WAF

O NNumbers WAF é um produto irmão que protege a sua API na mesma borda do gateway. Ele inspeciona as requisições antes de elas chegarem à autenticação e ao seu backend.

O que a Console mostra

A tela de WAF é somente leitura. Ela responde se a API está protegida e em que estado está o vínculo:

Campo	O que é
protected_by_waf	true apenas quando o estado é APPLIED (confirmado nas réplicas)
attachment_id	identificador do vínculo entre a API e a política do WAF
policy_ref	a política do WAF aplicada
state	PENDING, APPLIED, FAILED ou REMOVING
applied_generation	geração da política efetivamente aplicada
updated_at	quando o vínculo mudou pela última vez

Sem vínculo, protected_by_waf é false e os demais campos vêm nulos.

Estados

Estado	Significado
PENDING	o vínculo está sendo aplicado
APPLIED	aplicado e confirmado nas réplicas — é o único estado em que a API conta como protegida
FAILED	a aplicação falhou
REMOVING	o vínculo está sendo removido

Quem liga e desliga

A Console não liga o WAF. Quem cria e remove o vínculo é o control plane do NNumbers WAF. Não existe botão de "ativar WAF" na tela, e a API administrativa do gateway não oferece PUT nem DELETE para esse recurso: o dono da API só consulta o estado.

Se você precisa de proteção WAF na sua API, fale com quem opera a proteção na sua organização.

Ordem no caminho da requisição

Com WAF no caminho, a ordem efetiva é:

TLS → limite de taxa → WAF → autenticação e cota → o seu backend

Consequências práticas:

• um bloqueio do WAF aparece como 403 (do WAF), não como erro da autenticação da API;
• a ferramenta de teste da API passa pelo WAF como qualquer chamada, então um bloqueio aparece no resultado do teste;
• o consumo continua sendo contado uma vez, mesmo com o WAF no caminho.

O que fazer quando o estado não é APPLIED

Estado	O que fazer
PENDING	aguarde a confirmação nas réplicas; o vínculo já está registrado
FAILED	a política não foi aplicada: acione quem opera o WAF
REMOVING	aguarde a remoção terminar antes de pedir um novo vínculo
sem vínculo	a API não está protegida; peça a proteção a quem opera o WAF

Enquanto o vínculo não está APPLIED, trate a API como não protegida — é o que o campo protected_by_waf informa.

Limitações declaradas

• A Console não cria, altera nem remove vínculo de WAF.
• O estado exibido é o do vínculo, não um histórico de bloqueios: para ver o que o WAF bloqueou, use a console do produto WAF.
• Uma API tem um vínculo por vez.

Próximos passos

• Segurança e autenticação: a camada seguinte do caminho.
• Logs de acesso: o que o gateway registra de cada requisição.
• Erros e diagnóstico: 403 de WAF e 403 de autorização.