Segurança

O WAF só faz o trabalho dele se a origem não puder ser alcançada por outro caminho. Esta página reúne as decisões de segurança que ficam do seu lado e o que a NNumbers assume.

Proteção da origem

O WAF não impede ataque direto à origem. Se o hostname do servidor continua resolvendo para o público e aceitando conexão de qualquer lugar, um atacante fala com ele sem passar pela inspeção — e o evento nunca aparece na Console.

Medida	Efeito
Restringir a origem aos endereços de saída da NNumbers	Só o tráfego da borda alcança o servidor
Não publicar o endereço da origem em DNS público	Reduz descoberta direta
Manter o firewall da origem fechado para o resto	Fecha o contorno
Não usar o mesmo hostname como origem de outro domínio protegido	Evita laço e confusão de cadastro

A lista de endereços de saída é exibida na Console. Ela é a fonte para a regra de firewall da sua origem, e não um endereço único e fixo: aplique a lista inteira e revise quando ela mudar.

DNS e HTTPS

Registro	Papel	Cuidado
_nnwaf-challenge.<hostname> TXT	Prova contínua de propriedade	Manter enquanto o domínio existir; 7 dias ausente degrada o domínio
_acme-challenge.<hostname> CNAME	Autoriza a emissão do certificado antes da troca de tráfego	Criar antes do roteamento para evitar janela de erro
<hostname> CNAME, ou A/AAAA no apex	Leva o tráfego à borda	Trocar somente depois de o certificado estar pronto

O certificado é emitido e renovado pela NNumbers, por Let's Encrypt. A verificação de TLS até a origem é sempre feita e não pode ser desligada: origem com certificado vencido, autoassinado ou com nome divergente responde 502, mesmo que a aplicação esteja no ar.

Dados e retenção

Dado	Tratamento
Eventos	Retidos por 30 dias
Métricas agregadas	Retidas por 12 meses
Authorization, cookies, corpos, query strings, tokens	Não armazenados
Conteúdo da resposta da aplicação	Não inspecionado nem armazenado
Mudanças administrativas	Registradas na auditoria da NNumbers

O evento guarda o suficiente para a decisão técnica — caminho, regra, pontuação, identificador — e deixa de fora o que identifica ou autentica pessoa: credencial, cookie, corpo e parâmetro de consulta.

Papéis e auditoria

Papel	O que pode
WAF Viewer (viewer)	Ver domínios, métricas e eventos
WAF Editor (editor)	Ver, e administrar políticas, regras e exceções
WAF Admin (admin)	Tudo do Editor, mais domínios, ativação e ajustes sensíveis

Toda mudança administrativa é auditada na auditoria da NNumbers: quem mudou, o que mudou e quando. Isso inclui criação de exceção, alteração de política e ativação de domínio.

Responsabilidade compartilhada

Tema	NNumbers	Você
Borda, motor e conjunto de regras	Opera, atualiza em versões testadas, com retrocesso disponível	—
Disponibilidade da borda	Mantém o serviço e aplica a última configuração válida	—
DNS	—	Mantém os registros e a zona
Endurecimento da origem	—	Restringe acesso, mantém patch e TLS
Vulnerabilidades da aplicação	—	Corrige no código
Falsos positivos	Fornece eventos, exceções e versão do conjunto	Ajusta exceções e nível de paranoia

As atualizações do conjunto de regras chegam em versões testadas e versionadas, e o retrocesso é possível. A versão aplicada aparece nos eventos, para você correlacionar um bloqueio novo com uma mudança de conjunto.

Limitações que afetam a segurança

• Ataque volumétrico de camada 3 e 4 não é contido pelo WAF: depende da proteção de rede à frente.
• Corpo de resposta não é inspecionado, então dado sensível devolvido pela aplicação não é filtrado pelo WAF.
• WebSocket passa pela inspeção inicial, mas os quadros depois do upgrade não são avaliados.
• A limitação de taxa vale por instância de borda, então não é um teto global rígido.
• Corpo acima do limite da política é recusado com 413; o limite não é ignorado em silêncio.

Próximos passos

• Eventos e exceções — auditoria do ajuste fino.
• Solução de problemas — 502 e certificado da origem.
• API — permissões e autenticação no acesso programático.