WAF 是什麼？防火牆差異、用途與網站需求判斷

WAF 是什麼？WAF 全名是 Web Application Firewall，中文常稱網站應用程式防火牆，也有人寫成網頁應用程式防火牆或 Web 應用程式防火牆。它主要檢查 Web 應用的 HTTP 請求，規則動作可包含允許、記錄、挑戰或阻擋，依設定處理可疑流量。

它和一般防火牆的差別在檢查的層次：一般防火牆管網路連線與連接埠，WAF 看的是請求內容。一般網站不一定要自己加裝，先確認主機或架站平台已提供哪些防護，再看網站有沒有登入、交易或個人資料這類風險。支援的規則、動作與回應檢查能力依產品及方案不同；WAF 不等於一般網路防火牆，也不是完整資安方案。

WAF 在網站請求路徑的哪裡？

WAF 位在訪客與網站程式之間。以 OSI 模型（把網路通訊分成七層的概念模型）來說，它屬於第 7 層（應用層）的防護，運作方式可以看成一種反向代理，也就是代替網站主機先接收請求：通過檢查的請求才轉給來源主機，也就是實際存放網站的伺服器（見伺服器是什麼與租用型態）。

訪客送出請求後，流量可能先經過 CDN 或反向代理，再由 WAF 規則判斷，最後才抵達主機與網站程式。部署方式可能在雲端、設備或應用程式旁邊，但核心任務都是在網站處理請求前增加一層檢查。

部署型態有三種：雲端型把流量先導向服務商的節點檢查，通常從調整 DNS 開始，前期成本低且規則由服務商持續更新，但部分運作細節看不到；主機型整合在主機或應用程式的軟體裡，彈性較高，但會佔用主機資源，導入與維護需要工程人力；設備型（也稱網路型）是裝在自有機房的硬體，延遲較低，但費用最高，還要存放與維護實體設備。

資料來源：Cloudflare：WAF 是什麼、Cloudflare WAF 文件與 OWASP Top 10。目前發布版本為 OWASP Top 10 2025；它是風險認知文件，並不代表所有分類都能由 WAF 處理。實際控制仍須依系統與風險設定。OSI 層次、反向代理與部署型態取自 Cloudflare Learning Center，2026 年 10 月 14 日查核。

WAF、一般防火牆、IPS 與 CDN 的差別

四者觀察的對象不同，WAF 只負責其中的 HTTP 請求；IPS 是入侵防禦系統（Intrusion Prevention System）的縮寫。

工具	主要觀察範圍	網站情境
WAF	HTTP 與 Web 應用請求	表單、登入、API、網站規則
一般防火牆	網路連線與連接埠	限制哪些網路流量可進出
IPS	較廣泛的網路攻擊特徵	偵測並處理網路層威脅
CDN	內容傳遞與快取	加速公開內容並分散部分流量

同一項服務可能同時整合 CDN、DDoS 防護與 WAF，但概念仍要分開。CDN 的主要目的不是過濾應用攻擊，WAF 也不能替代來源主機的權限與更新。CDN 的原理見 CDN 是什麼與網站需不需要自己接。

WAF 和一般防火牆差在哪？

一般防火牆保護的是網路，WAF 保護的是網站程式。依 NIST（美國國家標準暨技術研究院）詞彙表收錄的定義，防火牆是在安全條件不同的網路或主機之間控管流量的設備或程式，保護整個網路的防火牆也稱網路防火牆。

比較項目	WAF	一般防火牆（網路防火牆）
保護對象	網站與 Web 應用程式	內部網路與其中的設備
檢查的內容	HTTP 請求的網址路徑、標頭與表單資料	連線的來源與目的 IP 位址和連接埠
OSI 層次	第 7 層（應用層）	以第 3 層（網路層）與第 4 層（傳輸層）為主
典型規則	阻擋帶有注入攻擊特徵的請求	只開放必要的連接埠

新一代防火牆（NGFW）已加入應用層的檢查能力，界線不像表格這麼絕對，比較時要看實際檢查的項目。

資料來源：Cloudflare 的防火牆介紹與 AWS WAF 開發人員指南，2026 年 10 月 14 日查核。

WAF 能處理什麼？

WAF 擅長辨識內容帶有已知特徵的請求，以及依條件限制存取。OWASP 的說明提到，規則通常涵蓋 SQL injection 與 XSS 這類常見攻擊。SQL injection（SQL 注入）是把資料庫查詢指令夾在輸入資料裡送進應用程式；XSS（跨站指令碼）是把惡意指令碼注入受信任的網站，再由其他訪客的瀏覽器執行。

