WAF vs firewall: het verschil en wat jouw bedrijf nodig heeft

De korte versie: een firewall beschermt je netwerk en een WAF beschermt je website. Een gewone netwerkfirewall bepaalt wie er überhaupt binnen mag komen, op basis van IP-adressen, poorten en protocollen. Een WAF (web application firewall) kijkt naar wat er wordt verstuurd naar je website of webshop, en houdt kwaadaardige verzoeken tegen voordat ze je applicatie bereiken. Je kiest dus niet tussen de twee: voor de meeste bedrijven met een website, webshop of klantportaal zijn het twee lagen die elkaar nodig hebben. Hoe goed die lagen werken, hangt af van hoe ze zijn ingesteld en bijgehouden. Daarom laten veel mkb-bedrijven dat beheer over aan één vaste partij zoals NLXS, die bereikbaar is en problemen binnen één dag oplost.

Kort samengevat

• Netwerkfirewall: filtert verkeer op netwerkniveau (IP-adressen, poorten, protocollen) en beschermt je hele kantoor- of servernetwerk.
• WAF: inspecteert de inhoud van webverkeer (HTTP en HTTPS) en blokkeert aanvallen op je website, zoals SQL-injectie en cross-site scripting.
• Geen vervanging: een WAF stopt geen aanvallen op open poorten, en een netwerkfirewall ziet niet wat er in een formulier wordt getypt. Je hebt dus allebei nodig.
• Wanneer een WAF zeker loont: bij webshops, websites met inlog of klantgegevens en bedrijfskritische webapplicaties.
• Beheer is de echte opgave: regels, updates en controle op foutieve blokkades vragen continu aandacht. Dat besteed je het makkelijkst uit.

Inhoudsopgave

• Het verschil in één oogopslag
• Wat een netwerkfirewall doet
• Wat een WAF doet
• Een voorbeeld uit de praktijk
• Waarom het twee lagen zijn en geen keuze
• Wanneer heeft jouw bedrijf een WAF nodig?
• Zo regel je beide lagen goed, in vijf stappen
• Wat de Nederlandse richtlijnen ervan zeggen
• Beveiliging die gewoon geregeld is
• Hoe wij ernaar kijken
• Veelgestelde vragen
• Bronnen

Het verschil in één oogopslag

Voordat we de details ingaan, zetten we de twee naast elkaar. Zo zie je meteen waarom ze elk een eigen taak hebben.

De laagnummers komen uit het OSI-model, een indeling die netwerkverkeer opdeelt in zeven lagen: van de kabel (laag 1) tot de toepassing die je gebruikt (laag 7). Hoe hoger de laag, hoe meer de firewall begrijpt van wat er écht wordt verstuurd.

Wat een netwerkfirewall doet

Een netwerkfirewall is de poortwachter van je netwerk. Hij werkt met regels als: dit verkeer mag naar binnen, dat verkeer niet. Een mailserver mag bijvoorbeeld verkeer ontvangen op de poort voor e-mail, terwijl beheertoegang tot een server alleen open staat voor een vast IP-adres van je kantoor.

Het Amerikaanse standaardeninstituut NIST onderscheidt in zijn richtlijn over firewalls drie klassieke typen:

1. Packet-filtering firewall: bekijkt elk los datapakketje op afzender, bestemming en poort, en laat het door of niet.
2. Stateful-inspection firewall: houdt bij welke verbindingen er lopen, in een zogenoemde state table, en blokkeert pakketten die niet passen bij een bestaande, verwachte verbinding.
3. Application-proxy gateway: gaat een stap verder en kan de inhoud van het verkeer van een specifieke toepassing beoordelen.

De meeste firewalls in kantoren en serverruimtes zijn vandaag stateful. Ze zijn uitstekend in het dichthouden van alles wat dicht hoort te zijn. Wat ze niet doen, is lezen wat een bezoeker in het zoekveld van je webshop typt. Voor een firewall is dat gewoon toegestaan webverkeer op poort 443, de standaardpoort voor HTTPS.

