Detección de WAF
Detecta Firewalls de Aplicación Web que protegen cualquier sitio web.
A Web Application Firewall (WAF) protects websites from attacks like SQL injection, XSS, and DDoS.
Common WAF/CDN providers include Cloudflare, AWS WAF, Akamai, and Sucuri.
This tool detects WAFs by analyzing HTTP headers, cookies, and server signatures.
¿Tu app tiene firewall de aplicación o solo crees que lo tiene?
La detección de WAF muestra si un Web Application Firewall está activamente frente a tu dominio — o si tu aplicación está expuesta directamente a internet.
Muchos equipos configuran un WAF a través de su CDN (CloudFlare, AWS CloudFront) y asumen que los ataques están siendo bloqueados. Esta herramienta envía una solicitud de sondeo y analiza cabeceras de respuesta, fingerprints y señales de comportamiento para confirmar si un WAF está interceptando el tráfico — no solo teóricamente configurado. Si no se detecta WAF en una app productiva que maneja datos de usuarios, ese es un riesgo que vale la pena atender.
Lo que el fingerprinting de WAF realmente revela
El fingerprinting de WAF analiza cabeceras HTTP, patrones de página de error y comportamiento de rate-limiting para identificar el producto de firewall específico.
Distintos WAFs dejan diferentes firmas. CloudFlare agrega cabeceras CF-RAY. Imperva devuelve patrones X-Iinfo específicos. AWS WAF produce respuestas 403 características. Sucuri inyecta sus propias cabeceras. Analizando estas señales en conjunto, la detección identifica no solo si hay un WAF sino qué producto — y con frecuencia en qué modo está operando.
CloudFlare, Imperva, Sucuri, AWS WAF — los WAF más comunes detectados
Los proveedores de WAF más comunes en entornos de producción, cada uno con firmas de detección distintivas.
CloudFlare es el más ampliamente desplegado, detectado via cabeceras CF-RAY y pertenencia de ASN. Imperva es común en entornos enterprise con requisitos de cumplimiento GDPR y PCI-DSS. AWS WAF frecuentemente aparece junto a distribuciones CloudFront. Sucuri es común en sitios WordPress. La detección cubre todos los principales productos WAF comerciales y opciones open-source como ModSecurity.
Sin WAF detectado: qué significa realmente
Sin WAF no significa necesariamente desprotegido — significa que no se encontró ningún fingerprint de WAF. Los firewalls de red y protecciones de hosting no son detectados por este método.
Si no se detecta WAF, tu aplicación puede tener firewalls a nivel de servidor (iptables, UFW), grupos de seguridad en la nube (AWS SG, GCP VPC) o la protección integrada de tu proveedor de hosting. Lo que este resultado te dice es que no hay WAF de capa de aplicación inspeccionando y filtrando tráfico HTTP/S antes de llegar a tu servidor web. Para apps públicas que procesan datos sensibles o entrada de usuarios, un WAF de capa de aplicación es altamente recomendado.