Definição
Um WAF (Web Application Firewall) é uma camada de segurança que inspeciona cada requisição HTTP a um site e filtra ou bloqueia padrões maliciosos antes que alcancem a aplicação. Ele fica à frente da aplicação, como um proxy reverso ou nó de borda de CDN, e verifica os cabeçalhos, parâmetros de URL e o corpo de cada requisição contra conjuntos de regras, normalmente capturando as classes do OWASP Top 10: injeção SQL, XSS (cross-site scripting), inclusão de arquivos e exploração de autenticação quebrada, além de bots de credential stuffing, scrapers e assinaturas conhecidas de exploits. Hoje, a maioria dos WAFs é entregue como serviço em nuvem gerenciado (Cloudflare, AWS WAF, Imperva, Sucuri) em vez de instalado no servidor, então as atualizações de regras são distribuídas em poucas horas após a divulgação de uma nova vulnerabilidade, sem qualquer alteração na aplicação em si. Muitas CDNs incluem um WAF em sua camada de segurança. A ressalva: regras podem falhar e bloquear tráfego legítimo (falsos positivos), e um WAF não corrige uma aplicação insegura; ele apenas reduz a superfície de ataque que a atinge.
Como funciona
Um WAF aplica um conjunto de regras (gerenciadas pelo fornecedor e personalizadas) a cada requisição: bloquear payloads maliciosos conhecidos, limitar a taxa de IPs suspeitos (rate limiting), desafiar navegadores que parecem automatizados e registrar tudo para inspeção. Os WAFs mais robustos combinam conjuntos de regras com modelos de machine learning treinados em tráfego de ataque.
Por que isso importa
Um WAF é o upgrade mais barato e sério para a postura de segurança de um site, defendendo contra ataques aos quais um WordPress recém-instalado ou uma biblioteca sem patch está vulnerável. Ele não substitui um bom código, mas ganha tempo quando uma vulnerabilidade é descoberta e absorve o ruído constante de tráfego de ataque em toda a internet.