« WAF » : derrière ce sigle de trois lettres se cache l'un des outils les plus efficaces pour protéger une application web. Un Web Application Firewall (pare-feu applicatif web) est un filtre spécialisé dans l'analyse des requêtes HTTP et HTTPS, capable de détecter et de bloquer les requêtes malveillantes avant qu'elles n'atteignent votre application.
Pour une PME qui expose un site WordPress, un SaaS ou un extranet, le WAF est devenu un filet de sécurité quasi indispensable : injections SQL, scripts XSS, tentatives de piratage automatisées… Dans cet article, on vous explique concrètement ce que fait un WAF, ce qu'il peut bloquer, ses limites, et comment le déployer avec des solutions open source.
1. Le WAF, un spécialiste de la couche applicative
Le WAF se positionne entre vos utilisateurs et vos applications. Toutes les requêtes passent par lui : il les épluche (en-têtes, arguments, corps de requête) et décide de les laisser passer ou de les bloquer. C'est un filtre qui travaille sur la couche 7 du modèle OSI, celle des applications — là où un pare-feu réseau classique s'arrête aux couches 3 et 4 (IP, ports, protocoles).
Un pare-feu réseau ne peut pas lire une requête HTTP pour y déceler un argument malveillant. Le WAF, lui, est un spécialiste du protocole web : il comprend la structure des requêtes et sait reconnaître les patterns d'attaque.
2. Ce qu'un WAF peut bloquer
Le WAF couvre l'essentiel du référentiel OWASP Top 10, la liste des vulnérabilités web les plus critiques :
- Injections SQL : les tentatives d'exécuter des commandes SQL via les champs de formulaire ou l'URL sont détectées et bloquées
- XSS (Cross-Site Scripting) : l'injection de scripts malveillants dans les pages est interceptée
- Traversée de répertoire : les tentatives d'accéder à des fichiers système via des chemins type
../../etc/passwdsont refusées - Filtrage des robots malveillants : scans automatisés, botnets, aspirateurs de contenu
- Rate limiting : limitation du nombre de requêtes pour se protéger des dénis de service et du brute-force
Le virtual patching : un gain de temps précieux
Quand une faille est découverte sur une application, le WAF permet de bloquer l'exploit immédiatement, même si le correctif officiel n'est pas encore appliqué. C'est le virtual patching : un garde-fou qui vous fait gagner un temps précieux pendant la fenêtre de vulnérabilité.
Une meilleure visibilité
Autre avantage souvent sous-estimé : tous les journaux d'accès sont centralisés au niveau du WAF. Vous pouvez les consulter facilement, les envoyer vers un SIEM, et répondre à certaines exigences de conformité.
3. Les limites à connaître
Comme toute solution de sécurité, le WAF a ses faiblesses :
- Les faux positifs : une URL légitime contenant des mots-clés suspects (par exemple « injection SQL » dans un article de blog) peut être bloquée à tort. Il faut apprendre à affiner les règles.
- Les techniques de contournement : encodage d'URL, prise d'empreinte du WAF… des attaquants déterminés peuvent tenter de le bypasser.
- Les failles logiques : si un utilisateur a trop de droits dans votre application (problème de conception), le WAF ne pourra rien faire — la navigation est légitime en apparence.
- La maintenance : il faut maintenir à jour vos composants web (WordPress, CMS) et suivre les avis de sécurité, même avec un WAF en frontal.
4. Les solutions open source disponibles
Pas besoin d'investir dans une appliance à plusieurs milliers d'euros pour commencer. Voici les principales solutions open source :
- ModSecurity : le projet historique, devenu la référence. C'est un module Apache, également utilisable avec Nginx et IIS. Rattaché à l'OWASP, il bloque les attaques les plus courantes (via le jeu de règles CRS).
- Coraza : un WAF moderne écrit en Go, compatible à 100 % avec les règles ModSecurity et le CRS. Pensé pour se brancher sur d'autres systèmes (Caddy, Traefik).
- Bunker Web : une solution open source française, basée sur Nginx + ModSecurity, avec une interface web d'administration qui facilite grandement la configuration.
- Open AppSec : maintenu par Check Point, il utilise le machine learning pour anticiper les attaques et distinguer le trafic légitime.
- SafeLine : un WAF avec une interface très soignée, des graphiques et des métriques directement dans un tableau de bord.
- CrowdSec : en plus de sa détection d'intrusion, il embarque un module WAF utilisable en middleware Traefik — une approche communautaire qui partage les IP malveillantes détectées.
5. Mise en pratique : un WAF en 2 conteneurs Docker
Le déploiement le plus simple pour tester : ModSecurity + CRS devant un serveur web de démonstration, en deux conteneurs Docker. L'application n'est pas exposée directement : seul le WAF est accessible, et il joue le rôle de reverse proxy.
Une fois lancé (docker compose up -d), un curl classique vers le WAF renvoie un 200 OK. Mais dès qu'on tente une traversée de répertoire ou une injection SQL, le serveur répond 403 Forbidden : la requête est bloquée avant d'atteindre l'application.
La preuve en contre-exemple : si on expose le serveur web en direct (sans passer par le WAF), les mêmes requêtes malveillantes reçoivent un 200 — l'application répond, sans filet de sécurité.
Les journaux du WAF montrent précisément quelle règle a déclenché le blocage (scoring, détection d'injection SQL…) : une traçabilité complète de chaque décision.
Conclusion
Le WAF est un investissement de sécurité à fort retour : il bloque l'essentiel des attaques web automatisées, offre du virtual patching, et centralise les journaux. Les solutions open source (ModSecurity, Coraza, Bunker Web, CrowdSec) permettent de démarrer avec un budget minimal.
Chez 2SRK Solutions, nous déployons ces protections dans les infrastructures de nos clients : WAF CrowdSec en middleware Traefik, reverse proxy sécurisé, durcissement des applications web. Notre approche : déployer, superviser, affiner les règles — puis activer le blocage en toute confiance.
Vous avez aimé cet article ? Partagez-le :
🔗 Partager sur LinkedIn · 🐦 Partager sur X
📄 Article rédigé par l'équipe 2SRK Solutions Informatiques — Expert en cybersécurité, infogérance et cloud privé pour PME en Île-de-France.