Cortafuegos de aplicaciones web
Un WAF comprueba las solicitudes web con reglas. Puede filtrar tráfico indeseado, pero necesita ajustes adecuados y no sustituye la corrección de errores del código.
¿Qué significa WAF?
Un cortafuegos de aplicaciones web (WAF) comprueba solicitudes dirigidas a aplicaciones web. Puede filtrar tráfico indeseado mediante características y reglas. Cloudflare describe, por ejemplo, comprobaciones de rutas, cabeceras y contenidos de solicitudes. El alcance y las acciones posibles dependen de la solución utilizada.
Ejemplo: añadir protección al formulario de subida
En un portal ficticio se coloca un WAF delante del acceso de subida de archivos. El equipo comprueba las reglas con subidas permitidas y solicitudes indeseadas. Debe poder identificar operaciones normales de clientes bloqueadas por error.
Una excepción debe atender específicamente al flujo afectado. Desactivar ampliamente la inspección puede dejar pasar otras solicitudes que siguen siendo indeseadas. Por ello, los cambios de reglas requieren razones claras y comprobaciones funcionales posteriores.
El WAF no sustituye la validación de entradas, el procesamiento seguro ni la comprobación de permisos en la aplicación. Una vulnerabilidad identificada en el código sigue siendo una tarea independiente, aunque una regla dificulte un ataque concreto.
Fuentes
Términos relacionados
- Protocolo de transferencia de hipertextoHTTP regula las solicitudes y respuestas entre cliente y servidor. El método, el estado y el contenido deben ajustarse al comportamiento acordado de la aplicación.
- Proxy inversoUn proxy inverso recibe solicitudes delante de una aplicación y las reenvía. Las rutas, los límites de conexión y la información transmitida necesitan reglas claras.
- CortafuegosUn cortafuegos controla el tráfico de red mediante reglas. Una conexión permitida no sustituye el software seguro ni los permisos dentro de la aplicación.
- Return-PathReturn-Path registra la ruta de retorno SMTP en una cabecera. Explica la ruta técnica para los avisos de error, no la identidad de una persona.
- Envelope-FromEnvelope-From identifica al remitente SMTP para el transporte y los avisos de error. Debe distinguirse de la dirección de remitente visible.
- Informe agregado de DMARCUn informe agregado de DMARC resume los controles de dominio de un sistema informante durante un periodo. Ayuda a revisar fuentes y errores de configuración.
Artículos sobre el tema
Cloud y operación con ASES
Hosting, despliegue, mantenimiento y soporte