Wil je weten welke regels voor een klein kantoor verstandig zijn, dan vind je in ons overzicht van firewallregels voor het mkb een praktische kieshulp.

Wat een WAF doet

Een WAF is in feite die derde soort uit het rijtje van NIST, gespecialiseerd in webverkeer. Hij staat als tussenstation (een reverse proxy) vóór je webserver. Elk verzoek van een bezoeker gaat eerst langs de WAF, die het naast zijn regels legt. Lijkt een verzoek op een bekende aanval, dan wordt het tegengehouden of gelogd voordat het je website of database bereikt.

De internationale stichting voor veilige webapplicaties, OWASP, beschrijft in haar best practices voor WAF’s twee manieren om die regels op te zetten:

• Blacklist: de WAF blokkeert verkeer dat lijkt op bekende aanvalspatronen. Snel in te zetten en effectief tegen veelvoorkomende aanvallen.
• Whitelist: de WAF krijgt een nauwkeurige beschrijving van wat je applicatie normaal ontvangt, en alles daarbuiten valt op. Strakker, maar het vraagt kennis van je eigen website.

In de praktijk combineer je ze. Bekende aanvallen worden op patroon herkend, terwijl gevoelige onderdelen zoals een inlogpagina of betaalstap strakker worden ingesteld.

Waar richt een WAF zich op? Vooral op aanvallen die via gewone webformulieren en links binnenkomen:

• SQL-injectie: een aanvaller stopt databasecommando’s in een invoerveld, in de hoop klantgegevens op te vragen of te wijzigen.
• Cross-site scripting (XSS): kwaadaardige code wordt via je website bij andere bezoekers uitgevoerd.
• Misbruik van inlogpagina’s: duizenden wachtwoordpogingen achter elkaar op je beheeromgeving.
• Overbelasting via webverzoeken: een stortvloed aan verzoeken op laag 7 die je site traag of onbereikbaar maakt.

NLXS

Bespreek je webbeveiliging bij NLXS

Je kunt er terecht voor hosting en ICT-diensten die aansluiten op de behoeften van jouw organisatie.

NLXS

Lage Mosten 51, 4822 NK Breda

Bekijk de route

© OpenStreetMap contributors

Een voorbeeld uit de praktijk

Neem een webshop die draait op WordPress met een webwinkelplugin. Op één dag komen er twee soorten aanvallen binnen.

Aanval 1: een poortscan. Een geautomatiseerd script zoekt het hele internet af naar servers waarop een beheerpoort openstaat, bijvoorbeeld voor databasebeheer of externe toegang. De netwerkfirewall ziet dat iemand op een poort klopt die dicht hoort te zitten en laat het verkeer niet door. Een WAF had hier niets gedaan: dit is geen webverkeer.

Aanval 2: een gemanipuleerd zoekveld. Een ander script typt in het zoekveld van de webshop geen productnaam, maar een stukje databasecode. Voor de netwerkfirewall is dit een normaal HTTPS-verzoek op een poort die open móét staan, anders kan niemand je shop bezoeken. De WAF leest de inhoud, herkent het patroon van SQL-injectie en blokkeert het verzoek.

Dit voorbeeld laat zien waarom de vraag “WAF of firewall” eigenlijk niet bestaat. Elke laag vangt precies het verkeer op dat de ander mist.

Waarom het twee lagen zijn en geen keuze

NIST beschrijft netwerkfirewalls als middel om toegang en verbindingen te beheersen, en proxy-achtige controles als manier om de inhoud van applicatieverkeer te beoordelen. Dat zijn twee verschillende taken. Beveiligingsspecialisten noemen dit gelaagde beveiliging: elke laag vangt iets anders op, en een fout in de ene laag wordt opgevangen door de volgende.

OWASP benadrukt daarnaast dat een WAF een aanvulling is op veilig gebouwde software. Een website die goed is ontwikkeld, regelmatig wordt bijgewerkt en getest, plus een WAF ervoor, plus een netwerkfirewall rond de server: dat is de combinatie waar je naartoe wilt.

Voor jou als ondernemer betekent dit één ding: vraag niet welke van de twee je nodig hebt, maar wie ervoor zorgt dat beide lagen goed staan en goed blijven staan.

