"
+        dest: "{{ pve_image_path }}"
+        mode: "0644"
+
+    - name: Créer la VM modèle
+      ansible.builtin.command: >-
+        qm create {{ pve_template_vmid }}
+        --name {{ pve_template_name }}
+        --ostype l26 --cpu host --cores 2 --memory 2048
+        --machine q35
+        --scsihw virtio-scsi-single
+        --net0 virtio,bridge={{ pve_bridge }}{{ (',tag=' ~ pve_vlan_tag) if pve_vlan_tag | string | length > 0 else '' }}
+        --serial0 socket --vga serial0
+        --agent enabled=1
+      changed_when: true
+
+    - name: Importer le disque système
+      ansible.builtin.command: >-
+        qm set {{ pve_template_vmid }}
+        --scsi0 {{ pve_storage }}:0,import-from={{ pve_image_path }},discard=on,iothread=1,ssd=1
+      changed_when: true
+
+    - name: Ajouter le lecteur cloud-init et l'ordre de démarrage
+      ansible.builtin.command: >-
+        qm set {{ pve_template_vmid }}
+        --ide2 {{ pve_storage }}:cloudinit
+        --boot order=scsi0
+      changed_when: true
+
+    - name: Convertir en modèle
+      ansible.builtin.command: qm template {{ pve_template_vmid }}
+      changed_when: true
@@ -0,0 +1,13 @@
+---
+# Clone et configure les VM du PoC à partir du modèle (exécuté sur le nœud Proxmox).
+- name: Déposer la clé SSH publique pour cloud-init
+  ansible.builtin.copy:
+    content: "{{ lookup('ansible.builtin.file', poc_ssh_pubkey_file) }}\n"
+    dest: /root/bwpoc_authorized_keys
+    mode: "0600"
+
+- name: Créer chaque VM
+  ansible.builtin.include_tasks: vm.yml
+  loop: "{{ groups['poc_vms'] | unique }}"
+  loop_control:
+    loop_var: vm_name
@@ -0,0 +1,56 @@
+---
+- name: "{{ vm_name }} : lecture des paramètres"
+  ansible.builtin.set_fact:
+    vm: "{{ hostvars[vm_name] }}"
+
+- name: "{{ vm_name }} : la VM existe-t-elle ?"
+  ansible.builtin.command: qm status {{ vm.vm_id }}
+  register: vm_status
+  changed_when: false
+  failed_when: false
+
+- name: "{{ vm_name }} : création"
+  when: vm_status.rc != 0
+  block:
+    - name: "{{ vm_name }} : l'IP {{ vm.ansible_host }} doit être libre"
+      ansible.builtin.command: ping -c 2 -W 1 {{ vm.ansible_host }}
+      register: ip_ping
+      changed_when: false
+      failed_when: ip_ping.rc == 0
+
+    - name: "{{ vm_name }} : clonage du modèle"
+      ansible.builtin.command: >-
+        qm clone {{ pve_template_vmid }} {{ vm.vm_id }}
+        --name {{ vm_name }} --full 1 --storage {{ pve_storage }}
+      changed_when: true
+
+    - name: "{{ vm_name }} : ressources et cloud-init"
+      ansible.builtin.command: >-
+        qm set {{ vm.vm_id }}
+        --cores {{ vm.vm_cores }} --memory {{ vm.vm_memory }}
+        --onboot 1 --tags bwpoc
+        --ciuser {{ poc_vm_user }}
+        --sshkeys /root/bwpoc_authorized_keys
+        --ipconfig0 ip={{ vm.ansible_host }}/{{ poc_net_prefix }},gw={{ poc_net_gateway }}
+        --nameserver "{{ poc_net_dns | join(' ') }}"
+        --searchdomain {{ poc_net_searchdomain }}
+        --ciupgrade 0
+      changed_when: true
+
+    - name: "{{ vm_name }} : agrandissement du disque à {{ vm.vm_disk_gb }} Go"
+      ansible.builtin.command: qm resize {{ vm.vm_id }} scsi0 {{ vm.vm_disk_gb }}G
+      changed_when: true
+
+- name: "{{ vm_name }} : démarrage"
+  ansible.builtin.command: qm start {{ vm.vm_id }}
+  register: vm_start
+  changed_when: vm_start.rc == 0
+  failed_when: vm_start.rc != 0 and 'already running' not in vm_start.stderr
+
+- name: "{{ vm_name }} : attente du SSH"
+  ansible.builtin.wait_for:
+    host: "{{ vm.ansible_host }}"
+    port: 22
+    timeout: 300
+  delegate_to: localhost
+  become: false
@@ -0,0 +1,161 @@
+#!/usr/bin/env bash
+# =====================================================================
+#  Tests fonctionnels du PoC BunkerWeb
+#  Lance une série de requêtes légitimes et malveillantes au travers du
+#  WAF et compare le code HTTP obtenu au comportement attendu.
