Firewall i WAF dla sklepu internetowego - czy małej firmie jest potrzebny
Technical Implementation Expert
Firewall i WAF dla sklepu internetowego - czy małej firmie jest potrzebny
Firewall aplikacji webowych, czyli WAF, jest potrzebny małej firmie wtedy, gdy jej sklep działa na własnej instalacji, na przykład WooCommerce lub PrestaShop na hostingu. Wtedy podstawowa ochrona w postaci darmowego planu usługi chmurowej lub wtyczki bezpieczeństwa to rozsądne minimum, które blokuje automatyczne ataki na znane luki i próby zgadywania haseł. Sklep w abonamencie, np. na Shoperze, zwykle nie wymaga osobnego WAF, bo ochroną serwerów zajmuje się dostawca platformy.
Słowo „firewall” kojarzy się z drogim sprzętem w serwerowni dużej firmy. W e-commerce chodzi jednak o coś innego: o filtr, który stoi przed sklepem i odsiewa złośliwy ruch, zanim dotrze do koszyka, panelu logowania czy formularza kontaktowego. Poniżej wyjaśniamy, czym różni się zwykły firewall od WAF, jakie są rodzaje zapór dla sklepu, ile kosztują i kiedy mała firma może z nich zrezygnować, a kiedy nie powinna.
[#wazne] W skrócie: WAF dla sklepu to zapora, która analizuje ruch HTTP i blokuje ataki na aplikację, takie jak wstrzykiwanie kodu SQL, skrypty XSS, zgadywanie haseł czy masowe skanowanie luk. Dla sklepu na WordPressie i WooCommerce lub innej platformie instalowanej na hostingu podstawowy WAF to rozsądne minimum, często dostępne bezpłatnie. Nie zastępuje on aktualizacji ani kopii zapasowych. W Vinson dobieramy i konfigurujemy zaporę dla sklepów tak, żeby nie blokowała płatności ani integracji z marketplace'ami.
Czym jest firewall i WAF dla sklepu internetowego
Firewall, czyli zapora sieciowa, to mechanizm, który decyduje, jaki ruch może dotrzeć do serwera, głównie na podstawie adresów IP i portów. Taką zaporę ma każdy serwer i każdy rozsądny hosting - blokuje ona na przykład dostęp do bazy danych z internetu. Nie widzi jednak, co jest w środku zapytania wysłanego do sklepu.
WAF (Web Application Firewall), czyli firewall aplikacji webowych, działa o poziom wyżej. Analizuje treść zapytań HTTP: adresy, parametry, dane z formularzy i nagłówki. Dzięki temu rozpoznaje ataki skierowane w samą aplikację sklepu, które dla zwykłej zapory wyglądają jak normalny ruch na porcie 443. WAF działa na podstawie reguł - zestawów wzorców typowych ataków, aktualizowanych przez dostawcę, gdy pojawiają się nowe luki.
Przed czym chroni WAF w sklepie
Większość ataków na małe sklepy jest zautomatyzowana. Boty skanują tysiące stron dziennie i próbują tych samych sztuczek. WAF dobrze radzi sobie właśnie z takim ruchem:
Wstrzykiwanie SQL (SQL injection) - próby odczytania lub zmiany danych w bazie sklepu przez spreparowane parametry w adresie lub formularzu.
Cross-site scripting (XSS) - wstrzyknięcie skryptu, który uruchomi się w przeglądarce klienta lub administratora.
Ataki na znane luki we wtyczkach - reguły blokują wykorzystanie luki, zanim zdążysz zaktualizować wtyczkę (tzw. wirtualne łatanie).
Zgadywanie haseł - setki prób logowania do panelu administratora z różnych adresów IP.
Złośliwe boty i nadmierny ruch - skrapery cen, boty testujące skradzione karty na stronie płatności, zalew zapytań spowalniający sklep.
Ataki te pokrywają się w dużej mierze z listą OWASP Top 10, czyli zestawieniem najczęstszych kategorii zagrożeń dla aplikacji webowych, publikowanym przez fundację OWASP. To dobry punkt odniesienia przy wyborze zapory - dostawcy WAF zwykle wprost deklarują, które kategorie z tej listy obejmują ich reguły.
