V skratke:
- WAF (Web Application Firewall) kontroluje požiadavky na web a blokuje pokusy o prienik, napríklad zneužitie chyby v plugine alebo vloženie kódu do formulára.
- Nemusíte nič inštalovať. WAF je súčasťou ochranných služieb pred webom: WEDOS Protection má spravovaný WAF aj v tarife Free, Cloudflare má základné pravidlá zadarmo.
- WAF znižuje riziko, ale nenahradí aktualizácie webu, silné heslá a zálohy.
Pred čím WAF chráni
| Útok | Čo útočník skúša | Čo urobí WAF |
|---|---|---|
| SQL injection | Vložiť do formulára alebo adresy príkaz pre databázu a vytiahnuť z nej dáta. | Spozná typické časti príkazov a požiadavku zablokuje. |
| XSS | Vložiť do stránky skript, ktorý sa spustí ostatným návštevníkom. | Zablokuje požiadavky so skriptom v parametroch. |
| Zneužitie známej chyby | Využiť zraniteľnosť v neaktualizovanom plugine alebo šablóne. | Spravované pravidlá chránia pred známymi zraniteľnosťami, často skôr, než stihnete aktualizovať. |
| Hádanie hesiel | Skúšať tisíce hesiel na prihlásenie do administrácie. | Obmedzí počet pokusov alebo ukáže overenie, že nejde o robota. |
| Aplikačný DDoS | Zahltiť web požiadavkami, ktoré vyzerajú ako bežné návštevy. | S obmedzením počtu požiadaviek útok zmierni. Viac na stránke DDoS útok. |
Ako to vyzerá v praxi: PHP2SHELL a WP2SHELL v októbri 2026
Počas niekoľkých mesiacov sa objavili dve rodiny kritických chýb, ktoré umožňujú spustiť na serveri cudzí kód bez prihlásenia: PHP2SHELL priamo v PHP (CVE-2026-109618 a CVE-2026-109619, oprava vydaná 21. októbra 2026) a WP2SHELL v jadre WordPressu. WEDOS v blogu 22. októbra popísal, čo urobil:
- pri PHP2SHELL jeho ochranná vrstva podľa vlastných slov za prvý deň odrazila desaťtisíce požiadaviek ešte pred aplikáciou, záplatu PHP medzitým nasadil na všetky webservery,
- pri WP2SHELL pridal do WEDOS Protection nové pravidlo WAF, ktoré blokuje adresu REST API používanú pri útoku (
/wp-json/batch/v1), ostatnú prevádzku webu neovplyvní.
WEDOS zároveň píše, že pravidlo WAF blokuje len známu cestu útoku a jedinou úplnou opravou je aktualizácia. To je presne limit WAF: skráti čas, keď je web bez ochrany, PHP a WordPress ale aktualizovať musíte. Pri zdieľanom hostingu PHP aktualizuje hosting, na vlastnom serveri vy. Čísla sú z blogu WEDOS, nezávisle ich overiť nevieme.
Pred čím WAF nechráni
- Ukradnuté heslo: kto sa prihlási správnym heslom, vyzerá ako vy. Pomôže dvojfázové prihlásenie.
- Neznáma chyba vo vašom kóde: všeobecné pravidlá zachytia len typické vzory útokov.
- Útok, ktorý ide priamo na server: keď útočník pozná skutočnú IP adresu hostingu, WAF obíde. Hosting by mal púšťať len prevádzku cez ochrannú službu.
- Strata dát: na to sú zálohy mimo hostingu.
Kde mať WAF a koľko stojí
| Služba | WAF zadarmo | Platený tarif | |
|---|---|---|---|
| WEDOS Protectionk akémukoľvek hostingu, dáta v EÚ | Spravovaný WAF podľa OWASP a vlastných pravidiel WEDOS v tarife Free | 99 € ročneNoLimit: pokročilý WAF (RCE, XSS, SQLi), wildcard, logy 1 týždeň. Všetky tarify | Cenník |
| WEDOS Protection pri hostingu WEDOSpre weby na hostingu WEDOS | WAF v tarife NoLimit, zadarmo do vypršania domény | 120 CZK ročneasi 4,92 €, po skončení bezplatného obdobia | Zľavy WEDOS |
| Cloudflareamerická firma | Základné spravované pravidlá v tarife Free | 20 USD (asi 17,97 €) mesačnePro pri ročnej platbe, rozšírené pravidlá WAF | Cenník |
Ceník WEDOS Protection neuvádza, či sú ceny s DPH, pri hostingu WEDOS je cena len v korunách. Prepočet kurzom ECB z 11. novembra 2026. Na odkazy na WEDOS máme partnerskú zmluvu, s Cloudflare nie. Firmy, na ktoré sa vzťahuje NIS2, nájdu tarify s dlhšími logmi v cenníku WEDOS Protection, povinnosti na stránke NIS2 na Slovensku.
Pre WordPress existujú aj WAF ako plugin (napríklad Wordfence). Beží ale na tom istom serveri ako web, takže útok spracúva až hosting. Služba pred webom ho zastaví skôr. Ďalšie pojmy ako CDN a anycast vysvetľujeme na stránke Ochrana webu.