A hagyományos tűzfal portok és IP-címek szerint dönt, a WAF viszont a kérés tartalmát nézi: adatbázis-befecskendezést, ismert támadóminták aláírását, gyanús fájlfeltöltést keres. Futhat a szerveren (például ModSecurity) vagy szolgáltatásként a weboldal előtt (például Cloudflare).
Mire elég és mire nem
Egy új sebezhetőségnél a WAF-szolgáltatók gyakran órákon belül kiadnak szűrőszabályt, ami értékes időt ad a frissítésig. A WAF viszont nem javítja a hibát: csak a rajta átmenő forgalmat látja, a szerver közvetlen címén át megkerülhető. A ritkább kérésformákat sem mindig ismeri fel.
A WAF tehát egy réteg a sok közül, a frissítést nem helyettesíti.