Cet article traite des fonctions WAF (Web Application Firewall) et Combo Rules de WEDOS Protection. Pour les règles à une seule dimension, voir filtres et GeoIP.
Dans cet article, vous apprendrez :
- Comment fonctionnent le WAF et les Combo Rules de WEDOS Protection
- Comment configurer:
- Cas d’usage et exemples de Combo Rules
- Questions fréquentes
WAF et Combo Rules
Le Web Application Firewall (WAF) de WEDOS Protection inspecte les requêtes HTTP/HTTPS entrantes au niveau du proxy et bloque celles qui correspondent à des schémas d’attaque connus (injection SQL, XSS, RCE, traversée de répertoires et autres menaces de la classe OWASP) avant qu’elles n’atteignent votre serveur d’origine. Le WAF fonctionne aux côtés des filtres et GeoIP, ainsi que de la protection AI Mode qui s’exécute sur l’ensemble du réseau WEDOS Protection.
Les Combo Rules viennent s’ajouter au WAF et vous permettent de définir des règles avancées et combinées L3–L7 par domaine. Chaque règle vérifie plusieurs conditions à la fois (IP/ASN, Geo, Path, User-Agent, JA4, JA4H, méthode HTTP, version HTTP), et la première règle correspondante l’emporte. Les Combo Rules sont utiles lorsqu’un filtre unique n’est pas assez précis — par exemple lorsque vous souhaitez autoriser l’ASN d’un robot d’indexation connu uniquement sur un chemin donné, ou bloquer une empreinte TLS particulière provenant d’un seul pays.
Le WAF et les Combo Rules complètent, mais ne remplacent pas, les filtres et GeoIP. Les règles Filters et GeoIP sont destinées à une protection à une seule dimension, tandis que les Combo Rules servent à des scénarios plus complexes. De plus, l’AI Mode continue de fonctionner en parallèle et ne peut pas être désactivé.
Configuration du WAF et des Combo Rules
Pour les formules d’abonnement Démarrer et Avancé , le WAF fonctionne uniquement en AI Mode et les Combo Rules ne sont pas disponibles. Pour accéder à la sélection du WAF Mode et aux Combo Rules, passez à la formule Expert .
Pour accéder aux paramètres, procédez comme suit :
- Connectez-vous à l’administration WEDOS Global ⧉.
- Sélectionnez un domaine (ou un modèle) à configurer.
- Dans le menu de gauche, cliquez sur WAF.
Mode WAF
Le sélecteur Mode WAF contrôle le jeu de règles utilisé par le Web Application Firewall pour le domaine sélectionné. Trois modes sont disponibles :
- Advanced WAF (full ruleset) — par défaut : Exécute le jeu de règles WAF complet, y compris les protections de base et les signatures étendues contre les attaques applicatives. Recommandé pour la plupart des sites web et des applications.
- Basic WAF (core rules only) : N’exécute que le jeu de règles de base. Utile lorsque le jeu complet provoque des faux positifs sur une application légitime mais inhabituelle et que vous avez besoin d’un ensemble de signatures plus réduit et plus prudent.
- Disabled : Désactive complètement l’évaluation des règles WAF. L’AI Mode, les Filters, GeoIP et les Combo Rules restent actifs.
Régler le WAF Mode sur Désactivé désactive uniquement les règles WAF. Cela ne désactive pas l’AI Mode, les Filters, GeoIP ni les Combo Rules. Ne désactivez le WAF que si vous avez une raison précise — par exemple pendant le diagnostic de faux positifs.
Combo Rules
Les Combo Rules sont des règles avancées combinées L3–L7. Chaque règle vérifie plusieurs conditions, et la première règle correspondante l’emporte. Classez les règles de la plus spécifique à la plus générale — par exemple, les règles d’autorisation pour les robots d’indexation légitimes connus en premier, puis une règle de blocage générale tout en bas.
Les Combo Rules fonctionnent parallèlement à AUTO AI, qui analyse toujours le trafic en arrière-plan. AUTO AI ne peut pas être désactivé.
Actions
Lorsqu’une Combo Rule correspond, l’une des actions suivantes est appliquée :
- Allow access / Whitelist : Contourne toutes les couches de protection et transmet la requête directement au serveur d’origine. À utiliser uniquement pour un trafic de confiance et bien identifié (par exemple un système de supervision interne vérifié).
- CAPTCHA verification (Proof of Work) : Présente un défi Proof of Work / anti-bot avant de laisser passer la requête.
- Block with error page (HTTP 456) : Bloque la requête et renvoie une page d’erreur personnalisable avec le statut HTTP 456.
- Block silently (drop traffic) : Rejette silencieusement la requête. Le client ne reçoit aucune réponse. Utile contre un trafic d’attaque lorsque vous ne voulez pas confirmer que la requête a atteint un serveur.
Champs de correspondance
Chaque Combo Rule peut porter sur neuf champs au maximum. Tout champ peut être laissé vide pour agir comme un joker, et tout champ peut être nié (à l’aide du préfixe ! , lorsque cela est pris en charge, par exemple !as55789). Pour qu’une règle se déclenche, tous les champs actifs doivent correspondre.
- IP/ASN : Adresse IP source, plage CIDR ou numéro de système autonome. Plusieurs valeurs peuvent être saisies sous forme de liste séparée par des virgules (par exemple
1.2.3.0/24, as12345, !as55789). - Geo : Code de pays ou de continent, tel qu’utilisé par GeoIP.
- Path : Chemin URL sur le domaine (par exemple
/admin/login). Prend en charge la correspondance exacte ou par préfixe selon le Mode. - User-Agent : Valeur de l’en-tête
User-AgentHTTP (par exemplegooglebot). Prend en charge la correspondance exacte ou par sous-chaîne selon le Mode. - JA4 : Empreinte TLS JA4 du client. Utile pour repérer une pile TLS cliente précise, indépendamment du User-Agent qu’elle déclare.
