WAF для магазина: базовый слой, а не панацея

WAF стоит между интернетом и приложением и отбрасывает запросы, которые похожи на известные атаки. Для магазина с корзиной и кабинетом это разумный первый слой: меньше сканеров, меньше случайных ударов по формам. На этом полезность заканчивается, если ждать от него понимания вашей логики.

Что WAF закрывает и что пропускает

• Закрывает типичные автоматические попытки: грубый перебор, известные инъекции, часть мусорных ботов.
• Не видит ошибку прав, при которой смена номера заказа открывает чужие данные. Это уже пентест.
• Ломает легитимный сценарий, если правила включили «как есть» и не смотрели на реальный трафик.

Почему ведение правил - часть услуги

Самая частая жалоба после «просто включили WAF» приходит не от атакующего, а от маркетинга: клиенты не проходят checkout, виноват «сломанный сайт». Исключения под платёжку, доставку и свои API нужно выписать и пересматривать, когда магазин меняется. Подключение без этого - половина работы.

Связка, которая работает: WAF как гигиена периметра и отдельная проверка приложения там, где есть заказы и роли. Если магазин уже живой или ещё в разработке, Lexora закладывает оба слоя, а не продаёт файрвол как замену пентеста.