Firewall-ul de rețea vede porturi și adrese. Nu are cum să știe că cererea pe portul 443 conține o injecție SQL în câmpul de căutare. WAF-ul citește exact acel conținut. Întrebarea pentru o firmă din Moldova este dacă are nevoie de el și unde să îl pună.
WAF-ul stă între vizitator și aplicație și evaluează fiecare cerere după reguli: forma URL-ului, antetele, corpul cererii, cookie-urile. O cerere cu apostrof și UNION SELECT în parametrul de căutare este oprită înainte să ajungă la PHP sau Node. La fel, un upload cu extensie dublă sau un agent cunoscut de scanare. Ce nu poate face: să înțeleagă că utilizatorul A cere factura utilizatorului B printr-un URL perfect valid. Erorile de logică și de autorizare rămân în sarcina codului și a testelor de penetrare.
Un WAF host-based, precum ModSecurity sau Coraza cu OWASP Core Rule Set, rulează pe serverul tău, vede traficul decriptat și nu depinde de nimeni. Costă timp de configurare și fals-pozitive la început. Un WAF cloud se activează prin schimbarea DNS-ului și absoarbe și DDoS, dar traficul trece printr-un terț, ceea ce trebuie menționat în acordul de prelucrare a datelor. Pe hostingul partajat, WAF-ul vine de la furnizor, fără configurare, cu reguli generice. Alegerea depinde de cine îl întreține și de ce spune contractul.
Clienții din UE care externalizează dezvoltare sau găzduire în Moldova includ frecvent WAF-ul în anexa de securitate, alături de pentest anual și de jurnale păstrate o perioadă definită. Pentru furnizorii din sectoarele acoperite de Legea nr. 48/2023, gestionarea riscurilor cere măsuri tehnice proporționale, iar filtrarea la nivel de aplicație este una dintre cele mai ușor de demonstrat. Dacă procesezi date personale prin formulare, Legea nr. 195/2024 și CNPDCP așteaptă măsuri adecvate; un WAF configurat și monitorizat, cu rapoarte, este un argument concret.
| Tip | Unde rulează | Avantaj principal | Limită |
|---|---|---|---|
| Host-based (ModSecurity, Coraza) | pe serverul tău, în nginx sau Apache | control complet, fără terți | efort de ajustare, fals-pozitive inițial |
| Cloud (proxy DNS) | în rețeaua unui furnizor | activare rapidă, absoarbe și DDoS | traficul trece prin terț, cost recurent |
| La nivel de hosting partajat | pe serverul furnizorului | zero configurare | reguli generice, fără personalizare |
| În aplicație (middleware) | în codul tău | vede contextul utilizatorului | nu protejează serverul web însuși |
# /etc/modsecurity/modsecurity.conf
SecRuleEngine DetectionOnly
SecAuditLogParts ABIJDEFHZ
# după ajustare, trece la:
# SecRuleEngine Ongrep -h 'id "9' /var/log/modsec_audit.log | grep -oE 'id "[0-9]+"' | sort | uniq -c | sort -rn | headAplicația era actualizată săptămânal, dar un CVE într-o bibliotecă de parsare XML a apărut într-o vineri. Regula OWASP CRS pentru payload-uri XML anormale a blocat încercările de exploatare până la patch-ul de luni.
Contractul cerea WAF cu jurnale păstrate 90 de zile. Echipa a pus Coraza în fața aplicației, în mod detecție două săptămâni, apoi în blocare. Raportul lunar de reguli declanșate a devenit anexă la factura de mentenanță.
Pentestul îți spune ce vulnerabilități ai; WAF-ul le acoperă pe cele cunoscute până le repari. Dacă ai buget pentru unul singur acum, pentestul dă informația, WAF-ul dă timp. Contractele cu clienți din UE le cer de obicei pe amândouă.
Un WAF host-based adaugă câteva milisecunde de procesare pe cerere, de regulă neobservabile pentru vizitator. Un WAF cloud adaugă un salt de rețea, compensat adesea de cache. Impactul real vine din reguli prost ajustate care blochează cereri legitime, nu din latență.
Acest ghid adună într-un singur loc măsurile care contează pentru un server de producție al unei firme din Moldova: de la cheia SSH până la copia de backup pe care nimeni nu o poate șterge. Fiecare capitol trimite la o pagină de întrebare cu pași, comenzi și exemple. Este scris pentru echipe care livrează clienților din UE, raportează la instituții locale sau vând online și nu își permit o zi de indisponibilitate.