Meilleur WAF pour Vercel

Pour choisir comment protéger une application sur Vercel par pare-feu, pesez ces facteurs au niveau de la configuration :

• WAF natif ou placement en frontal - Le WAF de Vercel s'exécute au sein de la plateforme, sans saut supplémentaire ni logiciel à installer. Un WAF tiers se place en frontal de Vercel et ajoute une couche de bordure. Le natif est plus simple et conscient de la plateforme ; le placement en frontal offre de la profondeur WAF et une cohérence inter-origines au prix d'un saut supplémentaire et de davantage de configuration.
• Conditionnement par palier de forfait - Les jeux de règles managés du WAF (OWASP Core Ruleset, Bot Protection, AI Bots) sont réservés à Enterprise. Le nombre de règles personnalisées évolue selon le forfait (Hobby jusqu'à 3, Pro jusqu'à 40, Enterprise jusqu'à 1000), et le nombre de blocages d'IP au niveau du projet évolue de 3 à 100 puis 1000. Le blocage d'IP au niveau du compte est réservé à Enterprise, avec des règles CIDR plafonnées à /16 pour IPv4 et /48 pour IPv6. Vérifiez que votre palier couvre vos besoins avant de concevoir vos règles.
• Détails de la limitation de débit - La limitation de débit du WAF propose un algorithme Fixed Window sur tous les forfaits et Token Bucket sur Enterprise. Les clés de comptage sont l'IP et le JA4 Digest sur tous les forfaits ; le User Agent et les clés d'en-tête arbitraires sont réservés à Enterprise. La fenêtre va de 10 s à 10 min sur Hobby/Pro et jusqu'à 1 h sur Enterprise. Notez que les compteurs sont suivis par région, si bien qu'une limite globale peut être dépassée d'une région à l'autre.
• vercel.json n'est qu'un sous-ensemble - Les règles écrites dans vercel.json via routes et la propriété mitigate ne prennent en charge que les actions deny et challenge. Les actions log, bypass et redirect ne sont accessibles que via le tableau de bord, la CLI et l'API. Ne supposez pas que l'infrastructure-as-code couvre l'ensemble des règles disponibles.
• Ordre d'évaluation des règles - Le pare-feu de la plateforme (atténuation DDoS) s'exécute en premier, puis le trafic traverse le Vercel WAF. Au sein du WAF, Vercel documente deux étapes ordonnées : les règles personnalisées s'évaluent d'abord, puis les jeux de règles managés du WAF. Comme les règles personnalisées s'exécutent avant les jeux de règles managés, une règle personnalisée bypass peut laisser passer un trafic qu'un jeu de règles managé bloquerait autrement.
• Observabilité et contrôle des modifications - Utilisez la vue du trafic en direct du Firewall, l'observabilité du pare-feu et les alertes, ainsi que les Log Drains vers un SIEM. Comme les modifications s'appliquent en ~300 ms avec annulation instantanée, testez les nouvelles règles en mode log sur le trafic réel avant de les basculer en deny ou challenge.

Considérations propres à Vercel lors de l'ajout d'un WAF :

• Périmètre limité à Vercel - Le WAF natif ne protège que les applications déployées sur Vercel. Il ne peut pas protéger des origines hébergées ailleurs. Si vous exploitez un parc multi-cloud et souhaitez une politique WAF unique partout, cela oriente vers un WAF tiers en frontal plutôt que vers le produit natif.
• Le DDoS est automatique et gratuit - L'atténuation DDoS L3/L4/L7 s'exécute sur tous les forfaits sans configuration, et le trafic bloqué par l'atténuation DDoS n'est pas facturé. L'Attack Mode est gratuit sur tous les forfaits ; il soumet à un challenge les visiteurs non vérifiés pendant une attaque active tout en exemptant les bots vérifiés (robots d'indexation, webhooks) ainsi que vos propres Functions et Cron Jobs.
• Aucun redéploiement, annulation instantanée - Les modifications du pare-feu prennent effet mondialement en moins de 300 ms et sont découplées de votre pipeline de build/déploiement. Toute configuration peut être restaurée depuis le journal d'audit, ce qui est utile lorsqu'une règle provoque un comportement inattendu.
• Les jeux de règles managés sont réservés à Enterprise - Sur Hobby et Pro, il n'existe pas de bascule OWASP Core Ruleset. Vous construisez la protection à partir de règles personnalisées, du blocage d'IP et de la limitation de débit plutôt qu'en activant un jeu de règles à signatures. Prévoyez cela si vous avez spécifiquement besoin d'une couverture OWASP CRS sans contrat Enterprise.
• Actions persistantes - Une action challenge, deny ou rate limit peut entraîner un blocage temporisé de l'IP cliente fautive. Le blocage est appliqué avant que le pare-feu ne traite la requête, si bien que le trafic bloqué de façon persistante ne compte pas dans l'usage CDN ou de trafic.
• Faux positifs et sources de confiance - Si des atténuations automatiques bloquent un proxy de confiance ou un réseau partagé, vous pouvez suspendre les atténuations système (Pause System Mitigations) pendant 24 heures, ou (Pro/Enterprise) créer des règles de contournement système (System Bypass Rules) afin que le trafic essentiel ne soit jamais bloqué par la protection DDoS. Testez toute nouvelle règle personnalisée d'abord en mode log, surveillez la vue du trafic en direct, puis promouvez-la en deny ou challenge.