Plattform Aktualisiert am Juli 2026 von Thijs de Zoete

Beste WAF für Vercel

Sichern Sie auf Vercel bereitgestellte Anwendungen mit einer Web Application Firewall ab. Vergleichen Sie die native Vercel WAF (Custom Rules, IP-Blocking, Rate-Limiting, Managed Rulesets, Attack Mode) mit dem Vorschalten einer vollständigen Drittanbieter-WAF wie Cloudflare.

Vercel ist eine Hosting- und Edge-Plattform, mit der Next.js-, React-, Svelte-, Nuxt-, Astro- und andere Frontend-Anwendungen bereitgestellt werden. Da Vercel den Client-Verkehr in seinem eigenen globalen Netzwerk terminiert, bevor er Ihre Functions und statischen Assets erreicht, ist die Plattform der Ort, an dem Web-Application-Firewall-Richtlinien durchgesetzt werden. Sie installieren auf Vercel keine WAF-Software wie bei NGINX oder HAProxy; die WAF ist eine native Produktstufe der Plattform.

Die Vercel Firewall ist ein mehrschichtiges System. Jeder Request durchläuft eine plattformweite Firewall, die auf allen Tarifen ohne Konfiguration automatische DDoS-Mitigation auf L3, L4 und L7 bietet, und anschließend die konfigurierbare Vercel WAF. Die WAF ergänzt Custom Rules, IP-Blocking, Rate-Limiting und (auf Enterprise) Managed Rulesets. Eine wichtige betriebliche Eigenschaft: Wenn Sie eine Firewall-Änderung anwenden, wird sie innerhalb von 300ms global wirksam und erfordert kein erneutes Deployment; jede Änderung lässt sich über das Audit-Log sofort zurückrollen.

Dieser Leitfaden behandelt, was die native Vercel WAF auf Konfigurationsebene kann und was nicht, wie Funktionen nach Tarifstufe gestaffelt sind und wann ein Team seiner Vercel-App stattdessen eine vollständige eigenständige WAF vorschalten muss. Regeln werden im Dashboard konfiguriert, in natürlicher Sprache beschrieben, über die routes-Eigenschaft in vercel.json geschrieben oder über die Vercel CLI, die Firewall-REST-API oder den Vercel-Terraform-Provider verwaltet.

Top WAF-Anbieter für Vercel

2

Cloudflare Web Application Firewall

Vorgeschaltete Alternative

Wenn Sie eine vollständige, eigenständige WAF außerhalb von Vercels Enterprise-Tarif benötigen, schalten Sie Ihrer Vercel-App Cloudflare vor. Es bietet das vollständige OWASP-basierte Managed Ruleset, eine umfangreiche Custom-Rule-Sprache, ausgereiftes Bot-Management und eine einheitliche Richtlinie über Vercel- und Nicht-Vercel-Origins hinweg, nichts davon stellt die native WAF auf Hobby oder Pro bereit. Die Kompromisse sind real: Das Vorschalten fügt vor Vercels eigenem Netzwerk einen zweiten CDN-/Edge-Hop hinzu, erfordert eine sorgfältige Origin- und Proxy-Konfiguration und verlagert die Verkehrsverarbeitung für die darüber geleiteten Pfade vom plattformbewussten Vercel-Edge weg. Wählen Sie es, wenn WAF-Tiefe oder Konsistenz über mehrere Anbieter hinweg wichtiger ist als reine Nativität.

Hauptvorteile:

  • Vollständige OWASP-basierte Managed Rules und eine Custom-Rule-Sprache, unabhängig von Vercels Tarifstufe
  • Einheitliche WAF-Richtlinien über Vercel- und Nicht-Vercel-Origins für Multi-Cloud-Umgebungen
  • Ausgereiftes Bot-Management, Rate-Limiting und Threat Intelligence
  • Läuft vor Vercel und filtert Requests, bevor sie den Plattform-Edge erreichen
Bewertung: 4,5/5
Preise: Per domain / Per feature tier
Kostenlose Stufe
Vollständige Bewertung lesen Website besuchen

Worauf Sie bei einer WAF für Vercel achten sollten

Beim Auswählen, wie Sie eine App auf Vercel per Firewall absichern, sollten Sie diese Faktoren auf Konfigurationsebene abwägen:

  • Native WAF vs. Vorschalten - Die Vercel WAF läuft innerhalb der Plattform, ohne zusätzlichen Hop und ohne zu installierende Software. Eine Drittanbieter-WAF sitzt vor Vercel und fügt eine Edge-Ebene hinzu. Nativ ist einfacher und plattformbewusst; das Vorschalten verschafft Ihnen WAF-Tiefe und Origin-übergreifende Konsistenz, um den Preis eines weiteren Hops und höheren Konfigurationsaufwands.
  • Tarifstufen-Beschränkungen - WAF Managed Rulesets (OWASP Core Ruleset, Bot Protection, AI Bots) sind Enterprise-exklusiv. Die Anzahl der Custom Rules skaliert nach Tarif (Hobby bis zu 3, Pro bis zu 40, Enterprise bis zu 1000), und die Anzahl der projektbezogenen IP-Blocks skaliert von 3 über 100 bis 1000. Das kontobezogene IP-Blocking ist Enterprise-exklusiv, mit CIDR-Regeln, die für IPv4 auf /16 und für IPv6 auf /48 begrenzt sind. Prüfen Sie, ob Ihr Tarif abdeckt, was Sie benötigen, bevor Sie Regeln entwerfen.
  • Details zum Rate-Limiting - WAF Rate Limiting bietet auf allen Tarifen einen Fixed-Window-Algorithmus und Token Bucket auf Enterprise. Zählschlüssel (Counting Keys) sind auf allen Tarifen IP und JA4 Digest; User Agent und beliebige Header-Schlüssel sind Enterprise-exklusiv. Das Zeitfenster reicht auf Hobby/Pro von 10s bis 10min und auf Enterprise bis 1h. Beachten Sie, dass Zähler pro Region geführt werden, sodass ein globales Limit über mehrere Regionen hinweg überschritten werden kann.
  • vercel.json ist eine Teilmenge - Regeln, die in vercel.json über routes und die mitigate-Eigenschaft geschrieben werden, unterstützen nur die Aktionen deny und challenge. Die Aktionen log, bypass und redirect gibt es nur über Dashboard, CLI und API. Gehen Sie nicht davon aus, dass Infrastructure-as-Code die gesamte Regeloberfläche abdeckt.
  • Reihenfolge der Regelausführung - Zuerst durchläuft der Request die plattformweite Firewall (DDoS-Mitigation), dann die konfigurierbare Vercel WAF. Innerhalb der WAF dokumentiert Vercel zwei geordnete Stufen: Zuerst werden die Custom Rules ausgewertet, danach die WAF Managed Rulesets. Da Custom Rules vor Managed Rulesets laufen, kann eine Bypass-Custom-Rule Verkehr freigeben, den ein Managed Ruleset andernfalls blockieren würde.
  • Observability und Change-Control - Nutzen Sie die Live-Traffic-Ansicht der Firewall, Firewall-Observability und Alerts sowie Log Drains zu einem SIEM. Da Änderungen in ~300ms mit sofortigem Rollback wirksam werden, testen Sie neue Regeln im log-Modus gegen Live-Verkehr, bevor Sie sie auf deny oder challenge umstellen.

Vercel-Überlegungen

Vercel-spezifische Überlegungen beim Hinzufügen einer WAF:

  • Nur Vercel-Geltungsbereich - Die native WAF schützt nur auf Vercel bereitgestellte Apps. Sie kann keine anderswo gehosteten Origins schützen. Wenn Sie eine Multi-Cloud-Umgebung betreiben und überall eine WAF-Richtlinie wollen, spricht das eher für eine vorgeschaltete Drittanbieter-WAF als für das native Produkt.
  • DDoS ist automatisch und kostenlos - L3/L4/L7-DDoS-Mitigation läuft auf allen Tarifen ohne Konfiguration, und durch DDoS-Mitigation blockierter Verkehr wird nicht berechnet. Attack Mode ist auf allen Tarifen kostenlos; es fordert nicht verifizierte Besucher während eines aktiven Angriffs mit einem Challenge heraus und nimmt dabei verifizierte Bots (Suchmaschinen-Crawler, Webhooks) sowie Ihre eigenen Functions und Cron Jobs aus.
  • Kein erneutes Deployment, sofortiges Rollback - Firewall-Änderungen werden innerhalb von 300ms global wirksam und sind von Ihrer Build-/Deploy-Pipeline entkoppelt. Jede Konfiguration lässt sich aus dem Audit-Log wiederherstellen, was nützlich ist, wenn eine Regel unerwartetes Verhalten verursacht.
  • Managed Rulesets sind Enterprise-exklusiv - Auf Hobby und Pro gibt es keinen Schalter für das OWASP Core Ruleset. Sie bauen den Schutz stattdessen aus Custom Rules, IP-Blocking und Rate-Limiting auf, statt ein signaturbasiertes Ruleset zu aktivieren. Planen Sie das ein, wenn Sie speziell OWASP-CRS-Abdeckung ohne Enterprise-Vertrag benötigen.
  • Persistente Aktionen - Eine Challenge-, Deny- oder Rate-Limit-Aktion kann eine zeitbasierte Sperre der betreffenden Client-IP mit sich führen. Die Sperre wird angewendet, bevor die Firewall den Request verarbeitet, sodass durch Persistenz gesperrter Verkehr nicht auf die CDN- oder Traffic-Nutzung angerechnet wird.
  • False Positives und vertrauenswürdige Quellen - Wenn automatische Mitigations einen vertrauenswürdigen Proxy oder ein geteiltes Netzwerk blockieren, können Sie System-Mitigations für 24 Stunden pausieren oder (Pro/Enterprise) System-Bypass-Regeln erstellen, damit essenzieller Verkehr niemals durch den DDoS-Schutz blockiert wird. Testen Sie jede neue Custom Rule zunächst im log-Modus, beobachten Sie die Live-Traffic-Ansicht und stufen Sie sie dann auf deny oder challenge hoch.