• 依已知規則辨識部分常見 Web 攻擊模式。
• 依 IP、地區、路徑、方法或請求特徵套用存取規則。
• 對可疑請求記錄，限制速率，要求挑戰或阻擋。
• 提供事件資料，協助維運人員追查異常。

WAF 規則有哪三類？

規則大致分成三類，名稱依產品略有不同，以下採 Cloudflare 文件的說法。

• 受管規則（Managed Rules）：服務商預先寫好並持續更新的規則集，針對已知的攻擊手法與漏洞。
• 自訂規則（Custom Rules）：管理者自己設定條件與動作，條件可以是 IP 位址、網址路徑、標頭或請求內容。
• 速率限制（Rate Limiting）：限制符合條件的請求在一段時間內的次數，例如保護登入頁不被反覆嘗試密碼。

Cloudflare WAF 是什麼？

Cloudflare WAF 是雲端型 WAF，所有方案都能使用，但免費方案的受管規則只有 Free Managed Ruleset，自訂規則與速率限制規則的數量上限也依方案不同。DNS 紀錄要開啟代理，讓流量先經過 Cloudflare，規則才會套用；各方案的對照見 Cloudflare 各方案的 WAF 規則對照。

資料來源：Cloudflare WAF 概念文件、Managed Rules、Custom rules、Rate limiting rules 與 Proxy status 文件。方案內容於 2026 年 10 月 14 日查核，後續以查閱當日官網為準。

WAF 不能替你做什麼？

WAF 只是分層防護中的一層，不是設計來抵擋所有類型的攻擊。

• 不能修補過期程式或錯誤的商業邏輯。
• 不能保證阻擋每一種未知攻擊。
• 不能取代多因素驗證、最小權限與密碼管理。
• 不能取代可還原的備份與事件應變流程。

這些工作可以照網站安全檢查清單逐項確認；連線加密則另由憑證負責，見 SSL／TLS 憑證指南。

網站是否需要 WAF？看五個風險訊號

需不需要 WAF，要看被攻擊或濫用時的損失，以及有沒有人維護規則；符合的訊號越多，越值得評估。

• 網站有登入、會員、表單、購物車或對外 API。
• 網站保存個人資料或承接重要交易。
• 曾出現大量機器流量、暴力登入或惡意請求。
• 服務中斷會造成明顯營運損失。
• 團隊有能力定期檢查事件並調整規則。

風險愈高，愈需要把 WAF 放進分層防護；但若沒有人看紀錄，測試誤判與維護例外，規則可能擋到正常訪客。啟用前要先列出登入、付款、Webhook 與 API 等必要流程，啟用後逐項驗證。

規則擋下請求時，Cloudflare 與 AWS 的 WAF 預設都回應 HTTP 403（Cloudflare 的速率限制規則是 429，見 Cloudflare 規則動作文件與 AWS WAF 規則動作文件），狀態碼怎麼讀見 HTTP 錯誤碼指南。

正常訪客被擋時，可以把發生時間與操作的頁面告訴網站管理者；管理者到 WAF 的事件紀錄找出命中的規則，確認是誤判後為必要流程設定例外，不要直接關掉整組規則。

我的網站需不需要 WAF？三步判斷清單

1. 先問現有服務：向主機商或架站平台確認方案已包含哪些防護，以對方的書面說明為準。
2. 再盤點風險：只有公開內容，沒有會員登入與交易時，先做好程式更新、帳號安全與備份；有會員、結帳或對外 API 時，再評估加上 WAF。
3. 最後確認人力：指定誰看事件紀錄與處理誤判。AWS 的測試建議是新規則先用只計數不阻擋的模式觀察，再啟用阻擋。

用代管或 SaaS 架站服務時，同樣先分清楚哪些由平台處理。以秒站為例，方案頁列出的項目包含網站主機代管、SSL 憑證、全球 CDN 節點與每日備份所有系統資料；後台帳號的密碼與成員權限仍要自己管好。自架與 SaaS 的維護責任差異，見 SaaS 架站與自架 WordPress 的完整比較。