+#
+#  Usage : bwpoc-tests.sh [--direct] [--only <motif>]
+#    --direct   rejoue les attaques directement sur les applis, sans WAF
+#               (nécessite apps_direct_access_sources, voir README)
+#    --only     ne lance que les tests dont le titre contient <motif>
+#
+#  Variables (fichier bwpoc-tests.env à côté du script, ou environnement) :
+#    WAF_IP, DOMAIN, APPS_IP, PORT_WWW, PORT_SHOP, PORT_API
+#
+#  ATTENTION : les derniers tests provoquent volontairement le
+#  bannissement de votre IP sur api.<domaine> (BAD_BEHAVIOR_BAN_TIME).
+# =====================================================================
+set -uo pipefail
+
+SCRIPT_DIR="$(cd "$(dirname "$(readlink -f "$0")")" && pwd)"
+# shellcheck source=/dev/null
+[ -f "$SCRIPT_DIR/bwpoc-tests.env" ] && . "$SCRIPT_DIR/bwpoc-tests.env"
+
+WAF_IP="${WAF_IP:-192.168.200.61}"
+DOMAIN="${DOMAIN:-bwpoc.internal}"
+APPS_IP="${APPS_IP:-192.168.200.62}"
+PORT_SHOP="${PORT_SHOP:-8082}"
+PORT_API="${PORT_API:-8083}"
+
+DIRECT=0
+ONLY=""
+while [ $# -gt 0 ]; do
+  case "$1" in
+    --direct) DIRECT=1 ;;
+    --only) ONLY="$2"; shift ;;
+    -h|--help) sed -n '2,18p' "$0"; exit 0 ;;
+    *) echo "Option inconnue : $1" >&2; exit 2 ;;
+  esac
+  shift
+done
+
+if [ -t 1 ]; then G=$'\e[32m'; R=$'\e[31m'; Y=$'\e[33m'; B=$'\e[1m'; N=$'\e[0m'; else G=; R=; Y=; B=; N=; fi
+PASS=0; FAIL=0; INFO=0
+UA="Mozilla/5.0 (X11; Linux x86_64) bwpoc-tests"
+
+# Requête au travers du WAF : --resolve évite tout besoin de DNS.
+# Affiche "<code_http> <url_de_redirection>".
