Un WAF (Web Application Firewall, pare-feu applicatif web) analyse le trafic HTTP et HTTPS entre les utilisateurs d'une application web — navigateurs, applications mobiles, robots — et le serveur qui l'héberge. Il détecte et bloque les requêtes malveillantes avant qu'elles n'atteignent le code applicatif.
La différence avec un pare-feu réseau classique
Un pare-feu réseau travaille sur les couches 3 et 4 du modèle OSI : il autorise ou bloque selon les adresses IP, les ports et les protocoles, mais ne voit pas le contenu d'une requête HTTP — une injection SQL passant par le port 443 lui ressemble à n'importe quel autre trafic chiffré. Un IPS ou un IDS surveille le trafic de manière plus générale, tous protocoles confondus, sans connaissance fine du contexte applicatif. Le WAF, lui, est spécialisé dans le trafic web : il inspecte les URL, les en-têtes, les cookies et les paramètres au niveau applicatif, la fameuse couche 7. Les trois outils sont complémentaires et s'inscrivent dans une logique de défense en profondeur.
Les formes de déploiement
Comment ça fonctionne concrètement
Dans la configuration la plus courante, le WAF agit en reverse proxy : il reçoit les requêtes à la place du serveur, les analyse, puis décide de les transmettre ou non. Il termine lui-même la connexion TLS, ce qui lui permet d'inspecter le trafic chiffré. Deux logiques de filtrage coexistent : la liste noire, qui laisse passer tout ce qui ne correspond pas à des motifs d'attaque connus (le modèle le plus courant, avec des jeux de règles comme l'OWASP Core Rule Set), et la liste blanche, plus robuste mais plus coûteuse à construire et à maintenir, qui bloque tout sauf ce qui est explicitement autorisé. Beaucoup de WAF modernes utilisent un système de scoring d'anomalies : chaque règle déclenchée ajoute des points, et la requête n'est bloquée qu'au-delà d'un certain seuil, ce qui limite les faux positifs par rapport à un blocage au premier déclenchement.
Ce qu'un WAF couvre
../.Ses limites, à ne pas perdre de vue
Quelques solutions à connaître
Côté open source : ModSecurity (le moteur historique, associé à l'OWASP Core Rule Set), Coraza (un moteur écrit en Go, compatible avec les mêmes règles), BunkerWeb (basé sur Nginx, avec interface d'administration) ou open-appsec (approche par apprentissage automatique, sans signatures). Côté solution packagée prête à déployer, voir notre article sur SafeLine, un WAF à moteur d'analyse sémantique installable en quelques commandes Docker.
Un WAF est un filet de sécurité complémentaire, pas un substitut au développement sécurisé ni à un réseau correctement cloisonné (voir notre offre de pare-feu et segmentation UniFi). Vous voulez évaluer si vos applications exposées sur Internet en ont besoin, et laquelle choisir ? Parlons-en.