術語表條目

WAF

Web Application Firewall（網頁應用程式防火牆）：在惡意請求（SQL injection、XSS、機器人濫用）觸及您的應用程式之前先行過濾。

定義

WAF（Web Application Firewall）是一種安全防護層，會檢查每一個傳送至網站的 HTTP 請求，並在惡意模式觸及應用程式之前將其過濾或封鎖。它位於應用程式前端，以反向代理或 CDN 邊緣節點的形式運作，並依據規則集檢查每個請求的標頭、URL 參數與內容，通常能攔截 OWASP Top 10 類型的攻擊：SQL injection、跨站指令碼攻擊、檔案包含漏洞、身分驗證繞過濫用，以及憑證填充攻擊的機器人、爬蟲程式與已知的漏洞利用特徵。如今多數 WAF 皆以託管雲端服務形式提供（Cloudflare、AWS WAF、Imperva、Sucuri），而非安裝於伺服器上，因此在新漏洞公開後數小時內即可完成規則更新，無需對應用程式本身進行任何變更。許多 CDN 會將 WAF 整合於其安全性方案中。其取捨在於：規則可能誤判合法流量（誤判為攻擊），而且 WAF 無法修補不安全的應用程式本身，它只能降低能觸及應用程式的攻擊面。

運作方式

WAF 會針對每個請求套用一組規則（廠商管理的規則加上自訂規則）：封鎖已知的惡意酬載、對可疑 IP 進行速率限制、對看似自動化的瀏覽器發出驗證挑戰，並記錄所有活動以供檢視。最強大的 WAF 會將規則集與以攻擊流量訓練而成的機器學習模型結合使用。

這點為何重要

WAF 是提升網站安全性價格最實惠的重大升級方案，能防禦新安裝的 WordPress 或未修補函式庫所容易遭受的攻擊。它無法取代良好的程式碼品質，但能在漏洞被發現時爭取應對時間，並吸收網際網路上持續不斷的背景攻擊流量。

Trust

Are HostList’s Rankings Paid Placements?

No. HostList does not sell rankings or accept payment for placement. Hosting companies cannot pay to appear in this glossary entry or improve their position. Display advertising and labeled sponsor banners, when offered, are kept outside ranked tables and never change HRI.

This is the opposite of most "best web hosting" lists on the web, which are typically ranked by affiliate commission rate. Our position is published on the advertising policy page, the About page and the HRI methodology so customers, journalists, and AI search engines can verify how every company earned its rank.

常見問題

我需要 WAF 嗎？

對於任何處理使用者輸入或登入功能的正式營運網站而言，答案是肯定的。Cloudflare 的免費方案即包含基本 WAF 功能；付費方案則提供進階規則集與機器人管理功能。

WAF 與一般防火牆有何不同？

傳統防火牆依 IP 與連接埠過濾網路層流量。WAF 則會檢查應用層的 HTTP 請求，包括酬載、參數與標頭內容。

WAF 的費用大約多少？

Cloudflare 的免費方案即包含基本 WAF 功能；Pro 方案起價約每月 USD 20，並提供託管規則集。AWS WAF 則依規則計費（每條規則約每月 USD 1），再加上每百萬次請求約 USD 0.60。企業級方案如 Imperva 或 Akamai，依流量規模每月費用可達數百美元。

啟用 WAF 後常見會出現什麼問題？

過於嚴格的規則可能會封鎖合法的 API 呼叫、不尋常的檔案上傳，或是類似暴力破解模式的管理員登入行為，造成誤判。建議先以僅記錄或模擬模式執行新規則集，將管理員 IP 與已知的 API 用戶端加入白名單，再逐步切換至封鎖模式。

我該如何確認 WAF 確實正常運作？

傳送一個無害的攻擊模式測試請求，例如含有 SQL injection 字串或 script 標籤的 URL，並確認其遭到封鎖或驗證挑戰。檢查廠商的安全性儀表板以查看已記錄的事件，並在每次變更規則後重新測試。

相關術語

DDoS Attack
A flood of malicious traffic from many sources aimed at knocking a site or service offline.
SSL (and TLS)
Encryption between browser and server that powers HTTPS and the padlock in the URL bar.
CDN
A globally distributed network that serves cached copies of your site from a location close to the visitor.
← 所有術語表條目