+waf() {
+  local host="$1" path="$2"; shift 2
+  curl -sk -o /dev/null -w '%{http_code} %{redirect_url}' --max-time 10 \
+    --resolve "$host.$DOMAIN:443:$WAF_IP" --resolve "$host.$DOMAIN:80:$WAF_IP" \
+    -A "$UA" "$@" "https://$host.$DOMAIN$path"
+}
+
+# Vérifie qu'un code fait partie de la liste attendue (séparateur |)
+check() {
+  local title="$1" expected="$2" got="$3" level="${4:-strict}"
+  if [ -n "$ONLY" ] && [[ "$title" != *"$ONLY"* ]]; then return; fi
+  local code="${got%% *}"
+  if [[ "|$expected|" == *"|$code|"* ]]; then
+    printf '  %s[OK]%s   %-58s %s\n' "$G" "$N" "$title" "$code"; PASS=$((PASS + 1))
+  elif [ "$level" = info ]; then
+    printf '  %s[INFO]%s %-58s %s (attendu %s)\n' "$Y" "$N" "$title" "$code" "$expected"; INFO=$((INFO + 1))
+  else
+    printf '  %s[KO]%s   %-58s %s (attendu %s)\n' "$R" "$N" "$title" "$code" "$expected"; FAIL=$((FAIL + 1))
+  fi
+}
+
+section() { printf '\n%s== %s ==%s\n' "$B" "$1" "$N"; }
+
+# ---------------------------------------------------------------------
+if [ "$DIRECT" -eq 1 ]; then
+  section "Sans WAF : attaques envoyées directement à $APPS_IP"
+  for t in \
+    "SQLi Juice Shop (recherche produits)|http://$APPS_IP:$PORT_SHOP/rest/products/search?q=%27))%20OR%201%3D1--" \
+    "XSS réfléchie|http://$APPS_IP:$PORT_SHOP/?q=%3Cscript%3Ealert(1)%3C%2Fscript%3E" \
+    "Méthode PUT sur l'API|http://$APPS_IP:$PORT_API/put"; do
+    title="${t%%|*}"; url="${t#*|}"
+    if [[ "$title" == *PUT* ]]; then
+      code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 5 -X PUT "$url")
+    else
+      code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 5 "$url")
+    fi
+    printf '  %-60s %s\n' "$title" "$code"
+  done
+  echo
+  echo "Code 000 = port filtré (seul le WAF est autorisé). Sinon, comparez avec le passage par le WAF."
+  exit 0
+fi
+
+echo "${B}PoC BunkerWeb${N} : WAF $WAF_IP, domaine $DOMAIN"
+
+section "Transport et socle"
+check "HTTP redirigé vers HTTPS (api)" "301|302|307|308" \
+  "$(curl -s -o /dev/null -w '%{http_code}' --max-time 10 --resolve "api.$DOMAIN:80:$WAF_IP" "http://api.$DOMAIN/get")"
+check "Host inconnu refusé (DISABLE_DEFAULT_SERVER)" "000|400|403|404|444" \
+  "$(curl -sk -o /dev/null -w '%{http_code}' --max-time 10 --resolve "inconnu.$DOMAIN:443:$WAF_IP" "https://inconnu.$DOMAIN/")"
+check "Requête légitime sur l'API" "200" "$(waf api /get)"
+
+section "En-têtes et compression"
+HDRS=$(curl -sk -D - -o /dev/null --max-time 10 --resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" "https://api.$DOMAIN/get" | tr -d '\r' | tr 'A-Z' 'a-z')
+for h in strict-transport-security x-frame-options x-content-type-options content-security-policy referrer-policy; do
+  if grep -q "^$h:" <<<"$HDRS"; then check "En-tête $h ajouté" "yes" "yes"; else check "En-tête $h ajouté" "yes" "no"; fi
+done
+if grep -q "^server:" <<<"$HDRS"; then check "En-tête Server masqué" "masqué" "présent" info; else check "En-tête Server masqué" "masqué" "masqué"; fi
+XFF=$(curl -sk --max-time 10 --resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" "https://api.$DOMAIN/headers" | jq -r '.headers["X-Forwarded-For"][0] // empty' 2>/dev/null)
+if [ -n "$XFF" ]; then check "Le backend reçoit X-Forwarded-For ($XFF)" "yes" "yes"; else check "Le backend reçoit X-Forwarded-For" "yes" "no"; fi
+for enc in br gzip; do
