WAF e CDN: Quando Faz Sentido, Quais Existem, Como Escolher Um guia honesto sobre as duas tecnologias mais incompreendidas da segurança web — e por que tantas empresas usam errado, gastam demais ou ficam desprotegidas mesmo tendo as duas.
Um guia honesto sobre as duas tecnologias mais incompreendidas da segurança web — e por que tantas empresas usam errado, gastam demais ou ficam desprotegidas mesmo tendo as duas.
Se você passou os últimos posts dessa série hardening servidor web, configurando autenticação de e-mail, protegendo certificados e fechando portas, é provável que tenha pensado: "tudo isso é ótimo, mas e se eu colocar uma CDN com WAF na frente? Não resolveria 80% dos problemas de uma vez?"
A resposta honesta é: mais ou menos. CDN e WAF são ferramentas poderosas que resolvem problemas reais, mas também são frequentemente usadas como bandagem mágica que faz todo mundo dormir tranquilo enquanto problemas fundamentais continuam ali.
Pior: muita gente usa WAF achando que está protegida quando na verdade está em modo "monitor only" há dois anos, ou tem regras tão genéricas que bloqueiam clientes legítimos enquanto deixam ataques reais passarem.
CDN — Content Delivery Network. A ideia original dos anos 90: espalhar cópias do conteúdo em servidores ao redor do mundo. Em 2026, CDNs evoluíram pra fazer muito mais.
WAF — Web Application Firewall. Diferente de firewall tradicional (camadas 3-4), opera na camada 7 — entende HTTP, conhece semântica de aplicação web, decide com base no conteúdo.
Intercepta cada requisição HTTP e pergunta:
wp-config.php?Se sim: bloqueia, desafia (CAPTCHA), loga, ou marca.
Negative security model (lista negra): "Tudo permitido, exceto isso." Padrão da maioria. ModSecurity + OWASP CRS é o exemplo clássico. Funciona out-of-the-box, gera falsos positivos.
Positive security model (lista branca): "Só permitido o que casa com isso." Muito mais seguro, exaustivo de manter. Quase ninguém faz puro.
Análise comportamental e ML: WAFs modernos detectam anomalias. "Esse IP normalmente faz 10 req/min, agora 1000" → ação. Caixa-preta, difícil debugar.
Boa proteção:
Proteção parcial:
Não protege:
WAF é uma camada de defesa, não a defesa. Compra tempo, bloqueia ruído, protege contra ataques comuns. Não substitui aplicação segura.
Em 2026, "vou colocar uma CDN" geralmente significa "vou colocar CDN + WAF + DDoS + bot management + rate limiting". As linhas borraram.
A escolha default. PoPs em 300+ cidades, plano gratuito generoso.
Pontos fortes:
Pontos fracos:
Planos:
Para quem: praticamente todo mundo. Difícil errar.
Pontos fortes:
Pontos fracos:
Para quem: quem já está em AWS.
O mais antigo. 4.000+ PoPs.
Pontos fortes:
Pontos fracos:
Para quem: grandes empresas, financeiro, governo.
Conhecida por velocidade e VCL.
Pontos fortes:
Pontos fracos:
Para quem: publishers, mídia, e-commerce de alto volume.
Alternativa europeia que cresceu rápido.
Pontos fortes:
Pontos fracos:
Para quem: PMEs que querem CDN boa e barata sem complicação.
Pontos fortes:
Pontos fracos:
Para quem: quem já está em GCP.
Pontos fortes:
Pontos fracos:
Para quem: organizações Microsoft-heavy.
ModSecurity — o mais conhecido. Módulo de Apache/Nginx/IIS. Combinado com OWASP Core Rule Set é padrão de fato em self-hosted. Maduro (20+ anos), gratuito, complexo, gera falsos positivos.
Coraza — fork moderno em Go. Mais rápido, melhor integração com proxies modernos (Caddy, Traefik). Compatível com regras do ModSecurity. Tendência crescente.
NAXSI — leve pra Nginx, lista branca. Menos falsos positivos, exige aprendizado.
OpenAppSec — usa machine learning, projeto Check Point com versão community.
| Solução | Tipo | Custo | Complexidade | Para quem | |---|---|---|---|---| | Cloudflare WAF | Cloud (CDN) | $ a $$ | Baixa | Praticamente todos | | AWS WAF | Cloud (CDN) | $ a $$ | Média-Alta | AWS users | | Akamai Kona | Cloud (CDN) | $$ | Alta | Enterprise | | Fastly NGWAF | Cloud (CDN) | $$ | Média | Empresas técnicas | | Imperva | Cloud separado | $$ | Alta | Enterprise | | ModSecurity + CRS | Open-source | Grátis | Alta | Self-hosted | | Coraza | Open-source | Grátis | Média | Self-hosted moderno | | FortiWeb | Appliance | $$ | Média | Datacenter |
Possível mas raro. ModSecurity direto no Nginx/Apache. Faz sentido quando compliance proíbe terceiros, controle total importa, tráfego baixo, custo é fator crítico. Desvantagem: sem proteção volumétrica, inspeção HTTP no próprio servidor.
