Qu'est-ce qu'un pare-feu applicatif web (WAF) ?
✦ Points clés
- Un WAF inspecte les requêtes HTTP entrantes de votre site et bloque les malveillantes.
- Il protège contre des attaques courantes comme l'injection SQL et le XSS (liste OWASP).
- Il diffère d'un pare-feu réseau, qui agit au niveau réseau et non applicatif.
- Il fonctionne par règles ou apprentissage, déployé en cloud, en proxy ou sur l'hôte.
Un pare-feu applicatif web (Web Application Firewall – WAF) est une couche de protection placée devant votre site ou application sur internet. Son rôle est d'inspecter chaque requête HTTP entrante des visiteurs avant qu'elle n'atteigne le serveur et de bloquer celles qui semblent malveillantes. Imaginez un gardien à la porte de l'application : il lit chaque requête entrante, la compare à des règles définissant ce qui est suspect, laisse passer le trafic normal et arrête la tentative hostile.
Le besoin est né du fait que de nombreuses attaques ne visent pas le réseau mais la logique applicative elle-même, via des requêtes qui paraissent légitimes en surface. Parmi les plus courantes : l'injection SQL, où l'attaquant tente d'insérer des commandes de base de données dans un champ de saisie, et le cross-site scripting (XSS), où du code est injecté pour s'exécuter dans le navigateur d'une autre victime. Ces schémas sont documentés dans l'OWASP Top 10, la liste de référence des risques web les plus critiques, et un WAF est conçu avant tout pour les contrer.
Générateur de factures & devis
Factures pro calculées et imprimées/PDF en une minute.
Il est important de distinguer un WAF d'un pare-feu réseau classique. Le pare-feu réseau agit au niveau réseau : il décide quelles adresses et ports sont autorisés, mais ne comprend pas le contenu d'une requête web. Un WAF agit au niveau applicatif (couche 7), lisant le contenu de la requête — l'URL, les en-têtes, les données envoyées — et le jugeant. Ils sont donc complémentaires, non alternatifs : l'un protège le périmètre, l'autre la logique applicative.
Le tableau montre la différence :
| Aspect | Pare-feu réseau | WAF (applicatif) |
|---|---|---|
| Couche | Réseau/transport | Application (HTTP) |
| Ce qu'il inspecte | Adresses et ports | Contenu de la requête web |
| Protège contre | Accès réseau non autorisé | Injection SQL, XSS, etc. |
| Emplacement | Bordure du réseau | Devant l'application |
Un WAF fonctionne selon deux styles, ou un mélange : un modèle de règles/listes qui bloque des schémas connus dangereux (liste noire) ou n'autorise que l'explicitement permis (liste blanche), et un modèle comportemental qui apprend l'aspect du trafic normal puis signale les écarts suspects. Beaucoup de solutions modernes combinent les deux et ajoutent une protection contre les attaques par déni de service et une limitation du débit des requêtes.
Côté déploiement, il existe trois modèles : en cloud, offert comme un service par lequel passent vos visiteurs (facile à mettre en place et courant) ; en proxy inverse placé entre l'utilisateur et le serveur ; et intégré à l'hôte/application. Chacun a ses compromis de performance, de contrôle et de coût, et le choix dépend de la taille du site et de la sensibilité de ses données.
Enfin, un WAF doit être vu comme une couche d'une stratégie de défense en profondeur, non comme une solution miracle. Il réduit fortement le risque mais ne remplace pas un code sécurisé, la mise à jour des composants et une bonne gestion des mots de passe et des droits. Une sécurité robuste naît de ces éléments réunis.