Požarni zid spletnih aplikacij (WAF) je filter med internetom in vašim spletnim mestom, ki blokira pogoste napade – SQL injection, XSS, brute force in scraperje. Obstajajo 4 plasti, kjer je mogoče namestiti WAF, vsaka z različnimi kompromisi. Tukaj je vodnik, katero uporabiti in kako jih kombinirati.
4 plasti zaščite WAF
- Edge/Cloud WAF (Cloudflare, AWS WAF) – deluje na CDN-ju, preden zahteva doseže strežnik.
- Končna točka v oblaku WAF (Sucuri, Sitelock) – proxy pred spletnim mestom, promet gre skozi njihovo omrežje.
- WAF na ravni strežnika (ModSecurity, Imunify360) – moduli nginx/Apache na strežniku.
- WAF na ravni aplikacije (Wordfence, NinjaFirewall) – vtičnik za WordPress, ki deluje v PHP.
Edge WAF — Cloudflare
Najbolj priljubljena možnost. Proxy Cloudflare pred vašim spletnim mestom, ves promet gre skozi njih.
Plus:
- Blokira napade, preden dosežejo strežnik = ničelna obremenitev vašega strežnika.
- Vgrajen nabor osnovnih pravil OWASP.
- Način boja z boti proti strgalcem in botom.
- Omejitev hitrosti (brezplačno: 1 pravilo, profesionalna različica: 5 pravil).
- Vključeno je ublažitev DDoS napadov.
- Pravila po meri za blokiranje določenih vzorcev.
Minus:
- Brezplačna raven ima omejen WAF (upravljana pravila samo v različici Pro+).
- Ves promet gre skozi Cloudflare = razmišljanje o zasebnosti.
- Izvorni IP mora biti skrit – če uide, lahko napadi zaobidejo Cloudflare.
Cena: Brezplačno / Pro 25 USD/mesec / Poslovni 250 USD/mesec.
Končna točka v oblaku WAF — Sucuri
Sucuri (zdaj v lasti GoDaddyja) je SaaS – posredniški strežnik pred vašim spletnim mestom + skener zlonamerne programske opreme + odziv na incidente, če vas vdrejo.
Plus:
- Profesionalno čiščenje pred zlonamerno programsko opremo je vključeno v paket (ko je vdor izveden, ga očistijo).
- Virtualno popravljanje znanih ranljivosti WP/vtičnikov.
- Spremljanje ugleda blagovne znamke.
Minus:
- Drago (od 200 USD/leto na spletno mesto).
- Manj funkcij kot Cloudflare, vendar specializirano za WP.
Strežnik WAF — ModSecurity / Imunify360
ModSecurity je odprtokodni modul za Apache/nginx. Imunify360 je komercialna nadgradnja z zaznavanjem strojnega učenja, specifična za strežnike cPanel.
Plus:
- Bloki na ravni strežnika – deluje za vsa spletna mesta na strežniku, ne samo za WP.
- Imunify360 uporablja porazdeljeno omrežje – ko nekdo na svetu napade, Imunify to vidi in blokira na svojih strežnikih.
- Pregledovalnik zlonamerne programske opreme v realnem času.
- Pravila OWASP CRS so vgrajena v ModSecurity.
Minus:
- Za konfiguracijo je potreben dostop sistemskega administratorja – odjemalec je ne more sam spreminjati.
- Lažno pozitivni rezultati lahko blokirajo legitimne uporabnike (npr. administratorja WP, ki naloži datoteko PHP).
- Stroški na ravni strežnika, ne na spletno mesto (plača skrbnik strežnika).
Aplikacija WAF — Wordfence
Wordfence je vtičnik za WordPress, ki se izvaja znotraj procesa PHP vsake zahteve.
Plus:
- Razume kontekst WP – pozna razliko med legitimnim nalaganjem s strani administratorja in napadom.
- Obveščanje o grožnjah v realnem času iz milijonov namestitev.
- Varnost prijave: 2FA, omejitev poskusov prijave, blokiranje držav.
- Pregledovalnik zlonamerne programske opreme na ravni datotek v namestitvi WP.
- Brezplačna raven je zadostna za večino majhnih spletnih mest.
Minus:
- Izvaja se v PHP → stroški delovanja (5–15 ms na zahtevo).
- Blokira se, ko zahteva doseže PHP → strežnik še vedno trpi zaradi DDoS-a.
- Premium pravila v realnem času stanejo 99 USD/leto na spletno mesto – kar je za agencije drago.
NinjaPožarni zid
Alternative za Wordfence – deluje kot PHP filter PRED jedrom WP, zato je prestrezanje hitrejše.
Plus: hitrejši od Wordfencea (prestreže pred nalaganjem WP), lahek.
Slabost: manj skupnosti, manj funkcij.