- JA4H : Empreinte HTTP JA4H du client. Utile pour détecter les bots qui imitent un navigateur au niveau TLS mais se trahissent au niveau HTTP.
- Method : Une ou plusieurs méthodes HTTP, séparées par des virgules (par exemple
GET, POST). - HTTP version : Version du protocole HTTP de la requête (par exemple HTTP/1.1, HTTP/2, HTTP/3).
Ajouter une Combo Rule
Pour ajouter une nouvelle Combo Rule, procédez comme suit :
- Assurez-vous que l’interrupteur Custom Combo Rules est activé.
- Cliquez sur le bouton Add Combo Rule .
- Sélectionnez l’ Action à appliquer lorsque la règle correspond.
- Ne remplissez que les champs de correspondance dont vous avez besoin. Laissez les autres vides pour qu’ils agissent comme des jokers.
- Assurez-vous que l’interrupteur Active est activé, puis cliquez sur Envoyer.
Chaque règle de la liste peut être modifiée ou supprimée depuis la colonne des actions. Utilisez l’indicateur Active pour activer ou désactiver des règles individuelles sans les supprimer.
Les Combo Rules sont évaluées dans l’ordre, et la première règle correspondante l’emporte. Placez les règles plus spécifiques (par exemple autoriser un ASN précis sur un chemin précis) au-dessus des règles plus générales (par exemple bloquer un pays entier).
Cas d’usage et exemples de Combo Rules
Les Combo Rules sont surtout utiles lorsqu’aucun filtre isolé n’est assez précis. Voici quelques scénarios courants :
Mettre un robot d’indexation connu sur liste blanche par son ASN
Objectif : Laisser passer le trafic de Googlebot sans défi, même si d’autres règles le bloqueraient.
Configuration : Action Allow / Whitelist, IP/ASN as15169, User-Agent googlebot. Placez cette règle au-dessus de toutes les règles de blocage.
Limiter un point de terminaison à POST uniquement
Objectif : Un point de terminaison d’API ne doit accepter que les requêtes POST ; tout le reste est indésirable.
Configuration : Action Bloquer avec une page d'erreur (HTTP 456), Path /api/submit, Method GET, PUT, DELETE, PATCH, HEAD, OPTIONS. Les requêtes utilisant POST ne correspondront pas et poursuivront normalement.
Soumettre un pays à un défi sur un chemin sensible
Objectif : Autoriser la navigation normale depuis un pays, mais soumettre à un défi toute tentative d’accès au panneau d’administration.
Configuration : Action Vérification CAPTCHA (Proof of Work), Geo cz, Path /admin/login.
Rejeter silencieusement une empreinte d’attaque connue
Objectif : Rejeter le trafic correspondant à une empreinte JA4 observée lors d’une attaque précédente, sans donner le moindre retour à l’attaquant.
Configuration : Action Bloquer silencieusement (rejeter le trafic), JA4 t13d1516h2_8daaf6152771_....
FAQ
Que se passe-t-il si je désactive le WAF ?
Seul le jeu de règles WAF est désactivé. L’AI Mode, les filtres, GeoIP et les Combo Rules continuent de fonctionner. Votre domaine reste protégé, mais sans règles applicatives basées sur des signatures — nous recommandons donc de ne désactiver le WAF que temporairement, par exemple pendant le diagnostic d’un faux positif.
Quand faut-il utiliser Basic WAF plutôt qu’Advanced WAF ?
N’utilisez Basic WAF que si le jeu de règles Advanced provoque des faux positifs sur une application légitime que vous ne pouvez pas corriger à la source. Le jeu de règles Basic est plus prudent et n’applique que les règles de base. Pour la plupart des sites web et des API, le réglage par défaut Advanced WAF est le bon choix.
Comment fonctionne l’ordre des règles ?
Les Combo Rules sont évaluées de haut en bas, et la première règle correspondante l’emporte. Placez les règles spécifiques (par exemple les règles d’autorisation pour des robots d’indexation légitimes connus ou des adresses IP de confiance) en haut de la liste, et les règles plus larges (par exemple des blocages par pays ou des refus généraux) en dessous.
Dois-je remplir tous les champs d’une Combo Rule ?
Non. Tout champ laissé vide agit comme un joker. Une règle où seul Geo = cz est défini correspond à tout le trafic en provenance de Tchéquie, quels que soient l’IP, le chemin, l’user agent, la méthode ou la version. Pour qu’une règle se déclenche, tous les champs renseignés doivent correspondre.
Puis-je nier une valeur dans une Combo Rule ?
Oui. Les champs qui acceptent des listes séparées par des virgules (comme IP/ASN) prennent en charge la négation à l’aide du préfixe ! — par exemple, as12345, !as55789 correspond à AS12345 mais exclut explicitement AS55789.
En quoi les Combo Rules diffèrent-elles des Filters ?
Les filtres portent sur une seule dimension à la fois (une liste d’IP, une liste d’ASN, une liste de User-Agent, etc.). Les Combo Rules combinent plusieurs dimensions dans une même règle, ce qui permet d’exprimer des conditions telles que « uniquement cet ASN, uniquement sur ce chemin, uniquement avec cette méthode » , qu’un filtre isolé ne peut pas formuler.
AUTO AI peut-il être désactivé pour les Combo Rules ?
Non. AUTO AI est toujours activé et fonctionne en parallèle de vos Custom Combo Rules. Vous pouvez ajouter vos propres règles en mode custom, mais l’IA ne peut pas être désactivée.