Cyber Security · Difesa del sito
Gli attacchi si fermano prima di arrivare al sito: il WAF filtra ogni richiesta HTTP e blocca SQL injection, cross-site scripting (XSS), bot e DDoS, anche quando una patch non è ancora installata.
Definizione
Un web application firewall (WAF) è un firewall che protegge le applicazioni web filtrando e monitorando il traffico HTTP e HTTPS fra l'applicazione e internet. Lavora al livello 7 del modello OSI, quello delle richieste web: riconosce e blocca SQL injection, cross-site scripting (XSS), inclusione di file e attacchi DDoS prima che arrivino al sito.
Si mette davanti a qualunque applicazione esposta: un e-commerce, un sito istituzionale, un gestionale web, un'API REST. Rackone lo attiva e lo segue con te, in italiano.
Un firewall di rete decide chi può collegarsi e su quale porta; un WAF legge il contenuto delle richieste che passano dalla porta rimasta aperta, la 443 del sito.
Non si sceglie l'uno o l'altro: sono due livelli diversi, e servono entrambi dove il sito raccoglie dati o vende online.
Chi lo usa
La raggiungibilità è il fatturato: un attacco che ferma il sito ferma le vendite. E dove passano i dati delle carte, lo standard PCI DSS 4.0.1 chiede dal 31 marzo 2025 una soluzione automatica che rilevi e blocchi gli attacchi alle applicazioni web pubbliche.
Oltre al blocco del servizio c'è il danno di immagine: il sito usato come veicolo per virus o per campagne di phishing, oppure un defacing.
Le falle nel codice lasciano il sito aperto agli attacchi, e una patch di sicurezza che non si riesce ad applicare rende il sito un bersaglio facile.
Sempre più spesso le applicazioni espongono servizi via web service o API REST, e quelle interfacce vengono attaccate spesso.
Le funzioni
Se una patch di sicurezza esiste ma non si riesce ad applicarla, le regole del firewall vengono aggiornate dai ricercatori e coprono la falla nel frattempo.
Ogni sito ha problemi propri, a seconda del CMS, del software server e dello stack: il traffico che non corrisponde al profilo viene bloccato.
Quando il sistema rileva un bot dannoso o uno strumento da attacco, lo blocca: il sito smette di essere trovato dagli strumenti automatici.
Password, CAPTCHA, 2FA via Google Authenticator o whitelist di IP sulle pagine più sensibili, a partire dagli accessi al backend.
Se il tuo pubblico è in Italia e in Europa, puoi bloccare il traffico dei paesi che non ti servono: si riduce il traffico automatico che cerca vulnerabilità sul sito.
Vengono bloccati gli attacchi di livello 7, l'HTTP flood, e quelli di livello 3 e 4.
I tentativi ripetuti di indovinare le credenziali vengono riconosciuti e bloccati, prima che un accesso rubato apra il pannello di amministrazione.
Una vulnerabilità appena scoperta non ha ancora una patch: il WAF blocca i comportamenti sospetti con cui la si sfrutta e riduce l'esposizione in quell'intervallo.
Un'applicazione web nasce per offrire un servizio, e alcune forme di attacco come il DDoS (Distributed Denial of Service) rendono il servizio inaccessibile: il danno è immediato ed economico.
Altri attacchi puntano al furto di dati. Se sono dati personali, ne risponde il titolare del trattamento: il GDPR prevede sanzioni amministrative fino a 20 milioni di euro o al 4% del fatturato mondiale annuo (art. 83), e la legge italiana aggiunge le sue. È per questo che un'applicazione esposta va protetta prima dell'incidente, non dopo.
L'OWASP Top 10, la classifica dei rischi delle applicazioni web aggiornata nell'edizione 2025, mette al primo posto il controllo degli accessi violato e al quinto le injection, con SQL injection e XSS. Un WAF blocca le richieste che sfruttano questi errori, ma non corregge il codice: resta una difesa in più, non un sostituto degli aggiornamenti.
Un WAF può stare in punti diversi, e le protezioni non si escludono:
Se il sito vende, raccoglie dati o ha un'area riservata, il WAF davanti al sito è il livello che ferma l'attacco prima che il server lo veda.
Sì, se il sito raccoglie dati o vende online: il firewall di rete decide chi si collega e su quale porta, il web application firewall legge il contenuto delle richieste web che passano dalla porta aperta del sito. Un attacco SQL injection viaggia dentro una richiesta lecita e passa dal firewall di rete senza essere visto.
No, un web application firewall non sostituisce gli aggiornamenti: blocca le richieste che sfruttano una vulnerabilità nota e, con la patch virtuale, copre la falla finché non installi la correzione. Il codice vulnerabile però resta lì, e va aggiornato appena possibile.
Per attivare il WAF di Rackone serve spostare la gestione DNS del dominio sul nostro servizio DNS ridondato, che è il presupposto del servizio: così il traffico del sito passa dal WAF prima di arrivare al server. Il resto, dalle regole al profilo dell'applicazione, lo impostiamo insieme.
Sì, un web application firewall protegge anche un sito WordPress: blocca le richieste che cercano plugin vulnerabili e i tentativi ripetuti sulla pagina di accesso, e con le pagine protette può chiedere un secondo fattore sul pannello di amministrazione. Chi parte da zero trova anche l'hosting WordPress di Rackone.
Il prezzo del WAF, il web application firewall, dipende dal perimetro: quanti siti o applicazioni proteggere e con quali funzioni. Si parte da un'analisi del sito, e il preventivo arriva dopo, senza impegno.
WAF gestito, regole aggiornate e monitoraggio: il traffico sporco si ferma prima di arrivare all'applicazione.
Nessuno spam. Ti risponde un sistemista.
Lasciaci i tuoi recapiti: ti ricontatta un sistemista, non un commerciale.
