Pare-feu applicatif web
Un WAF vérifie les requêtes web selon des règles. Il peut filtrer le trafic indésirable, mais exige des réglages adaptés et ne remplace pas la correction du code.
Que signifie WAF ?
Un pare-feu applicatif web (WAF) vérifie les requêtes adressées aux applications web. Il peut filtrer le trafic indésirable selon des caractéristiques et des règles. Cloudflare décrit par exemple les contrôles des chemins, en-têtes et contenus des requêtes. Le périmètre et les actions possibles dépendent de la solution utilisée.
Exemple : ajouter une protection au formulaire de dépôt
Dans un portail fictif, un WAF est placé devant le point de dépôt de fichiers. L’équipe vérifie les règles avec des dépôts autorisés et des requêtes indésirables. Elle doit pouvoir repérer les opérations normales de clients bloquées par erreur.
Une exception doit cibler le parcours concerné. Désactiver largement le contrôle peut laisser passer d’autres requêtes toujours indésirables. Les changements de règles demandent donc des raisons claires et des contrôles fonctionnels ensuite.
Le WAF ne remplace ni la validation des entrées et leur traitement sûr dans l’application, ni ses contrôles de droits. Une vulnérabilité identifiée dans le code reste à traiter, même si une règle rend une attaque donnée plus difficile.
Sources
Termes associés
- Hypertext Transfer ProtocolHTTP organise les requêtes et réponses entre client et serveur. Méthode, statut et contenu doivent correspondre au fonctionnement convenu de l’application.
- Proxy inverseUn proxy inverse reçoit les requêtes devant une application et les transmet. Routage, limites des connexions et informations relayées exigent des règles claires.
- Pare-feuUn pare-feu régule le trafic réseau selon des règles. Une connexion autorisée ne remplace ni un logiciel sûr ni les contrôles de droits dans l’application.
- Return-PathReturn-Path conserve le chemin de retour SMTP dans un en-tête. Il décrit le retour technique des erreurs, pas l’identité d’une personne.
- Envelope-FromEnvelope-From désigne l’expéditeur SMTP pour le transport et les retours d’erreur. Il faut le distinguer de l’adresse d’expéditeur visible.
- Rapport DMARC agrégéUn rapport DMARC agrégé résume les contrôles de domaine d’un système déclarant sur une période. Il aide à examiner sources d’envoi et erreurs de configuration.
Articles sur le sujet
Cloud & exploitation avec ASES
Hébergement, déploiement, maintenance et suivi