+  CE=$(curl -sk -D - -o /dev/null --max-time 10 -H "Accept-Encoding: $enc" --resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" "https://api.$DOMAIN/html" \
+    | tr -d '\r' | awk -F': ' 'tolower($1)=="content-encoding"{print $2}')
+  check "Compression $enc" "$enc" "${CE:-aucune}"
+done
+
+section "Antibot (www)"
+RES=$(waf www /)
+if [[ "$RES" == *challenge* ]] || [[ "${RES%% *}" == 200 && $(curl -sk --max-time 10 --resolve "www.$DOMAIN:443:$WAF_IP" "https://www.$DOMAIN/" | grep -ci challenge) -gt 0 ]]; then
+  check "Un client sans JavaScript reste bloqué sur /challenge" "yes" "yes"
+else
+  check "Un client sans JavaScript reste bloqué sur /challenge" "yes" "no ($RES)"
+fi
+
+section "WAF ModSecurity + OWASP CRS 4 (shop)"
+check "Page d'accueil Juice Shop" "200" "$(waf shop /)"
+check "SQLi : recherche produits ')) OR 1=1--" "403" "$(waf shop "/rest/products/search?q=%27))%20OR%201%3D1--")"
+check "XSS : <script>alert(1)</script>" "403" "$(waf shop "/?q=%3Cscript%3Ealert(1)%3C%2Fscript%3E")"
+check "Traversée de répertoire ../../etc/passwd" "403" "$(waf shop "/?file=..%2F..%2F..%2F..%2Fetc%2Fpasswd")"
+check "Injection de commande ;cat /etc/passwd" "403" "$(waf api "/get?cmd=%3Bcat%20%2Fetc%2Fpasswd")"
+check "Règle ModSecurity maison ?poc=attack" "403" "$(waf api "/get?poc=attack")"
+
+section "Listes noires"
+check "User-Agent maison PoC-EvilBot (BLACKLIST_USER_AGENT)" "403" "$(waf shop / -A "PoC-EvilBot/1.0")"
+check "User-Agent sqlmap (liste communautaire)" "403" "$(waf shop / -A "sqlmap/1.8#stable (https://sqlmap.org)")" info
+
+section "Contraintes protocolaires (api)"
+check "Méthode PUT interdite (ALLOWED_METHODS)" "405" "$(waf api /put -X PUT -d x=1)"
+check "Corps de 2 Mo refusé (MAX_CLIENT_SIZE=1m)" "413" \
+  "$(head -c 2097152 /dev/zero | tr '\0' 'a' | curl -sk -o /dev/null -w '%{http_code}' --max-time 20 \
+     --resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" -H 'Content-Type: text/plain' --data-binary @- "https://api.$DOMAIN/post")"
+
+section "Limitation de débit puis bad behavior (api)"
+echo "  Envoi de 40 requêtes en parallèle (LIMIT_REQ_RATE=5r/s)..."
+CODES=$(seq 1 40 | xargs -P 20 -I{} curl -sk -o /dev/null -w '%{http_code}\n' --max-time 10 \
+  --resolve "api.$DOMAIN:443:$WAF_IP" -A "$UA" "https://api.$DOMAIN/get?n={}" | sort | uniq -c | tr '\n' ' ')
+echo "  Répartition des codes : $CODES"
+if grep -qE '\b429\b' <<<"$CODES"; then check "Des requêtes ont été limitées (429)" "yes" "yes"; else check "Des requêtes ont été limitées (429)" "yes" "no"; fi
+echo "  Envoi de 12 requêtes en erreur 404 (BAD_BEHAVIOR_THRESHOLD=10)..."
+for i in $(seq 1 12); do waf api "/status/404?i=$i" >/dev/null; done
+sleep 2
+check "IP bannie : requête légitime désormais refusée" "403" "$(waf api /get)"
+check "Bannissement limité au service api (shop répond)" "200" "$(waf shop /)"
+
+# ---------------------------------------------------------------------
+printf '\n%sBilan%s : %s%d OK%s, %s%d KO%s, %d info\n' "$B" "$N" "$G" "$PASS" "$N" "$R" "$FAIL" "$N" "$INFO"
+MYIP=$(curl -sk --max-time 5 --resolve "shop.$DOMAIN:443:$WAF_IP" -A "$UA" -o /dev/null -w '%{local_ip}' "https://shop.$DOMAIN/")
+cat <<EOF
+
+Votre IP ($MYIP) est bannie de api.$DOMAIN pendant BAD_BEHAVIOR_BAN_TIME.
+Pour lever le bannissement : UI BunkerWeb, menu Bans, ou sur la VM WAF :
+  docker exec bw-scheduler bwcli unban $MYIP
+EOF
+[ "$FAIL" -eq 0 ]