WAF (pare-feu applicatif web)
Équipement ou service placé devant un site ou une application web pour analyser les requêtes HTTP et bloquer les attaques applicatives.
Définition complète
Un WAF (Web Application Firewall, pare-feu applicatif web) est un pare-feu spécialisé dans la protection des sites et applications web. Là où un pare-feu réseau filtre surtout les adresses et les ports, un pare-feu applicatif analyse le contenu du trafic d’une ou plusieurs applications, ici les requêtes et réponses HTTP.
Placé en coupure devant le serveur, souvent en mode serveur mandataire inverse (reverse proxy), il bloque les requêtes correspondant à des attaques connues : injections SQL, scripts intersites (XSS), exploitation de failles publiées, robots de test d’identifiants. Il peut être un équipement, un logiciel ou un service en ligne proposé par un hébergeur ou un CDN.
L’ANSSI cite, pour protéger un service exposé sur Internet comme un webmail, la protection du serveur par un serveur mandataire inverse, voire un pare-feu applicatif, hébergés dans une zone dédiée. Un WAF est une couche de protection supplémentaire : il ne remplace ni les mises à jour, ni un développement sécurisé.
Source : NIST, glossaire du CSRC (application firewall, SP 800-41 Rev. 1), ANSSI, Recommandations relatives à l’interconnexion d’un SI à Internet (PA-066)
Exemple concret
Une PME vend des pièces détachées sur une boutique en ligne développée sur mesure. Son hébergeur l’alerte : une faille de l’extension de paiement vient d’être publiée et des robots la recherchent déjà. Le temps que le développeur applique le correctif, la PME active une règle de son WAF qui bloque les requêtes exploitant cette faille. Les tentatives sont stoppées et journalisées.
Comment se protéger
- Placer un WAF devant les applications exposées qui traitent des données sensibles : boutique, espace client, extranet, API.
- Démarrer en mode détection pour ajuster les règles, puis passer en mode blocage afin d’éviter les faux positifs sur les usages légitimes.
- Tenir les règles à jour et utiliser les « correctifs virtuels » en attendant la mise à jour de l’application.
- Empêcher le contournement : le serveur ne doit accepter que le trafic venant du WAF.
- Exploiter les journaux du WAF pour détecter les campagnes d’attaque.
- Continuer à corriger les failles et à faire tester l’application : le WAF n’est qu’une couche de défense.
Questions fréquentes
Le pare-feu réseau décide selon les adresses, les ports et les protocoles. Le WAF comprend le trafic web et inspecte le contenu des requêtes pour y détecter des attaques contre l’application. Les deux sont complémentaires.
Pour un site vitrine simple, des mises à jour régulières et des accès d’administration protégés sont prioritaires. Beaucoup d’hébergeurs et de CDN proposent toutefois un WAF à coût modéré, utile surtout pour les CMS très ciblés et les sites qui collectent des données.
Termes liés
Credential stuffing
Attaque automatisée qui teste en masse des identifiants volés lors de fuites de données, en pariant sur la réutilisation des mots de passe.
Défiguration de site web
Modification malveillante de l’apparence ou du contenu d’un site web, signe visible qu’un attaquant en a pris le contrôle.
Déni de service (DDoS)
Attaque qui sature un site ou un service en ligne de requêtes pour le rendre inaccessible à ses utilisateurs légitimes.
Pare-feu
Dispositif filtrant le trafic réseau entrant et sortant.
Vous avez besoin d'un expert en WAF (pare-feu applicatif web) ?
Créez votre compte pour recevoir des réponses de prestataires qualifiés.