Blog > Seguridad web

Qué es un WAF y en qué se diferencia de un firewall de red

Un firewall de red decide por IP y puerto. Un WAF lee la solicitud HTTP completa antes de dejarla pasar.

Dos firewalls, dos capas

Un firewall tradicional trabaja en las capas 3 y 4 del modelo OSI: mira direcciones IP, puertos y protocolos. Si el puerto 443 está abierto, deja pasar todo lo que llegue por él, sea una visita normal o un ataque.

Un WAF (Web Application Firewall) trabaja en la capa 7. Abre cada solicitud HTTP y examina su método, su ruta, sus cabeceras y su contenido. Por eso puede distinguir entre GET / de un visitante y GET /.env de alguien que busca contraseñas, aunque las dos lleguen por el mismo puerto.

Qué puede hacer con cada solicitud

• Permitirla cuando no coincide con ninguna regla.
• Bloquearla y devolver una página de error, normalmente con código 403.
• Desafiarla con una verificación para comprobar que hay un navegador real detrás.
• Limitarla cuando una misma IP supera un número de solicitudes en un periodo; aquí la respuesta típica es 429.

Cómo lo aplica este sitio

Este blog usa el WAF de Cloudflare en su plan gratuito, con reglas propias que bloquean herramientas de escaneo conocidas, rutas sensibles, métodos HTTP que el sitio no necesita y ráfagas de solicitudes desde una sola IP.

Lo que un WAF no hace

Un WAF no corrige código inseguro. Reduce la superficie de ataque y compra tiempo mientras una vulnerabilidad se arregla, pero la seguridad empieza en la aplicación misma.

Volver al blog