Вендор предлагает облачный WAF за ощутимый ценник в месяц. У нас норм покрытие тестами, параметризованные запросы, валидация на входе. Спор в команде: это реальная защита или галочка для аудита? Поделитесь опытом.
WAF это не замена безопасному коду, а слой пока ты этот код чинишь. Реальная ценность — виртуальный патчинг: вышла 0day в твоём фреймворке ночью, ты накатываешь правило за 5 минут, а не выкатываешь релиз в панике.
И не забывай что WAF обходится. Кодировки, мусорные байты, регистр, фрагментация — обходов вагон. Это замедляет атакующего и режет автоматический шум от ботов, но целеустремлённого человека не остановит.
Для нас главная польза оказалась даже не в SQLi, а в rate limiting и отсечке скан-ботов и DDoS L7. Логи стали читаемыми, SOC перестал тонуть. Плюс закрыли требование PCI без боли.
Первые пару недель держи в режиме detection-only и разбирай логи, только потом включай блокировку. Иначе да, словишь жалобы что у кого-то в комментарии символ ' и его забанило.
По латентности учтите оверхед, особенно у облачного через который весь трафик проксируется. У нас +15-30мс к ответу, для API это иногда критично. Считайте под свой профиль нагрузки.
