WAF (pare-feu applicatif web)
Web Application Firewall · pare-feu applicatif · pare-feu web · WAAP · patch virtuel
Filtre placé devant un site ou une API qui inspecte chaque requête web et bloque celles qui ressemblent à des attaques (injection SQL, XSS, robots abusifs).
En pratique
Le WAF comprend le protocole HTTP, là où un pare-feu réseau ne voit que des adresses et des ports. Il applique des règles génériques, souvent calquées sur les risques de l’OWASP Top 10, et des règles propres à l’application. Il sert aussi de « patch virtuel » : bloquer l’exploitation d’une faille le temps de corriger le code. Mais un WAF se contourne : il réduit le risque, il ne remplace ni le développement sécurisé ni les correctifs.
Cas fictif : un site de e-commerce découvre une injection SQL dans son moteur de recherche un vendredi soir. L’équipe ajoute une règle WAF ciblée en vingt minutes, puis livre le correctif du code le mardi. Le WAF a couvert le week-end ; le code corrigé ferme la faille pour de bon.