Primerjava
| WAF | Plast | Najboljše za | Cena |
|---|---|---|---|
| Cloudflare | rob | hitrejša spletna stran + DDoS | Brezplačno - 250 USD/mesec |
| Sestre | končna točka v oblaku | garancija za čiščenje zlonamerne programske opreme | 200+ USD/leto |
| Imunify360 | strežnik | Ponudniki gostovanja cPanel | ~20 USD/mesec/strežnik |
| Besedna ograja | aplikacija | Blokiranje, ki se zaveda WP-ja | Brezplačno / 99 USD/leto |
| NinjaPožarni zid | aplikacija | lahka WP | Brezplačno / 90 USD/leto |
| Varnostni modi | strežnik | odprtokodni samostojni gostitelj | brezplačno + sistemski administrator |
Večplastna obramba – kaj kombinirati
Osnovno (majhno spletno mesto, do 10 tisoč obiskov/mesec)
- Brezplačno v Cloudflare (DDoS + osnovni WAF) + brezplačno v Wordfence (kontekst WP).
- Cena: 0 EUR.
Srednja (poslovna spletna stran, 10.000–100.000 obiskov/mesec)
- Cloudflare Pro (upravljana pravila, omejevanje hitrosti) + Imunify360 na strežniku.
- Cena: ~50 $/mesec.
Visoka (spletna trgovina, več kot 100 tisoč obiskov/mesec, ključni podatki)
- Cloudflare Business + Imunify360 + Wordfence Premium.
- Cena: ~350 $/mesec.
Podjetje (bančno, finančno)
- Cloudflare Enterprise + Sucuri + namenska naprava WAF + 24/7 SOC.
- Cena: 5000 $+/mesec.
Česar WAF NE počne
- Ne nadomešča posodobitev – zakrpan vtičnik = manj lukenj, pred katerimi se mora WAF zaščititi.
- Ne nadomesti močnega gesla – brutalna uporaba gesla za branje gesla lahko upočasni delovanje, vendar ne reši težave.
- Ne nadomesti varnostne kopije – če WAF odpove in je spletno mesto vdrto, je varnostna kopija vaša rešitev.
- Ne nadomešča 2FA – pravila WAF za prijavo so sekundarna, 2FA je primarna.
Skrivanje izvornega IP-ja (ključno za Cloudflare)
Če uporabljate Cloudflare, lahko napadalci zaobidejo WAF, če poznajo vaš izvorni IP. Ukrepi:
- Požarni zid (UFW/iptables) na strežniku: dovoli SAMO IP-je Cloudflare na 80/443. Seznam IP-jev Cloudflare .
- Izvornega IP-naslova ne vpisujte nikamor v DNS (samo v "oranžni oblak" na Cloudflare).
- E-poštni strežnik na drugem IP-naslovu (mail.example.com ne sme kazati na isti IP-naslov kot spletno mesto).
- V odgovoru ne oddajajte glave strežnika (odstranite X-Powered-By).
Uglaševanje lažno pozitivnih rezultatov
Vsak WAF občasno blokira legitimnega uporabnika. Strategija:
- Prvih 1-2 tednov nastavite WAF na način »samo beleženje«.
- Analizirajte dnevnik – katera pravila se sprožijo ob legitimnih zahtevah.
- Onemogočite ali prilagodite ta pravila.
- Med uglaševanjem preklopite v način "blokiranja".
Nastavitev orožja za množično uničevanje in bojnih napadov
Vsa deljena/upravljana gostovanja WMD so opremljena z WAF-om na strani strežnika Imunify360 – samodejno blokira znane napade, skener zlonamerne programske opreme in pravila ModSecurity. Za stranke priporočamo Cloudflare pred spletnim mestom (brezplačno za manjše, Pro za produkcijo). Stranke WordPressa imajo vnaprej nameščen Wordfence Free. Konfiguracija požarnega zidu Origin IP (samo za Cloudflare) je vključena v onboarding. Za poslovne stranke nastavimo popolno večplastno obrambo + 24/7 spremljanje SOC prek super hitre podpore.
Pogosta vprašanja
Cloudflare in Wordfence – Se prekrivata? Nekoliko, a se dopolnjujeta. Cloudflare blokira na robu, Wordfence razume kontekst WP. Kombinacija deluje bolje kot vsak posamezen element posebej.
Ali lahko Cloudflare blokira WP REST API? Privzeta upravljana pravila včasih to storijo. Če uporabljate integracije API-jev, dodajte /wp-json/* na belo listo.
Wordfence upočasni spletno mesto? Rahlo (5-15 ms na zahtevo). Izmerite s Query Monitorjem. Če je to težava, preklopite na NinjaFirewall.
Kaj pa, če WAF blokira mojo stranko? Dodajte njihov IP na belo listo ali prilagodite pravilo, ki to sproži. Dnevniki WAF prikazujejo točen razlog za blokado.
ModSecurity blokira vsa nalaganja – kaj pa zdaj? Standardni vzorec. Prilagodite SecRule za POST na /wp-admin/upload.php ali povečajte omejitev velikosti telesa.
Ali potrebujete nastavitev ali revizijo WAF-a za vaše spletno mesto? WMD vzpostavi večplastni WAF (Cloudflare + Imunify360 + Wordfence) za WP in aplikacije po meri. Stopite v stik z nami prek kontaktnega obrazca .
