De Web applicatie firewall (WAF) is een opkomende categorie firewall die zich bevindt tussen de webclient en webserver, en berichten van OSI Laag 7 controleert op overtredingen van ingestelde security policies. De WAF wordt gebruikt als een security oplossing die de webserver tegen aanvallen beschermt, aldus de definitie van het Web Application Security Consortium (WASC).

Een Web applicatie firewall kan het verschil betekenen tussen het overhaast patchen van een lek, door de applicatie offline te nemen of het reparen van de kwetsbaarheid wanneer het de eigenaar uitkomt.

"Met een Web applicatie firewall kun je observeren, monitoren en zoeken naar mogelijke aanvallen. Als je geen Web applicatie firewall voor de applicatie hebt zitten, dan weet je niet wat er gebeurt en heb je geen controle" zegt Ivan Ristic van Thinking Stone.

Ristic geeft wel toe dat WAFs geen magische oplossing zijn. "Om te beginnen moeten applicaties veilig zijn, wat vaak erg lastig blijkt. Web applicaties zullen nooit 100% veilig zijn. Je moet over een strategie en meerlaagse verdediging beschikken".

Volgens de Yankee Group zullen web applicatie firewalls binnen een aantal jaren verdwijnen en in "application assurance platforms" worden opgenomen, die WAFs, database security, XML security gateways en application traffic management combineren.