Häufig gestellte Fragen

Bringt Vercel out of the box eine WAF mit?

Teilweise. Jedes Vercel-Deployment erhält die plattformweite Firewall mit automatischer L3/L4/L7-DDoS-Mitigation auf allen Tarifen und ohne Konfiguration. Die konfigurierbare Vercel WAF-Ebene, Custom Rules, IP-Blocking, Rate-Limiting und Attack Mode, ist ebenfalls auf allen Tarifen verfügbar, aber das OWASP Core Ruleset und die Bot-Managed-Rulesets erfordern einen Enterprise-Tarif.

Brauche ich eine separate WAF, wenn ich auf Vercel bin?

Für viele Frontend-Anwendungen reicht die native Vercel WAF aus: Automatische DDoS-Mitigation plus Custom Rules, IP-Blocking und Rate-Limiting decken gängigen Missbrauch ab. Eine dedizierte vorgeschaltete WAF ist sinnvoll, wenn Sie den vollständigen OWASP Core Rule Set ohne Enterprise-Tarif benötigen, eine einheitliche Richtlinie über Vercel- und Nicht-Vercel-Origins hinweg oder fortgeschrittenes Bot-Management und Managed Rulesets, die die native WAF hinter Enterprise gatet.

Kann ich Vercel-WAF-Regeln in vercel.json konfigurieren?

Ja, aber nur eine Teilmenge. Sie definieren Regeln unter der routes-Eigenschaft über eine mitigate-Aktion, und dort werden nur deny und challenge unterstützt. Die Aktionen log, bypass und redirect sind nur über das Dashboard, die CLI oder die Firewall-API verfügbar. Siehe die Custom-Rules-Doku für die vercel.json-Syntax.

Wie limitiere ich die Rate eines API-Endpunkts auf Vercel?

Erstellen Sie eine Custom Rule, deren Bedingung den Endpunkt trifft (zum Beispiel ein Pfad von /api), und setzen Sie die Then-Aktion auf Rate Limit. Sie wählen eine Fixed-Window- (alle Tarife) oder Token-Bucket-Strategie (Enterprise), ein Zeitfenster (Standard 60s) und ein Request-Limit (Standard 100), einen Zählschlüssel (IP oder JA4 Digest auf allen Tarifen; User Agent und Header-Schlüssel auf Enterprise) sowie eine Folgeaktion des Standard-429 oder Log, Deny oder Challenge. Siehe WAF Rate Limiting. Beachten Sie, dass Zähler pro Region geführt werden.

Ist der vollständige OWASP Core Rule Set auf Vercel verfügbar?

Nur im Enterprise-Tarif. Das OWASP Core Ruleset ist ein WAF Managed Ruleset, das Sie im Firewall-Dashboard pro Regel aktivieren und konfigurieren (jede Regel auf Log oder Deny gesetzt), und dieses Managed Ruleset ist Enterprise-exklusiv. Auf Hobby und Pro nähern Sie die Abdeckung mit Custom Rules, IP-Blocking und Rate-Limiting an, oder Sie schalten der App eine Drittanbieter-WAF vor, die den CRS mitbringt.

Was ist Attack Mode und wann sollte ich ihn verwenden?

Attack Mode ist eine kostenlose, auf allen Tarifen verfügbare Notfalleinstellung, die während eines aktiven DDoS-Angriffs jeden nicht verifizierten Besucher mit einem Security-Challenge herausfordert und dabei verifizierte Bots (Suchmaschinen-Crawler, Webhooks) sowie Ihre eigenen Functions und Cron Jobs automatisch durchlässt. Durch Attack Mode blockierter Verkehr wird nicht auf die Nutzung angerechnet. Verwenden Sie ihn während eines gezielten Angriffs statt als Dauereinstellung, da Vercel DDoS bereits automatisch mitigiert.

Kann ich meiner Vercel-App eine Drittanbieter-WAF wie Cloudflare vorschalten?

Ja. Sie können Verkehr durch eine WAF wie Cloudflare leiten, bevor er Vercel erreicht, um einen vollständigen OWASP-basierten Ruleset, eine mächtigere Regelsprache und einheitliche Richtlinien über mehrere Origins zu erhalten. Beachten Sie die Kompromisse: Es fügt vor Vercels eigenem Netzwerk einen zweiten Edge-Hop hinzu, erfordert ein sorgfältiges Origin- und Proxy-Setup, und die vorgeschalteten Pfade verlieren Vercels plattformbewusste Verkehrsverarbeitung. Es ist die richtige Wahl, wenn WAF-Tiefe oder Multi-Cloud-Konsistenz schwerer wiegen als nativ zu bleiben.