W skrócie:
- WAF (Web Application Firewall) sprawdza żądania wysyłane do strony i blokuje próby włamania, np. wykorzystanie podatnej wtyczki albo wstrzyknięcie kodu do formularza.
- Nie trzeba niczego instalować: część polskich hostingów ma WAF w pakiecie, a zewnętrzne usługi jak WEDOS Protection i Cloudflare oferują go także za darmo.
- WAF zmniejsza ryzyko, ale nie zastępuje aktualizacji, mocnych haseł, logowania dwuskładnikowego i kopii zapasowych.
Przed czym chroni WAF
| Atak | Co próbuje zrobić atakujący | Co robi WAF |
|---|---|---|
| SQL injection | Wpisać do formularza albo adresu polecenie dla bazy danych i wyciągnąć z niej dane. | Rozpoznaje typowe fragmenty poleceń SQL i blokuje żądanie. |
| XSS (cross-site scripting) | Wstawić do strony skrypt, który uruchomi się w przeglądarce innych odwiedzających. | Blokuje żądania ze skryptami w parametrach. |
| Znane podatności | Wykorzystać lukę w nieaktualnej wtyczce albo motywie. | Zarządzane reguły blokują znane exploity, często zanim zdążysz zaktualizować. |
| Ataki na hasła | Próbować tysięcy haseł na stronie logowania do panelu. | Ogranicza liczbę prób albo wymaga sprawdzenia, czy to nie bot. |
| DDoS w warstwie aplikacji | Zasypać stronę żądaniami, które wyglądają jak zwykłe odwiedziny. | Limitem żądań łagodzi atak. Więcej na stronie atak DDoS. |
WAF a firewall
Firewall sieciowy działa w warstwach 3 i 4: patrzy na adresy IP i porty i decyduje, czy połączenie może przejść. WAF działa w warstwie 7, czyli aplikacji: czyta samo żądanie HTTP. Żądanie z próbą SQL injection przychodzi na port 443 jak każda wizyta, więc firewall je przepuści, a zatrzymać może je tylko WAF. Na serwerze potrzebne są oba.
Przed czym WAF nie chroni
- Skradzione hasła: kto loguje się prawidłowym hasłem, wygląda jak Ty. Pomaga logowanie dwuskładnikowe.
- Nieznane błędy we własnym kodzie: ogólne reguły wyłapują tylko typowe wzorce ataków.
- Ataki bezpośrednio na serwer: jeśli atakujący zna prawdziwy adres IP hostingu, omija zewnętrzny WAF. Serwer powinien przyjmować ruch tylko od usługi ochrony.
- Utrata danych: na to są kopie zapasowe, najlepiej także poza hostingiem.
Które hostingi mają WAF
Przeczytaliśmy oficjalne strony pakietów hostingów, które porównujemy. Podajemy tylko to, co deklarują.
| Hosting | Co deklaruje na stronie pakietu | |
|---|---|---|
| cyber_Folkshosting | "Potrójna zapora WAF", w parametrach "Dla stron WAF, Separacja domen, mod_security" | Zobacz ceny |
| nazwa.plhosting | Web Application Firewall (ochrona przed atakami XSS, SQL, PHP), Intrusion Prevention System (IPS), rozszerzona ochrona DoS i DDoS | Zobacz ceny |
| LH.plhosting | "Ochrona WAF" i "Ochrona AntyDDOS" w każdym pakiecie | Zobacz ceny |
| Hostingerhosting WordPress | zapora aplikacji internetowych (WAF) i ograniczanie ataków DDoS | Zobacz ceny |
| dhostinghosting | integracja z Cloudflare w panelu dPanel (ochrona DDoS, SSL, blokowanie adresów IP, ukrycie adresu serwera) | Zobacz ceny |
| SEOHOSThosting | ochrona Monarx przed złośliwym oprogramowaniem; strona pakietu nie wymienia WAF | Zobacz ceny |
| zenbox, home.pl | na stronach pakietów nie znaleźliśmy informacji o WAF ani DDoS (części treści ładują się dopiero w przeglądarce); zapytaj dostawcę |
Ze stron pakietów sprawdzonych 30 października 2026. Nie testowaliśmy skuteczności poszczególnych WAF. Linki do hostingów nie są partnerskie. Ceny pakietów znajdziesz w rankingu hostingów.
Zewnętrzny WAF: WEDOS Protection i Cloudflare
Zewnętrzny WAF ustawia się przed dowolnym hostingiem, zmieniając serwery nazw albo rekordy DNS domeny.
| Usługa | WAF za darmo | Plan płatny | |
|---|---|---|---|
| WEDOS Protectionfirma europejska, strona po polsku | Plan Free: zarządzany WAF (reguły OWASP i WEDOS), 5 własnych reguł, domena główna i 1 subdomena | 396 zł za rokNoLimit, 33 zł miesięcznie (99 €); 54 zł przy płatności miesięcznej. 100 reguł, wildcard, API, logi 1 tydzień | Cennik |
| Cloudflarefirma amerykańska | Plan Free: Free Managed Ruleset | 20 USD miesięczniePro przy płatności rocznej, 25 USD miesięcznie. Pełne zarządzane reguły WAF | Plany |
Z oficjalnych cenników sprawdzonych 30 października 2026. Cena WEDOS Protection NoLimit dotyczy jednej domeny; cennik nie mówi, czy zawiera VAT. Z WEDOS Protection mamy umowę partnerską, z Cloudflare nie.
Cloudflare ma w planie Free "Free Managed Ruleset" i ochronę DDoS bez limitu ruchu. Plan Pro dodaje pełne zarządzane reguły WAF.
Dla WordPressa są też WAF w formie wtyczek, np. Wordfence. Działają jednak na tym samym serwerze co strona, więc złośliwe żądanie i tak obciąża hosting. WAF na serwerze hostingu albo zewnętrzna usługa zatrzymują je wcześniej.
Firmy objęte dyrektywą NIS2 znajdą wymagane środki bezpieczeństwa na stronie NIS2 w Polsce.