In breve:
- Il WAF (Web Application Firewall) controlla le richieste dirette al sito e blocca i tentativi di intrusione, per esempio lo sfruttamento di un plugin vulnerabile o l'inserimento di codice in un modulo.
- Non serve installare nulla: molti hosting italiani lo includono nel piano (ModSecurity, Imunify360 o regole proprie), e servizi esterni come WEDOS Protection e Cloudflare lo offrono anche gratis.
- Il WAF riduce il rischio ma non sostituisce aggiornamenti, password robuste, autenticazione a due fattori e backup.
Da cosa protegge un WAF
| Attacco | Che cosa tenta l'attaccante | Che cosa fa il WAF |
|---|---|---|
| SQL injection | Inserire in un modulo o nell'indirizzo un comando per il database ed estrarne i dati. | Riconosce le parti tipiche dei comandi SQL e blocca la richiesta. |
| XSS (cross-site scripting) | Inserire nella pagina uno script che si esegue nel browser degli altri visitatori. | Blocca le richieste con script nei parametri. |
| Vulnerabilità note | Sfruttare una falla in un plugin o in un tema non aggiornato. | Le regole gestite bloccano gli exploit noti, spesso prima che lei riesca ad aggiornare. |
| Attacchi alle password | Provare migliaia di password sulla pagina di accesso dell'amministrazione. | Limita i tentativi o chiede una verifica che non si tratti di un bot. |
| DDoS applicativo | Sommergere il sito di richieste che sembrano visite normali. | Con il limite di richieste attenua l'attacco. Approfondiamo nella pagina attacco DDoS. |
WAF e firewall: la differenza
Il firewall di rete lavora sui livelli 3 e 4: guarda indirizzi IP e porte e decide se una connessione può passare. Il WAF lavora sul livello 7, quello delle applicazioni: legge la richiesta HTTP vera e propria. Una richiesta con un tentativo di SQL injection arriva sulla porta 443 come qualsiasi visita, quindi il firewall la lascia passare e solo il WAF può fermarla. Sui server servono entrambi.
Da cosa il WAF non protegge
- Password rubate: chi accede con la password giusta sembra lei. Serve l'autenticazione a due fattori.
- Errori sconosciuti nel suo codice: le regole generiche intercettano solo gli schemi tipici degli attacchi.
- Attacchi diretti al server: se l'attaccante conosce il vero indirizzo IP dell'hosting, aggira un WAF esterno come Cloudflare. Il server dovrebbe accettare traffico solo dal servizio di protezione.
- Perdita di dati: per quella servono i backup, meglio se anche fuori dall'hosting.
Quali hosting includono un WAF
Abbiamo letto le pagine ufficiali dei piani degli hosting che confrontiamo. Riportiamo solo quello che dichiarano.
| Hosting | Che cosa dichiara sulla pagina del piano | |
|---|---|---|
| Hostingerhosting WordPress | "Firewall per applicazioni web (WAF)" e mitigazione DDoS | Vedi prezzi |
| VHostingCloud Low Cost | ModSecurity WAF, isolamento degli account (LVE) e ImunifyAV | Vedi prezzi |
| Shellrentweb hosting | ModSecurity WAF con whitelist personalizzabile e antivirus Imunify360 | Vedi prezzi |
| Ergonethosting WordPress | WAF con regole scritte dai propri sistemisti (Fireshield) e protezione da attacchi DoS e DDoS | Vedi prezzi |
| Keliwebhosting Linux | Imunify360, che condivide i dati con il WAF, e protezione anti-DDoS nel datacenter | Vedi prezzi |
| SiteGroundhosting web | Regole firewall personalizzate aggiornate più volte al giorno, anti-bot basato su IA, protezione DDoS | Vedi prezzi |
| Register.itweb hosting | Security shield con scansione giornaliera di file e vulnerabilità; la pagina non nomina un WAF | Vedi prezzi |
Dalle pagine dei piani verificate il 30 ottobre 2026. Non abbiamo testato l'efficacia dei singoli WAF. I link a Hostinger e VHosting sono di affiliazione, gli altri no. I prezzi dei piani sono nella classifica per costo in 3 anni.
WAF esterno: WEDOS Protection e Cloudflare
Un WAF esterno si mette davanti a qualsiasi hosting cambiando i nameserver o i record DNS del dominio.
| Servizio | WAF gratis | Piano a pagamento | |
|---|---|---|---|
| WEDOS Protectionazienda europea, sito in inglese | Piano Free: WAF gestito (OWASP e regole WEDOS), 5 regole personalizzate, dominio principale + 1 sottodominio | 99 € all'annoNoLimit, 8,25 € al mese; 13 € con pagamento mensile. 100 regole, wildcard, API, log di 1 settimana | Listino |
| Cloudflareazienda statunitense | Piano Free: Free Managed Ruleset | 20 USD al mesePro con pagamento annuale, 25 USD mensile. Regole gestite complete | Piani |
Dai listini ufficiali verificati il 30 ottobre 2026. Il prezzo di WEDOS Protection NoLimit vale per un dominio. Con WEDOS Protection abbiamo un accordo di affiliazione, con Cloudflare no.
Cloudflare include nel piano Free il "Free Managed Ruleset" e la protezione DDoS senza limiti di traffico. Il piano Pro aggiunge le regole gestite complete del WAF.
Per WordPress esistono anche WAF in forma di plugin, come Wordfence. Girano però sullo stesso server del sito, quindi la richiesta malevola viene comunque elaborata dall'hosting. Un WAF sul server dell'hosting o un servizio esterno la fermano prima.
Le imprese soggette alla direttiva NIS2 trovano le misure di sicurezza richieste nella pagina NIS2 in Italia.