WAF 與 DDoS 防護一樣嗎？

不一樣。WAF 著重 Web 應用請求，DDoS 防護著重吸收、分散或過濾大量惡意流量。應用層 DDoS 可能與 WAF 規則重疊，但大型攻擊通常還需要上游網路容量、速率限制與來源端保護。攻擊症狀與處理順序見 DDoS 防護指南。

內文精華總結

• WAF 是網站應用程式防火牆，主要檢查 HTTP 流量。
• WAF、一般防火牆、IPS、CDN 與 DDoS 防護不是同一件事。
• 是否需要 WAF，要分別檢查資料與交易風險，以及對外介面風險和中斷影響。
• 規則啟用後仍需監測、測試與維護。
• 用代管或 SaaS 架站服務時，先問清楚平台已包含哪些防護。

讓網站安全與維護不再各自拼裝

秒站把主機、SSL、安全與日常維護整合在架站服務中，讓你能把重心留給內容與營運。

• 免費試用 4 小時，不必信用卡
• 查看秒站方案與費用
• 瀏覽真實網站案例

重點整理

WAF 的全名與中文是什麼？

WAF 全名是 Web Application Firewall，中文常稱網站應用程式防火牆，也有人寫成網頁應用程式防火牆或 Web 應用程式防火牆，主要檢查與處理 Web 應用的 HTTP 流量。

什麼是 WAF？

WAF 位於訪客與網站應用程式之間，依規則允許、記錄、挑戰或阻擋請求，是網站分層安全的一部分。

WAF 和一般防火牆有什麼差別？

保護對象不同：一般防火牆保護內部網路與其中的設備，WAF 保護網站與 Web 應用程式。一般防火牆以 OSI 模型（把網路通訊分成七層的概念模型）的第 3 層（網路層）與第 4 層（傳輸層）為主，檢查連線的來源與目的 IP 位址和連接埠，典型規則是只開放必要的連接埠；WAF 在第 7 層（應用層）檢查 HTTP 請求的網址路徑、標頭與表單資料，典型規則是阻擋帶有注入攻擊特徵的請求。

WAF 和 IPS 有什麼差別？

IPS 觀察較廣泛的網路攻擊特徵，WAF 針對 Web 應用流量。實際產品可能整合兩者，但保護範圍不同。

WAF 和 CDN 一樣嗎？

不一樣。CDN 主要傳遞與快取內容，WAF 主要檢查 Web 請求。部分平台會把兩者整合在同一服務。

網站一定需要 WAF 嗎？

不一定。應依登入、交易、個資、API、攻擊紀錄與服務中斷影響評估，並確認團隊能維護規則與處理誤判。

WAF 有哪些防護限制？

WAF 無法取代程式修補、權限管理、備份與應變，也不能保證辨識未知或商業邏輯攻擊。規則還可能誤擋正常請求，需要監測與調整。

WAF 價格怎麼算？

可能依流量與規則，以及請求量、功能和支援計價。產品方案會更新，應以供應商當下官方資料與實際需求估算。

WAF 有哪些部署型態？

分成三種。雲端型把流量先導向服務商的節點檢查，通常從調整 DNS 開始，前期成本低且規則由服務商持續更新，但部分運作細節看不到。主機型整合在主機或應用程式的軟體裡，彈性較高，但會佔用主機資源，導入與維護需要工程人力。設備型（也稱網路型）是裝在自有機房的硬體，延遲較低，但費用最高，還要存放與維護實體設備。

Cloudflare WAF 是什麼？免費方案可以用嗎？

Cloudflare WAF 是雲端型 WAF，會檢查進入網站與 API 的請求，並依規則集過濾流量。它在所有方案都能使用，但免費方案的受管規則只有 Free Managed Ruleset，自訂規則與速率限制規則的數量上限也依方案不同（2026 年 10 月 14 日查核）。DNS 紀錄要開啟代理，規則才會套用。

請求被 WAF 擋下出現 403 該怎麼辦？

以 Cloudflare 與 AWS 為例，被 WAF 阻擋的請求預設回應 HTTP 403，Cloudflare 的速率限制則是 429。訪客可把發生時間與操作的頁面告訴網站管理者；管理者到 WAF 的事件紀錄找出命中的規則，確認是誤判後為必要流程設定例外，不要直接關掉整組規則。