name: selfhostedops/appsec-tuned
default_remediation: ban
# ep13: vpatch + generic (nativ) plus OWASP CRS (SecLang). Die lokale Regel
# crs-route-exclusions entfernt je legitimer Route nur die CRS-Anomalie-
# Blockregeln (ctl:ruleRemoveById), die native vpatch-Abdeckung bleibt dort
# erhalten. Reihenfolge zu crowdsecurity/crs ist egal (Phase 1 vor Phase 2),
# der Uebersicht halber steht die Ausnahme oben.
inband_rules:
  - crowdsecurity/base-config
  - selfhostedops/crs-route-exclusions
  - crowdsecurity/crs
  - crowdsecurity/vpatch-*
  - crowdsecurity/generic-*
outofband_rules:
  - crowdsecurity/experimental-*
  - crowdsecurity/appsec-generic-test