Firewall aplikasi web (WAF) memeriksa trafik HTTP ke dan dari laman web, kemudian menggunakan peraturan untuk membenarkan, mencabar atau menyekat permintaan. Ia boleh mengurangkan pendedahan kepada sesetengah serangan web lazim dan trafik yang mengganggu. Namun, ia tidak menggantikan pembangunan selamat, kemas kini, kawalan akses, sandaran atau tindak balas insiden.
Perkara utama
- Pilih kedudukan WAF yang sesuai dengan seni bina hos dan rangkaian.
- Sahkan sama ada perkhidmatan bertindak sebagai proksi, memantau trafik atau hanya menyediakan peraturan.
- Uji borang, log masuk, API, checkout dan integrasi untuk mengesan sekatan yang tersilap.
- Lindungi pelayan asal dan kekalkan kawalan keselamatan aplikasi yang berasingan.
- Lantik pemilik untuk menyemak amaran, peraturan, pengecualian dan insiden.
Kedudukan WAF dalam aliran permintaan
WAF menggunakan peraturan keselamatan pada permintaan web. Bergantung pada produk, ia boleh berada pada proksi awan, lapisan hos atau rangkaian, atau di dalam aplikasi. Proksi awan boleh memeriksa permintaan sebelum sampai ke pelayan asal, manakala WAF hos atau aplikasi beroperasi lebih dekat dengan laman web. Kedudukannya mempengaruhi trafik yang boleh diperiksa, cara penyulitan dikendalikan, tindakan semasa gangguan dan pihak yang menyelenggarakannya.
Sesetengah perkhidmatan menyediakan set peraturan terurus untuk corak serangan yang diketahui. Yang lain membolehkan pentadbir mencipta peraturan tersuai berdasarkan laluan, kadar permintaan, negara atau isyarat lain. Kawalan ini boleh membantu menapis trafik, tetapi tiada set peraturan yang dapat mengenal pasti semua permintaan berniat jahat atau memahami setiap aliran kerja perniagaan.
Keupayaan dan batasan WAF
WAF boleh menyekat atau mencabar permintaan yang sepadan dengan peraturan. Ia juga boleh membantu mengehadkan sesetengah trafik automatik dan menyediakan log untuk siasatan. Kegunaannya bergantung pada kedudukan, konfigurasi, liputan dan semakan berkala.
WAF tidak membaiki pemalam yang rentan, kod aplikasi yang tidak selamat, kata laluan lemah, kelayakan yang terdedah atau akaun pentadbir yang diceroboh. Ia tidak menjamin perlindungan daripada serangan penafian perkhidmatan, kehilangan data, penipuan atau gangguan. Kekalkan kemas kini perisian, akses minimum, pengesahan berbilang faktor, sandaran dan prosedur pemulihan.
Pilih pelaksanaan yang sesuai
Sebelum mengaktifkan WAF, petakan laluan daripada pengunjung ke aplikasi: DNS, CDN atau proksi, load balancer, hos, pelayan web dan aplikasi. Kenal pasti integrasi yang menghantar trafik terus ke pelayan asal. Jika menggunakan proksi, bincang dengan hos cara menghalang akses terus tanpa penapisan ke pelayan asal, sambil mengekalkan pemantauan, e-mel atau perkhidmatan deployment yang sah.
Semak pihak yang mengendalikan TLS, lokasi simpanan log, lokasi pemprosesan trafik, proses sokongan insiden serta had perkhidmatan atau caj tambahan. Sahkan sama ada hos, pasukan anda atau penyedia lain mengurus perkhidmatan tersebut. Catat pemilik akaun dan pihak yang membayar.
Konfigurasi dan ujian dengan teliti
Mulakan dengan mod pemantauan atau log sahaja jika tersedia. Semak permintaan yang mungkin disekat, laraskan peraturan mengikut laman sebenar dan aktifkan penguatkuasaan secara berperingkat. Uji aliran biasa dan aliran sah yang luar biasa: borang hubungan, muat naik fail, akses akaun, API, panggilan balik pembayaran, carian dan integrasi. Periksa pada komputer dan telefon.
Sekatan tersilap boleh menghalang pelanggan daripada menyelesaikan urusan. Sediakan proses untuk menyemak permintaan yang disekat dan tambah pengecualian terhad jika perlu. Elakkan peraturan benarkan yang terlalu luas sehingga perlindungan seluruh laman dimatikan. Catat perubahan peraturan dan cara untuk mengembalikannya.
Urus WAF secara berterusan
Lantik seseorang untuk menyemak amaran keselamatan dan notis penyedia. Uji semula peraturan apabila laman, integrasi atau corak trafik berubah. Pastikan log boleh digunakan untuk siasatan dan disimpan mengikut keperluan organisasi. Sertakan WAF dalam latihan tindak balas insiden dan pemulihan.
Bagi organisasi kecil, WAF terurus daripada penyedia hos atau rangkaian mungkin lebih mudah dikendalikan berbanding platform berasingan. Laman lebih besar atau kompleks mungkin memerlukan peraturan khusus, pemantauan khusus dan proses eskalasi yang jelas. Bandingkan perkhidmatan serta tanggungjawab sebenar, bukan nama produk sahaja.
Soalan lazim
Adakah WAF menjadikan laman web selamat?
Tiada satu kawalan yang menjamin keselamatan laman. WAF boleh menjadi satu lapisan bersama kemas kini, kod selamat, kawalan akses, pemantauan dan sandaran teruji.
Bolehkah WAF menyekat semua serangan?
Tidak. WAF menggunakan peraturan pada trafik yang boleh diperiksa. Peraturan mungkin terlepas serangan atau menyekat permintaan sah. Kekalkan kawalan lain serta pelan insiden.
Perlukah setiap laman WordPress menggunakan WAF?
Keputusan bergantung pada kesan laman terhadap perniagaan, ciri hos, kerumitan laman dan pihak yang boleh mengurus perkhidmatan. Semak perlindungan yang sudah disediakan hos sebelum menambah lapisan lain.
Untuk kemas kini dan perancangan pemulihan berterusan, lihat perkhidmatan penyelenggaraan laman web.
Sumber dan nota semakan
Disemak pada 20 Oktober 2026. Keupayaan WAF berbeza mengikut penyedia dan konfigurasi. Semak dokumentasi produk, terma log dan pengendalian data, had perkhidmatan serta proses insiden terkini sebelum pelaksanaan. Uji persediaan menggunakan trafik dan integrasi sebenar laman.