O que é um WAF e qual a diferença em relação a um firewall comum?

Publicado em 2026-10-20 por frfrand

Qué es un firewall de aplicaciones web, cómo filtra peticiones HTTP, falsos positivos y por qué no reemplaza corregir vulnerabilidades.

Um WAF é um firewall especializado em tráfego de aplicações web. Suas siglas significam Web Application Firewall. Diferente de um filtro de rede básico que trabalha com endereços, portas e protocolos, um WAF pode examinar características de solicitações HTTP e aplicar regras relacionadas a ataques web.

Não é um antivírus para o seu site nem uma garantia de que qualquer vulnerabilidade esteja coberta.

O exemplo do controle de acesso

Imagine um edifício com uma porta de entrada vigiada. O controle geral verifica por qual porta uma pessoa chega e se essa porta está aberta. Um filtro adicional pode revisar certas características do que alguém tenta introduzir no edifício.

A comparação ajuda a entender a diferença entre um firewall de rede e um orientado a aplicações. Ambos podem ser combinados.

O que um WAF pode reconhecer?

De acordo com o produto e sua configuração, pode identificar padrões associados a certas tentativas de injeção, exploração de falhas conhecidas, tráfego automatizado ou solicitações anômalas.

Muitos sistemas usam regras gerenciadas, pontuações e sinais sobre a requisição. Isso não significa que possam compreender perfeitamente a intenção do usuário nem distinguir sempre uma solicitação maliciosa de uma legítima.

Um WAF configurado de forma agressiva pode bloquear formulários corretos ou requisições de uma API que utilizam parâmetros pouco frequentes.

Onde se instala?

Pode funcionar em um serviço de proteção na frente da origem, em um proxy ou em outros pontos de entrada. A posição importa: se alguém ainda puder acessar diretamente o servidor evitando a camada de proteção, parte do tráfego não passará por ela.

Também precisas definir como obter corretamente o IP do visitante quando existem proxies intermediários. Confiar cegamente em qualquer cabeçalho enviado pelo cliente pode produzir decisões equivocadas.

WAF vs firewall vs rate limiting

O firewall de rede controla conexões com base em regras de rede. O WAF analisa sinais relacionados a solicitações de aplicações web. O rate limiting restringe o ritmo de solicitações sob certas condições.

Não são a mesma coisa, mas podem trabalhar juntos. Uma API de autenticação pode precisar dos três, além de validação de entrada e controles de acesso.

Protege contra injeção SQL ou XSS?

Pode bloquear certos padrões conhecidos, mas não substitui escrever consultas parametrizadas nem escapar corretamente os dados no contexto de saída.

Se uma aplicação contiver uma falha de autorização que entrega dados de um usuário a outro, um WAF talvez não tenha contexto suficiente para reconhecê-lo. A segurança real continua exigindo corrigir os defeitos do software.

O que são falsos positivos?

Uma regra detecta algo suspeito e bloqueia tráfego que era legítimo. Pode ocorrer quando um usuário insere código em uma plataforma educativa ou envia um parâmetro que parece uma injeção, mesmo sendo conteúdo permitido.

Por isso, as regras devem ser observadas, ajustadas e testadas antes de serem ativadas com políticas muito rígidas. A proteção que impede o uso do produto também gera problemas.

Como saber se funciona?

Revise os eventos de bloqueio, rotas afetadas, códigos HTTP e tendências. Teste em um ambiente autorizado os comportamentos que devem ser bloqueados e as solicitações legítimas que devem ser permitidas.

Não baseie a segurança em um único contador de «ameaças detidas»: há produtos que contabilizam tráfego automatizado inofensivo dentro de suas métricas.

E o ArduMaker?

Se você executa um site em um VPS gerenciado com ArduMaker, pode colocar na frente um serviço WAF compatível com sua arquitetura. Você deverá configurar corretamente proxy, HTTPS, acesso à origem e regras do backend.

Ideia final: um WAF pode reduzir riscos na entrada de um aplicativo web, mas não substitui o firewall do servidor, o controle de permissões nem as correções de segurança.

Fontes: OWASP Web Application Firewall · OWASP Core Rule Set.