Un Web Application Firewall se sienta entre Internet y tu aplicación, descifra cada petición, la inspecciona y decide en milisegundos si pasa, se bloquea o se desafía. Aquí verás cómo lo hace, qué criptografía lo hace posible y cómo lo resuelven Imperva, Cloudflare y otros.
Un firewall de red mira IPs y puertos (capas 3–4). Un WAF trabaja en la capa 7: lee URLs, cabeceras, cookies, cuerpos JSON y formularios. Por eso puede detectar una inyección SQL escondida dentro de un parámetro que, a nivel de red, parece tráfico HTTPS perfectamente normal.
{{ b.d }}
Elige una petición y mira cómo recorre el pipeline de inspección. Cada vendor nombra las etapas distinto, pero la lógica es esta.
{{ sc.vText }}
Inspeccionando…
El tráfico llega cifrado. Si el WAF no puede descifrarlo, solo ve bytes aleatorios. Por eso el WAF termina la conexión TLS con el certificado de tu dominio, inspecciona en claro y vuelve a cifrar hacia tu origen. Cuatro familias de algoritmos hacen el trabajo:
{{ p.d }}
En el WAF: {{ p.waf }}
Así negocian el navegador y el edge del WAF las claves de sesión. Avanza con los botones o pulsa cualquier mensaje.
{{ tlsCur.d }}
Entre el usuario y tu servidor hay dos sesiones TLS independientes. La segunda es la que más se descuida.
{{ m.d }}
Los WAF firman cookies de sesión y tokens de desafío con HMAC para que un bot no pueda falsificarlos. Cambia una sola letra y mira cómo cambia todo el resultado (efecto avalancha).
Antes, con intercambio de claves RSA, un appliance en modo "sniffing" podía copiar el tráfico y descifrarlo pasivamente si tenía la clave privada del certificado. Con ECDHE (obligatorio en TLS 1.3) cada sesión usa claves efímeras que nunca viajan por la red: tener la clave privada ya no basta. Resultado: los WAF modernos deben estar en línea, como proxy inverso, participando en el handshake.
{{ d.d }}
{{ v.tagline }}
| Aspecto | Imperva | Cloudflare |
|---|---|---|
| {{ row.a }} | {{ row.i }} | {{ row.c }} |
{{ practiceCount }}