Web Application Firewall (WAF) je filter između interneta i tvojeg sajta koji blokira poznate napade — SQL injection, XSS, brute force, scrapere. Postoji 4 sloja gdje se WAF može instalirat, svaki s različitim kompromisima. Ovo je vodič koji koristit i kako kombinirat.

4 sloja WAF zaštite

1. Edge/Cloud WAF (Cloudflare, AWS WAF) — vrti se na CDN-u, prije nego request stigne do servera.
2. Cloud endpoint WAF (Sucuri, Sitelock) — proxy ispred sajta, traffic ide kroz njihovu mrežu.
3. Server-level WAF (ModSecurity, Imunify360) — nginx/Apache module na serveru.
4. Application-level WAF (Wordfence, NinjaFirewall) — WordPress plugin koji se vrti u PHP-u.

Edge WAF — Cloudflare

Najpopularnija opcija. Cloudflare proxy ispred tvojeg sajta, sav traffic ide kroz njih.

Plus:

• Blokira napade prije nego dođu do servera = nula opterećenje za tvoj server.
• OWASP Core Rule Set built-in.
• Bot Fight Mode protiv scrapera i botova.
• Rate limiting (Free: 1 rule, Pro: 5 rules).
• DDoS mitigation included.
• Custom rules za blokiranje specific patterns.

Minus:

• Free tier ima ograničen WAF (Managed Rules samo na Pro+).
• Sav traffic ide kroz Cloudflare = privacy razmišljanje.
• Origin IP mora biti hidden — ako leakne, napadi mogu zaobi cloudflare.

Cijena: Free / Pro 25 USD/mj / Business 250 USD/mj.

Cloud endpoint WAF — Sucuri

Sucuri (sad GoDaddy-owned) je SaaS — proxy ispred tvojeg sajta + malware scanner + incident response ako se hack-aš.

Plus:

• Profesional malware cleanup uključen u plan (kada se hackuje, oni čiste).
• Virtual patching za poznate WP/plugin ranjivosti.
• Brand reputation monitoring.

Minus:

• Skupo (od 200 USD/god po sajtu).
• Manje features od Cloudflare-a, ali specijalizirano za WP.

Server WAF — ModSecurity / Imunify360

ModSecurity je open-source Apache/nginx module. Imunify360 je komercijalna nadgradnja s ML detection-om, specifična za cPanel servere.

Plus:

• Blokira na nivou servera — radi za sve sajtove na serveru, ne samo WP.
• Imunify360 koristi distributed network — kad netko u svijetu napadne, Imunify svi vidi i blokira na svojim serverima.
• Real-time malware scanner.
• OWASP CRS rules built-in u ModSecurity.

Minus:

• Treba sysadmin pristup za config — klijent ne može sam tweak-at.
• False positives mogu blokirat legitimne user-e (npr. WP admin koji uploada PHP fajl).
• Trošak na nivou servera, ne per-site (server admin plaća).

Application WAF — Wordfence

Wordfence je WP plugin koji se vrti unutar PHP procesa svakog request-a.

Plus:

• Razumije WP context — zna razliku između legitimnog admin upload-a i napada.
• Real-time threat intelligence od milijuna instalacija.
• Login security: 2FA, limit login attempts, country blocking.
• Malware scanner na fajl level u WP installaciji.
• Free tier dovoljan za većinu malih sajtova.

Minus:

• Vrti se u PHP-u → performance overhead (5-15ms po request-u).
• Blokira ide nakon što request stigne do PHP-a → server još pati pri DDoS-u.
• Premium real-time rules je 99 USD/god po sajtu — agencije skupo.

NinjaFirewall

Alternative za Wordfence — vrti se kao PHP filter PRIJE WP core-a, tako brža intercept.

Plus: brži od Wordfence-a (intercept prije WP load-a), lightweight.

Minus: manje community, manje features.

Usporedba

Layered defense — što kombinirat

Baseline (mali sajt, do 10k visits/mj)

• Cloudflare Free (DDoS + basic WAF) + Wordfence Free (WP context).
• Trošak: 0 EUR.

Mid (poslovni sajt, 10k-100k visits/mj)

• Cloudflare Pro (managed rules, rate limiting) + Imunify360 na serveru.
• Trošak: ~50 USD/mj.

High (webshop, 100k+ visits/mj, critical data)

• Cloudflare Business + Imunify360 + Wordfence Premium.
• Trošak: ~350 USD/mj.

Enterprise (banka, financial)

• Cloudflare Enterprise + Sucuri + dedicated WAF appliance + 24/7 SOC.
• Trošak: 5000+ USD/mj.

Što WAF NE radi

• Ne zamjenjuje updates — patched plugin = manje rupa od koje WAF mora štitit.
• Ne zamjenjuje sigurnu lozinku — brute force WAF može usporit, ali ne riješit.
• Ne zamjenjuje backup — ako WAF propusti i sajt se hackera, backup je tvoj spas.
• Ne zamjenjuje 2FA — login WAF rules su sekundarne, 2FA je primarno.

Origin IP hiding (kritično za Cloudflare)

Ako koristiš Cloudflare, napadači mogu zaobići WAF ako saznaju tvoj origin IP. Mere:

• Firewall (UFW/iptables) na serveru: dopusti SAMO Cloudflare IP-ove na 80/443. Cloudflare IP list.
• Ne stavljaj origin IP u DNS bilo gdje (samo "orange cloud" na Cloudflare).
• Email server na drugom IP-u (mail.example.com ne smije pokazat na isti IP kao sajt).
• Ne emit-aj Server header u response (ukloni X-Powered-By).

Tuning false positives

Svaki WAF povremeno blokira legitiman user. Strategija:

1. Postavi WAF u "log only" mode prvih 1-2 tjedna.
2. Analiziraj log — koja rule okida na legitimne requeste.
3. Disable ili tweak te rules.
4. Switch u "block" mode kad si tuning-irao.

WMD i WAF setup

Sav WMD shared/managed hosting dolazi s Imunify360 server-side WAF — automatski blokira poznate napade, malware scanner, ModSecurity rules. Za klijente preporučujemo Cloudflare ispred sajta (Free za male, Pro za production). WordPress klijenti dobivaju Wordfence Free predinstaliran. Origin IP firewall config (Cloudflare-only) uključen u onboarding. Za enterprise klijente postavljamo full layered defense + 24/7 SOC praćenje kroz Super brzu podršku.

FAQ

Cloudflare i Wordfence — preklapaju se? Donekle, ali komplementarni. Cloudflare blokira na edge-u, Wordfence razumije WP context. Combo radi bolje od bilo kog samog.

Smije li Cloudflare blokirat WP REST API? Default Managed Rules ponekad da. Whitelist /wp-json/* ako koristiš API integracije.

Wordfence usporava sajt? Lagano (5-15ms po request-u). Mjeri Query Monitor. Ako problem, switch na NinjaFirewall.

Što ako WAF blokira mojeg klijenta? Whitelist njihov IP, ili tweak rule koja okida. Logovi WAF-a pokazuju točan razlog blokade.

ModSecurity blokira sve uploade — što sad? Standard pattern. Tweak SecRule za POST na /wp-admin/upload.php ili podigni body size limit.

Trebaš WAF setup ili audit za sajt? WMD postavlja layered WAF (Cloudflare + Imunify360 + Wordfence) za WP i custom apps. Javi se preko kontakt forme.