Mejor WAF para Vercel

A la hora de elegir cómo proteger con un firewall una aplicación en Vercel, sopesa estos factores a nivel de configuración:

• WAF nativo frente a anteponer un WAF - El Vercel WAF se ejecuta dentro de la plataforma, sin ningún salto adicional ni software que instalar. Un WAF de terceros se sitúa por delante de Vercel y añade una capa de edge. Lo nativo es más sencillo y consciente de la plataforma; anteponer un WAF te da profundidad de WAF y coherencia entre orígenes a costa de otro salto y más configuración.
• Límites por nivel de plan - Los conjuntos de reglas gestionados del WAF (OWASP Core Ruleset, Bot Protection, AI Bots) son exclusivos de Enterprise. El número de reglas personalizadas escala según el plan (hasta 3 en Hobby, hasta 40 en Pro, hasta 1000 en Enterprise), y el número de bloqueos de IP a nivel de proyecto escala de 3 a 100 y a 1000. El bloqueo de IP a nivel de cuenta es exclusivo de Enterprise, con reglas CIDR limitadas a /16 para IPv4 y /48 para IPv6. Confirma que tu nivel cubre lo que necesitas antes de diseñar reglas.
• Detalles de la limitación de tasa - La limitación de tasa del WAF ofrece un algoritmo de Fixed Window (ventana fija) en todos los planes y Token Bucket en Enterprise. Las claves de recuento son IP y JA4 Digest en todos los planes; User Agent y claves de cabecera arbitrarias son exclusivas de Enterprise. La ventana va de 10 s a 10 min en Hobby/Pro y hasta 1 h en Enterprise. Ten en cuenta que los contadores se rastrean por región, así que un límite global se puede superar entre distintas regiones.
• vercel.json es un subconjunto - Las reglas escritas en vercel.json mediante routes y la propiedad mitigate solo admiten las acciones deny y challenge. Las acciones log, bypass y redirect solo están disponibles en el panel, la CLI y la API. No des por hecho que la infraestructura como código cubre toda la superficie de reglas.
• Orden de ejecución de las reglas - El firewall de la plataforma (mitigación de DDoS) se ejecuta primero, y después el tráfico pasa por el Vercel WAF. Dentro del WAF, Vercel documenta dos fases ordenadas: primero se evalúan las reglas personalizadas y después los WAF Managed Rulesets (conjuntos de reglas gestionados). Como las reglas personalizadas se ejecutan antes que los conjuntos gestionados, una regla personalizada de tipo bypass puede permitir tráfico que un conjunto gestionado bloquearía en otro caso.
• Observabilidad y control de cambios - Usa la vista de tráfico en vivo del Firewall, la observabilidad del firewall y las alertas, y los Log Drains hacia un SIEM. Dado que los cambios se aplican en ~300 ms con reversión instantánea, prueba las reglas nuevas en modo log contra tráfico real antes de pasarlas a deny o challenge.

Consideraciones específicas de Vercel al añadir un WAF:

• Alcance limitado a Vercel - El WAF nativo solo protege las aplicaciones desplegadas en Vercel. No puede proteger orígenes alojados en otro sitio. Si gestionas un entorno multicloud y quieres una única política de WAF en todas partes, eso apunta hacia un WAF de terceros por delante en lugar del producto nativo.
• El DDoS es automático y gratuito - La mitigación de DDoS L3/L4/L7 se ejecuta en todos los planes sin configuración, y el tráfico bloqueado por la mitigación de DDoS no se factura. Attack Mode es gratuito en todos los planes; desafía a los visitantes no verificados durante un ataque activo mientras exime a los bots verificados (crawlers de búsqueda, webhooks) y a tus propias Functions y Cron Jobs.
• Sin redespliegue, reversión instantánea - Los cambios en el firewall surten efecto globalmente en menos de 300 ms y están desacoplados de tu pipeline de build/despliegue. Cualquier configuración se puede restaurar desde el registro de auditoría, lo cual es útil cuando una regla provoca un comportamiento inesperado.
• Los conjuntos de reglas gestionados son exclusivos de Enterprise - En Hobby y Pro no existe el conmutador del OWASP Core Ruleset. En su lugar, construyes la protección a partir de reglas personalizadas, bloqueo de IP y limitación de tasa en vez de habilitar un conjunto de reglas de firmas. Ten esto en cuenta si necesitas específicamente cobertura del OWASP CRS sin un contrato Enterprise.
• Acciones persistentes - Una acción de challenge, deny o rate limit puede llevar aparejado un bloqueo temporal sobre la IP del cliente infractor. El bloqueo se aplica antes de que el firewall procese la petición, así que el tráfico con bloqueo persistente no cuenta para el uso de CDN ni de tráfico.
• Falsos positivos y fuentes de confianza - Si las mitigaciones automáticas bloquean un proxy de confianza o una red compartida, puedes pausar las mitigaciones del sistema (Pause System Mitigations) durante 24 horas o (en Pro/Enterprise) crear reglas de omisión del sistema (System Bypass Rules) para que el tráfico esencial nunca sea bloqueado por la protección DDoS. Prueba primero cualquier regla personalizada nueva en modo log, observa la vista de tráfico en vivo y luego promuévela a deny o challenge.