Qué es un WAF

Un WAF (Web Application Firewall) es un producto de seguridad que inspecciona el tráfico HTTP/HTTPS dirigido a una aplicación web y detecta o bloquea las peticiones maliciosas. Un firewall tradicional controla direcciones IP y puertos en la capa de red (L3/L4), mientras que el WAF analiza el contenido de la petición HTTP en la capa de aplicación (L7).

Su punto fuerte son los ataques cuyo rastro aparece en la propia sintaxis de la petición, como el XSS, la inyección SQL o el salto de directorios. En términos de la edición 2025 del OWASP Top 10, una parte de Injection (A05:2025) entra en esta categoría. En cambio, los problemas que no se distinguen de una petición normal mirando una sola petición, como el control de acceso deficiente (A01:2025) situado en primer lugar o los defectos de diseño (A06:2025), quedan fuera de lo que un WAF puede decidir. Las peticiones de CSRF también parecen legítimas en sí mismas, por lo que el trabajo real lo hacen las medidas del lado de la aplicación, como la validación de tokens, y el WAF solo actúa como apoyo. El WAF es una capa de mitigación y no sustituye la corrección de la vulnerabilidad en la propia aplicación.

Métodos de detección del WAF

Basado en firmas (lista negra): detecta comparando la petición con patrones de ataque conocidos (firmas) y busca cadenas como SELECT * FROM o <script> dentro de la petición. Tiene una tasa de detección alta frente a ataques conocidos, pero es débil ante ataques desconocidos y ante técnicas de ofuscación pensadas para esquivar las firmas.
Lista blanca: define los patrones de las peticiones legítimas y bloquea todo lo demás. Puede responder a ataques desconocidos, pero si la definición de lo legítimo es incompleta se disparan los falsos positivos (False Positive). Resulta eficaz cuando el formato de entrada está estrictamente definido, como en una API.
Puntuación: suma como puntuación el grado en que la petición infringe varias reglas y la bloquea cuando supera un umbral, lo que permite tratar con flexibilidad los ataques de zona gris que una sola regla no puede juzgar. El Anomaly Scoring Mode del OWASP Core Rule Set (CRS) funciona así: cada regla individual solo detecta y suma puntos, y la decisión de bloquear se toma en conjunto una vez evaluadas todas las reglas.
Basado en aprendizaje automático: aprende los patrones de tráfico normal y marca como anómalas las peticiones que se desvían. Puede llegar a cubrir ataques desconocidos, pero depende de la calidad de los datos de entrenamiento y los falsos positivos son difíciles de ajustar.

Modalidades de implementación del WAF

Los WAF se clasifican en tres modalidades según cómo se implementan.

WAF en la nube: las peticiones se reciben en la red del proveedor y desde allí se reenvían al origen. Existe la forma de apuntar el DNS a un proxy inverso (como el WAF de Cloudflare) y la de asociar el WAF a una CDN o a un balanceador de carga (como AWS WAF). Se puede empezar sin comprar hardware dedicado y suele ofrecerse junto con la protección frente a ataques DDoS.
Tipo appliance: hardware dedicado instalado en la propia red. Ofrece un alto rendimiento y una personalización detallada, pero el coste inicial es elevado y su operación exige conocimientos especializados. Está orientado a grandes empresas.
Tipo software (basado en host): se instala como módulo en el servidor web. ModSecurity, mantenido por OWASP, es el ejemplo más conocido y en agosto de 2026 sigue desarrollándose como código abierto bajo la Apache License 2.0. Su uso es gratuito, pero escribir y ajustar las reglas exige un nivel alto de especialización.

Para sitios pequeños encaja el WAF en la nube y para entornos grandes que necesitan un control fino, el tipo appliance. Si el tráfico ya pasa por una CDN o un balanceador de carga, se puede asociar el WAF ahí y aplicarlo sin tocar el servidor de origen, aunque el esfuerzo posterior de aislar falsos positivos y ajustar reglas se mantiene igual.

Puntos prácticos de operación del WAF

El WAF no es algo que se implanta y se olvida: el ajuste continuo es imprescindible.

Gestión de los falsos positivos: el mayor problema operativo de un WAF son los falsos positivos. Cuando se bloquea una petición legítima, el daño a la experiencia de usuario es inmediato. Al principio conviene operar en modo de detección (solo registro) en lugar de modo de bloqueo, conocer los patrones de falso positivo y cambiar al bloqueo después.
Actualización periódica de las reglas: las técnicas de ataque evolucionan a diario, así que incluso usando un conjunto de reglas gestionado hay que revisar periódicamente la incorporación de reglas nuevas y la vigencia de las existentes.
Uso como parche virtual: durante el periodo en que la versión corregida aún no está disponible o el cambio propio no llega a tiempo, se usa el WAF para detener las peticiones que explotan esa vulnerabilidad concreta. También se emplea como respuesta inicial ante un ataque de día cero, pero solo gana tiempo hasta la corrección definitiva: si se reescribe la forma de la petición de ataque, puede colarse. No sustituye a la corrección en sí.
Análisis de registros: los registros del WAF son imprescindibles para investigar un incidente de seguridad. Analiza los patrones de las peticiones bloqueadas para conocer la tendencia de los ataques.
Uso combinado con CSP: el WAF filtra las peticiones en el lado del servidor, mientras que CSP restringe la ejecución de scripts en el navegador. Combinar ambos logra una defensa en profundidad frente al XSS.

El WAF no corrige de raíz las vulnerabilidades de la aplicación. En lugar de depender solo de él, conviene combinarlo con medidas del lado de la aplicación como la codificación segura, la validación de entradas y las consultas parametrizadas.

Conceptos erróneos comunes

Implementar un WAF completa las medidas contra vulnerabilidades de aplicaciones web: El WAF mitiga los patrones de ataque conocidos, pero la vulnerabilidad de la propia aplicación sigue ahí. También existen técnicas para esquivar las reglas del WAF, por lo que corregir la vulnerabilidad de raíz y la codificación segura siguen siendo imprescindibles.
Un WAF puede prevenir todos los ataques web: Los ataques que no se distinguen de una petición legítima, como el abuso de la lógica de negocio (manipulación indebida de descuentos, escalada de privilegios) o el robo de credenciales mediante phishing, no los detecta un WAF. En lo que el WAF destaca es en detectar peticiones sintácticamente anómalas, como la inyección SQL o el XSS.

Comparación entre WAF en la nube y WAF tipo appliance

WAF en la nube

Se implementa cambiando el DNS o asociándolo a una CDN o a un balanceador de carga. No necesita hardware dedicado, por lo que el coste inicial se contiene, y suele ofrecerse junto con la protección DDoS. Las reglas gestionadas mantienen baja la carga operativa. Sin embargo, el margen de personalización depende del proveedor y la tarificación por volumen de tráfico puede elevar el coste.

WAF tipo appliance

Se instala dentro de la propia red. Permite un alto rendimiento y una personalización detallada de las reglas. Sin embargo, el coste inicial es elevado y escribir y ajustar las reglas exige conocimientos especializados. El mantenimiento y la renovación del hardware también corren por cuenta propia.

WAF (Web Application Firewall)