Rodzaje firewalla dla sklepu internetowego
WAF może działać w różnych miejscach - przed serwerem, na serwerze albo w samej aplikacji sklepu. Każde z tych rozwiązań ma inne zalety i ograniczenia:
[#chart:wit50a]
Rozwiązania te nie wykluczają się nawzajem. Częsty i rozsądny układ dla sklepu na WooCommerce to WAF w chmurze, który odsiewa większość automatycznego ruchu, zanim dotrze do serwera, oraz wtyczka bezpieczeństwa, która chroni panel logowania i skanuje pliki. Zapora na serwerze bywa dodatkiem w cenie hostingu - warto zapytać dostawcę, czy jest włączona i jakie reguły stosuje.
WAF a ochrona przed atakami DDoS
Atak DDoS polega na zalaniu sklepu taką liczbą zapytań, że serwer przestaje odpowiadać. Klasyczna zapora na serwerze niewiele tu pomoże, bo ruch i tak dociera do łącza i zużywa zasoby. WAF w chmurze działa przed serwerem i dysponuje infrastrukturą, która przyjmuje taki ruch zamiast niego. Dlatego dla sklepu, który obawia się przestojów w szczycie sprzedaży, ochrona w modelu chmurowym ma przewagę nad wtyczką.
- Diagnoza problemu i plan naprawy
- Bezpieczeństwo, kopie zapasowe, poczta
- Stała opieka IT dla e-commerce
Konsultację poprowadzi Łukasz Palej, Technical Implementation ExpertIle kosztuje WAF dla sklepu internetowego
Koszt zapory aplikacyjnej dla małego sklepu jest zwykle niewielki w porównaniu z kosztem incydentu. Wiele rozwiązań ma darmowy poziom, który wystarcza na start:
| Rozwiązanie | Wersja bezpłatna | Co daje wersja płatna | Dla kogo |
|---|---|---|---|
| WAF w chmurze (np. Cloudflare) | Plan Free z podstawowym zestawem reguł zarządzanych i ochroną przed DDoS | Pełne zestawy reguł, w tym OWASP, więcej własnych reguł i lepsza ochrona przed botami | Sklepy na własnej instalacji, które mogą przenieść DNS |
| Wtyczka bezpieczeństwa (np. Wordfence) | Firewall i skaner z regułami udostępnianymi z opóźnieniem | Reguły i sygnatury w czasie rzeczywistym, blokowanie znanych złych adresów IP | Sklepy na WordPressie i WooCommerce |
| WAF na serwerze (np. ModSecurity, Imunify360) | Często w cenie hostingu | Zależy od dostawcy hostingu lub serwera | Sklepy na hostingu, który go oferuje, i na VPS |
| Platforma w abonamencie (np. Shoper) | Ochrona serwerów po stronie dostawcy | Nie dotyczy | Sklepy SaaS |
Dla orientacji: w Cloudflare plan Pro, który dodaje pełniejsze zestawy reguł WAF, kosztuje ok. 20 USD miesięcznie przy płatności rocznej i ok. 25 USD przy płatności miesięcznej (stan na październik 2026 - sprawdź aktualny cennik Cloudflare). W darmowej wersji Wordfence nowe reguły zapory i sygnatury malware trafiają do użytkowników z 30-dniowym opóźnieniem względem wersji płatnej (stan na październik 2026 - sprawdź aktualne warunki Wordfence). Jak skonfigurować Cloudflare krok po kroku, opisujemy we wpisie
Jak policzyć, czy płatny WAF się opłaca
Prosty sposób na ocenę opłacalności to porównanie miesięcznego kosztu zapory z marżą, jaką sklep zarabia w ciągu godziny sprzedaży. Wynik mówi, ile godzin przestoju musiałaby zapobiec zapora, żeby zwrócić swój koszt. Przykład dla sklepu, który wydaje 100 zł miesięcznie na płatny WAF i zarabia średnio 50 zł marży na godzinę:
[#chart:wit50c]
