Conceptos · 6 min de lectura
Qué es un WAF y por qué conviene aplicarlo antes del servidor
Qué es un WAF, qué ataques bloquea y por qué aplicarlo antes del servidor reduce carga, latencia operativa y exposición.
Publicado el 18 de junio de 2026 · Equipo de seguridad de WAFLY
Un WAF (firewall de aplicaciones web) inspecciona el tráfico HTTP que llega a una aplicación y bloquea las peticiones que encajan con patrones de ataque conocidos. La pregunta interesante no es si usar uno, sino dónde colocarlo.
Qué hace exactamente un WAF
A diferencia de un firewall de red, que trabaja a nivel de puertos y direcciones, un WAF entiende HTTP. Mira la ruta, el método, las cabeceras, los parámetros y el cuerpo de cada petición y los compara con reglas que describen ataques: inyección SQL, cross-site scripting, ejecución remota de comandos, path traversal o inclusión de ficheros, entre otros.
Cuando una petición coincide con una regla, el WAF puede bloquearla, desafiarla o simplemente registrarla para que la revises. Esa última opción —el modo detección— es clave para desplegar sin romper tráfico legítimo.
El problema de ponerlo en el servidor
La forma tradicional es instalar el WAF en el propio servidor o justo delante de él. Funciona, pero tiene costes:
- La petición maliciosa ya ha llegado a tu infraestructura antes de ser filtrada.
- Tu servidor gasta ciclos inspeccionando tráfico que va a descartar.
- Un pico de tráfico hostil golpea directamente tu capacidad.
- Cada cambio de regla depende de tu ciclo de despliegue.
Por qué conviene aplicarlo antes del servidor
Aplicar el WAF delante de tu servidor desplaza la decisión antes en el camino. El patrón de explotación se bloquea antes de tocar tu aplicación. Tu servidor no ve la basura, así que no gasta recursos en ella, y un cambio de regla se propaga en minutos sin tocar tu código.
Cuanto antes se detiene un ataque en el camino, más barato sale detenerlo.
Hay un beneficio adicional: si el WAF trabaja junto a la mitigación de bots y la caché, todos comparten la misma identidad de tráfico y las mismas decisiones. La reputación que un módulo asigna a una IP la aprovecha el otro.
Cómo desplegarlo sin sustos
El mayor riesgo de un WAF nuevo son los falsos positivos. La forma sensata de evitarlos:
- Activa las reglas gestionadas en modo detección.
- Revisa en la analítica qué se bloquearía y sobre qué rutas.
- Crea excepciones puntuales donde detectes falsos positivos.
- Pasa a modo bloqueo cuando el ruido sea aceptable.
Si quieres profundizar, tienes el detalle del WAF gestionado y del motor de reglas de WAFLY.