Site institucional/blog: Cloudflare Free.
E-commerce pequeno-médio: Cloudflare Pro/Business.
E-commerce grande: Cloudflare Business/Enterprise, Fastly ou Akamai.
SaaS B2B: Cloudflare Pro/Business ou AWS CloudFront + WAF (se em AWS).
API pública alto volume: Cloudflare Business+ ou AWS WAF.
Financeira/bancária: Akamai, Imperva ou Cloudflare Enterprise. Considere on-premise pra ambientes regulados.
Mídia/publisher: Fastly ou Cloudflare.
WordPress: Sucuri ou Cloudflare.
Self-hosted, soberania de dados: Nginx + ModSecurity + OWASP CRS, ou Coraza.
Microsoft-heavy em Azure: Azure Front Door + Azure WAF.
MSP multi-cliente: Cloudflare ou AWS WAF.
Você ativa em modo log only e nunca passa pra bloqueio. Tem todos os logs do mundo, zero proteção real. Defina prazo: 30 dias pra modo bloqueio.
CDN na frente, mas atacante descobre o IP real (crt.sh, DNS history, scans) e bypassa tudo. Solução: restrição por IP ou mTLS (Authenticated Origin Pulls).
Genéricas bloqueiam legítimo. Específicas não pegam variações. Comece com regras gerenciadas, ajuste só onde necessário.
Configura e nunca olha. Ataque sofisticado passa, cliente legítimo é bloqueado, você só descobre quando ligam.
"Compliance security" — instala pra passar PCI-DSS e acha que está protegido. WAF é uma camada, não a única.
Direto em prod = receita pra desastre. Sempre staging primeiro, rollout gradual.
ModSecurity com OWASP CRS desatualizado é parcialmente cego. Automatize atualização.
CDN cacheando página com sessão de outro usuário e servindo pra todos. Vazamento de dados em massa. Sempre Cache-Control: private ou no-store em conteúdo sensível.
Logs do WAF separados do SIEM, alertas separados. Incidentes passam batido. Integração desde o dia 1.
Free → Pro → Business → Enterprise. Modele custo com tráfego projetado. Tenha alertas de billing. Black Friday pode gerar conta inesperada.
DECISÃO E PLANEJAMENTO
[ ] Avaliou se precisa de CDN
[ ] Avaliou se precisa de WAF
[ ] Modelou custo com tráfego projetado
[ ] Comparou 2-3 candidatos
[ ] PoC com tráfego real
CDN
[ ] DNS apontando pra CDN
[ ] Origem com mTLS ou IP whitelist
[ ] Cache configurado corretamente
[ ] HTTPS de origem habilitado
[ ] Compressão (Brotli/gzip)
[ ] HTTP/2 e HTTP/3
[ ] Image optimization (se aplicável)
WAF
[ ] Regras gerenciadas habilitadas
[ ] Modo bloqueio (não eternamente monitor)
[ ] Falsos positivos ajustados
[ ] Custom rules pra padrões da app
[ ] Rate limiting em endpoints sensíveis
[ ] Bot management ativo
[ ] Geo-blocking onde fizer sentido
OPERAÇÃO
[ ] Logs centralizados no SIEM
[ ] Dashboards de monitoramento
[ ] Alertas para anomalias
[ ] Runbooks documentados
[ ] Equipe treinada
[ ] Procedimento de emergência
[ ] Revisão periódica de regras
[ ] Atualização automatizada
DEFESA EM PROFUNDIDADE
[ ] Hardening do origem em dia
[ ] Patches aplicados
[ ] Aplicação ainda segura (SAST/DAST)
[ ] Monitoramento contínuo externo
[ ] Backup independente
[ ] Plano de fallback se CDN cairWAF e CDN são ferramentas poderosas que resolvem problemas reais. Mas não são bandagem mágica. Empresas que colocam Cloudflare na frente e param de pensar em segurança estão tão vulneráveis quanto antes — só não percebem.
Analogia: WAF/CDN é como contratar segurança privada pra sua loja. É importante, agrega valor real. Mas se a porta dos fundos está aberta, se o cofre está sem trava, se os funcionários têm senhas fracas — segurança privada não resolve. É uma camada. Não é a única.
A boa notícia: CDN e WAF estão mais acessíveis do que nunca. Cloudflare Free protege a maioria das PMEs com configuração de minutos. Bunny.net oferece CDN excelente por preços baixíssimos. ModSecurity é gratuito e maduro. Não há mais desculpa pra não ter pelo menos uma camada inicial.
A má notícia: escolher errado, configurar errado ou esquecer de monitorar dá falsa sensação de segurança que é pior que insegurança consciente.
O SentinelHub varre exatamente esse ecossistema: detecta automaticamente qual CDN/WAF está protegendo seus domínios (Cloudflare, AWS, Akamai, Imperva, Sucuri, Fortinet, F5, e mais 30 provedores), valida que o WAF está ativo (não apenas presente), testa com payloads benignos pra confirmar bloqueio, identifica se a origem está exposta diretamente, monitora certificados TLS, e alerta quando algo muda. Porque colocar a CDN é o começo — manter ela funcionando direito todos os dias é o trabalho.