name: selfhostedops/appsec-tuned
default_remediation: ban
# ep13: vpatch + generic (nativ) plus OWASP CRS (SecLang). Eine lokale
# SecLang-Regel schaltet die CRS-Engine je legitimer Route ab (ctl:ruleEngine),
# die native vpatch-Abdeckung bleibt dort erhalten. Die Exclusion-Regel muss
# VOR crowdsecurity/crs stehen, damit ctl in Phase 1 greift.
inband_rules:
  - crowdsecurity/base-config
  - selfhostedops/crs-route-exclusions
  - crowdsecurity/crs
  - crowdsecurity/vpatch-*
  - crowdsecurity/generic-*
outofband_rules:
  - crowdsecurity/experimental-*
  - crowdsecurity/appsec-generic-test