¿Qué es un WAF y qué diferencia tiene con un firewall normal?
Publicado el 2026-10-20 por frfrand
Qué es un firewall de aplicaciones web, cómo filtra peticiones HTTP, falsos positivos y por qué no reemplaza corregir vulnerabilidades.
Un WAF es un firewall especializado en tráfico de aplicaciones web. Sus siglas significan Web Application Firewall. A diferencia de un filtro de red básico que trabaja con direcciones, puertos y protocolos, un WAF puede examinar características de solicitudes HTTP y aplicar reglas relacionadas con ataques web.
No es un antivirus para tu página ni una garantía de que cualquier vulnerabilidad queda cubierta.
El ejemplo del control de acceso
Imaginá un edificio con una puerta de entrada vigilada. El control general comprueba por qué puerta llega una persona y si esa puerta está abierta. Un filtro adicional puede revisar ciertas características de lo que intenta introducir en el edificio.
La comparación ayuda a entender la diferencia entre un firewall de red y uno orientado a aplicaciones. Ambos pueden combinarse.
¿Qué puede reconocer un WAF?
Según el producto y su configuración, puede identificar patrones asociados con ciertos intentos de inyección, explotación de fallos conocidos, tráfico automatizado o solicitudes anómalas.
Muchos sistemas usan reglas administradas, puntuaciones y señales sobre la petición. Eso no significa que puedan comprender perfectamente la intención del usuario ni distinguir siempre una solicitud maliciosa de una legítima.
Un WAF configurado agresivamente puede bloquear formularios correctos o peticiones de una API que utilizan parámetros poco frecuentes.
¿Dónde se instala?
Puede funcionar en un servicio de protección delante del origen, en un proxy o en otros puntos de entrada. La posición importa: si alguien todavía puede acceder directamente al servidor evitando la capa protectora, parte del tráfico no pasará por ella.
También necesitás definir cómo se obtiene correctamente la IP del visitante cuando existen proxies intermedios. Confiar ciegamente en cualquier cabecera enviada por el cliente puede producir decisiones equivocadas.
WAF vs firewall vs rate limiting
El firewall de red controla conexiones según reglas de red. El WAF analiza señales relacionadas con solicitudes a aplicaciones web. El rate limiting restringe el ritmo de solicitudes bajo ciertas condiciones.
No son lo mismo, pero pueden trabajar juntos. Una API de autenticación puede necesitar los tres, además de validación de entrada y controles de acceso.
¿Protege contra SQL injection o XSS?
Puede bloquear ciertos patrones conocidos, pero no sustituye escribir consultas parametrizadas ni escapar correctamente los datos en el contexto de salida.
Si una aplicación contiene un fallo de autorización que entrega datos de un usuario a otro, un WAF quizás no tenga suficiente contexto para reconocerlo. La seguridad real sigue requiriendo corregir los defectos del software.
¿Qué son los falsos positivos?
Una regla detecta algo sospechoso y bloquea tráfico que era legítimo. Puede ocurrir cuando un usuario introduce código en una plataforma educativa o envía un parámetro que parece una inyección, aunque sea contenido permitido.
Por eso las reglas deben observarse, ajustarse y probarse antes de activarlas con políticas demasiado estrictas. La protección que impide usar el producto también genera problemas.
¿Cómo saber si funciona?
Revisá los eventos de bloqueo, rutas afectadas, códigos HTTP y tendencias. Probá en un entorno autorizado los comportamientos que debería bloquear y las peticiones legítimas que debe permitir.
No bases la seguridad en un único contador de «amenazas detenidas»: hay productos que contabilizan tráfico automatizado inofensivo dentro de sus métricas.
¿Y ArduMaker?
Si ejecutás una web en un VPS administrado con ArduMaker, podés colocar delante un servicio WAF compatible con tu arquitectura. Deberás configurar correctamente proxy, HTTPS, acceso al origen y reglas del backend.
La idea final: un WAF puede reducir riesgos en la entrada de una aplicación web, pero no reemplaza el firewall del servidor, el control de permisos ni las correcciones de seguridad.
Fuentes: OWASP Web Application Firewall · OWASP Core Rule Set.