Wystarczy więc, że zapora raz w miesiącu zapobiegnie dwugodzinnemu spowolnieniu lub awarii, żeby się zwróciła. A to nie uwzględnia kosztów czyszczenia strony, utraconych pozycji w Google i zaufania klientów po włamaniu. Jak oszacować wartość godziny sprzedaży w swoim sklepie, pokazujemy we wpisie
Czy małej firmie jest potrzebny WAF dla sklepu
Odpowiedź zależy głównie od platformy i od tego, kto odpowiada za serwer. Dla większości małych sklepów na własnej instalacji podstawowy WAF jest rozsądnym minimum, ale nie zawsze trzeba za niego płacić. Najprościej podjąć decyzję na podstawie kilku pytań:
[#chart:wit50b]
Sprzedawcy, którzy działają wyłącznie na marketplace'ach, nie potrzebują zapory aplikacyjnej, bo nie utrzymują własnej strony. Ich ryzyko leży gdzie indziej: w przejętych kontach sprzedawcy, poczcie i systemie zamówień. Inaczej jest, gdy obok marketplace'ów działa własny sklep na WooCommerce, nawet mały. Taki sklep jest połączony z tym samym systemem zamówień i często z tą samą skrzynką pocztową, więc włamanie na niego może otworzyć drogę także do pozostałych kanałów sprzedaży. W takim układzie podstawowy WAF to tania polisa dla całego biznesu, a nie tylko dla strony.
Ochrona panelu logowania sklepu
Panel administratora to najczęściej atakowany adres w sklepie na własnej instalacji. Zamiast liczyć wyłącznie na silne hasło, warto połączyć kilka mechanizmów: limit nieudanych prób logowania, regułę WAF ograniczającą liczbę zapytań do strony logowania z jednego adresu, weryfikację dwuetapową dla wszystkich administratorów, a jeśli zespół pracuje z kilku stałych lokalizacji - dostęp do panelu tylko z określonych adresów IP lub po dodatkowym uwierzytelnieniu. Każdy z tych kroków jest prosty, a razem skutecznie zatrzymują ataki polegające na zgadywaniu haseł.
Czego WAF nie załatwi
Zapora aplikacyjna to jedna warstwa ochrony, a nie rozwiązanie wszystkich problemów. Nie chroni przed przejęciem konta administratora, jeśli ktoś zaloguje się prawidłowym, wykradzionym hasłem. Nie zastąpi aktualizacji - wirtualne łatanie daje czas, ale luka w kodzie wciąż istnieje. Nie przywróci danych po awarii, więc nadal potrzebujesz kopii zapasowych poza serwerem. I nie zatrzyma pracownika, który kliknie w link w fałszywym mailu. Dlatego WAF ma sens w połączeniu z weryfikacją dwuetapową, aktualizacjami i porządkiem w uprawnieniach.
Jak wdrożyć WAF w sklepie bez blokowania sprzedaży
Źle skonfigurowana zapora potrafi zaszkodzić bardziej niż jej brak. Najczęstszy problem to fałszywe alarmy, czyli zablokowanie prawidłowego ruchu: powiadomień z bramki płatności o opłaceniu zamówienia, zapytań od systemu zamówień synchronizującego stany z marketplace'ami czy robotów Google Merchant Center pobierających dane produktów. Żeby tego uniknąć, wdrażaj zaporę w kilku krokach:
Spisz integracje - bramki płatności, kurierzy, system zamówień, porównywarki, feed produktowy, narzędzia marketingowe.
Zacznij od trybu obserwacji - jeśli zapora go oferuje, przez kilka dni tylko loguj podejrzany ruch, zamiast go blokować.
Dodaj wyjątki - dla adresów i ścieżek używanych przez zaufane integracje, zgodnie z dokumentacją ich dostawców.
Włącz blokowanie - najpierw dla najgroźniejszych kategorii ataków i panelu logowania.
Przetestuj zakupy - złóż testowe zamówienie z płatnością i sprawdź, czy status zmienia się automatycznie.
Przeglądaj logi - co tydzień na początku, potem co miesiąc, żeby wyłapać zablokowane prawidłowe zapytania.
[#uwaga] Przy WAF w chmurze, który działa jako pośrednik (reverse proxy), serwer sklepu widzi adresy IP zapory zamiast adresów klientów. Jeśli sklep, wtyczka bezpieczeństwa lub system antyfraudowy korzysta z adresu IP kupującego, trzeba skonfigurować przekazywanie prawdziwego adresu. Inaczej logi i blokady będą dotyczyć adresów zapory, a nie atakujących.
Warto też pamiętać, że WAF w chmurze chroni tylko wtedy, gdy nie da się go obejść. Jeśli adres IP serwera jest publicznie znany, atakujący może wysyłać zapytania bezpośrednio do niego. Dlatego po wdrożeniu dobrze jest ograniczyć na serwerze ruch HTTP do adresów dostawcy zapory, o ile hosting na to pozwala. Na tanim hostingu współdzielonym bywa to niemożliwe - to jeden z powodów, dla których rosnące sklepy przechodzą na VPS, co opisujemy w porównaniu
Jak Vinson pomaga wdrożyć firewall i WAF dla sklepu
Vinson to agencja e-commerce z Bochni działająca od 2021 r., certyfikowany partner Base i autoryzowany partner Shoper, oceniana na 4,9/5 ze 171 opinii przez klientów z ponad 500 firm. W ramach
Najczęściej zadawane pytania
Czym różni się firewall od WAF?
Zwykły firewall filtruje ruch sieciowy na podstawie adresów IP i portów, więc decyduje, kto w ogóle może połączyć się z serwerem. WAF analizuje treść zapytań do strony, czyli adresy, parametry i dane z formularzy, i blokuje ataki na samą aplikację, takie jak SQL injection czy XSS. Sklep internetowy korzysta z obu, ale za WAF odpowiada zwykle właściciel strony, a nie hosting.
Czy darmowy Cloudflare wystarczy jako WAF dla małego sklepu?
Dla wielu małych sklepów darmowy plan to dobry start, bo daje ochronę przed atakami DDoS i podstawowy zestaw reguł zarządzanych. Pełniejsze reguły, w tym zestaw OWASP, i rozbudowane zarządzanie botami są dostępne w planach płatnych. Jeśli sklep jest częstym celem ataków albo działa na wielu wtyczkach, warto rozważyć wyższy plan lub połączenie z wtyczką bezpieczeństwa.
Czy sklep na WooCommerce potrzebuje WAF?
Tak, sklep na WordPressie i WooCommerce to częsty cel automatycznych ataków na luki we wtyczkach i panel logowania. Podstawowy WAF w chmurze lub w postaci wtyczki bezpieczeństwa znacząco ogranicza ten ruch. Nie zwalnia jednak z regularnych aktualizacji i kopii zapasowych.
Czy WAF spowalnia sklep internetowy?
WAF w chmurze zwykle nie spowalnia sklepu, a w połączeniu z pamięcią podręczną dostawcy może nawet przyspieszyć ładowanie stron. Wtyczka bezpieczeństwa działająca na serwerze zużywa część jego zasobów, co na słabym hostingu bywa odczuwalne. Warto zmierzyć czas ładowania przed wdrożeniem i po nim.
Czy sklep na platformie w abonamencie potrzebuje firewalla?
Zazwyczaj nie trzeba wdrażać osobnej zapory, bo ochroną serwerów i aplikacji zajmuje się dostawca platformy. Właściciel odpowiada za bezpieczeństwo kont administratorów, weryfikację dwuetapową i skrypty, które sam dodaje do szablonu. Zasady dostawcy warto sprawdzić w jego dokumentacji.
Jeśli chcesz sprawdzić, czy Twój sklep potrzebuje zapory aplikacyjnej, i wdrożyć ją bez ryzyka dla płatności i integracji,
Łukasz Palej
Technical Implementation Expert
Wsparcie IT dla firm i sklepów
Łukasz i nasz zespół pomogą Ci wdrożyć to na Twoim koncie - bez zobowiązań.
- Analiza Twojego konta i obecnych działań
- Konkretny plan poprawek do wdrożenia
- Bezpłatna konsultacja – bez zobowiązań
Przeczytaj także
Więcej porad z naszej bazy wiedzy - przesuń, aby zobaczyć kolejne artykuły.
Wybierz dogodny termin w kalendarzu - bez wymiany maili w tę i z powrotem.