Wanneer heeft jouw bedrijf een WAF nodig?

Een netwerkfirewall heeft vrijwel elk bedrijf nodig, al was het maar rond het kantoornetwerk en de wifi. De vraag naar een WAF hangt af van wat je online hebt draaien. OWASP noemt een WAF vooral waardevol bij webapplicaties die bedrijfskritisch zijn, uit meerdere onderdelen bestaan of niet snel aan te passen zijn, en noemt online shops daarbij met name.

Loop deze lijst eens langs:

• Je hebt een webshop. Je verwerkt bestellingen, adressen en soms betaalgegevens. Een gehackte shop kost omzet én vertrouwen.
• Je neemt betalingen met kaarten aan via je eigen site. De betaalkaartnorm PCI DSS 4.0 vraagt in eis 6.4.2 om een geautomatiseerde oplossing die publieke webapplicaties beschermt tegen webaanvallen. Een WAF is daar het bekendste voorbeeld van.
• Klanten of medewerkers loggen in op je website. Denk aan een klantportaal, een ledenomgeving of een boekingssysteem.
• Je site draait op een CMS met veel plugins. Elke plugin is een extra stukje code dat een zwakke plek kan bevatten. Een WAF geeft je tijd tot de update er is.
• Je hebt een oudere of maatwerkapplicatie. Als aanpassen lastig of duur is, beschermt een WAF de applicatie zonder dat je de code hoeft te veranderen. Dat is volgens OWASP precies het grote voordeel.

Herken je jezelf in één of meer punten, dan hoort een WAF in je beveiliging thuis. Heb je alleen een eenvoudige informatieve website zonder formulieren of inlog, dan is goede hosting met een beheerde server en een goed ingestelde netwerkfirewall de basis waar je mee begint.

Voor webshops hebben we de belangrijkste maatregelen op een rij gezet in beveiliging van webshophosting in 9 stappen.

Zo regel je beide lagen goed, in vijf stappen

1. Breng in kaart wat je hebt

Welke websites, webshops, servers en kantoorapparaten heb je, en waar draaien ze? Veel ondernemers weten niet precies welke poorten openstaan of welke plugins er op hun site staan. Hier gaat het vaak al mis: je beveiligt wat je kent, en vergeet de oude testsite of het vergeten beheerportaal. Met een ICT-scan van NLXS krijg je dit overzicht in één keer, inclusief advies over wat beter of goedkoper kan.

2. Zet de netwerkfirewall op slot

Het uitgangspunt is: alles dicht, behalve wat echt open moet. Beheertoegang alleen vanaf vertrouwde adressen, gastwifi gescheiden van het bedrijfsnetwerk, en regelmatig nalopen of oude regels nog nodig zijn. Het grootste risico is een regel die ooit tijdelijk is opengezet en nooit meer dicht is gegaan. Bij netwerkbeheer voor kleine bedrijven nemen wij dit onderhoud van je over.

3. Zet een WAF voor je website of webshop

Kies regels die passen bij je platform. Een WordPress-shop heeft andere zwakke plekken dan een maatwerkportaal. Begin met bescherming tegen bekende aanvalspatronen en maak gevoelige onderdelen, zoals de inlog- en afrekenpagina, strakker.

4. Houd de foutieve blokkades in de gaten

Een te strenge regel kan een echte klant tegenhouden, bijvoorbeeld iemand met een apostrof in zijn achternaam. Kijk daarom in de eerste weken mee in de logboeken en stel bij waar nodig. Dit is het werk dat vaak blijft liggen als niemand er verantwoordelijk voor is.

5. Blijf bijwerken en controleren

Aanvallers veranderen hun methodes, dus regels, software en plugins moeten bijblijven. Plan een vast moment om updates door te voeren en de instellingen na te lopen. Wie dit aan een vaste beheerpartij overlaat, hoeft er niet zelf aan te denken.

Wat de Nederlandse richtlijnen ervan zeggen

Het Nationaal Cyber Security Centrum (NCSC) publiceert de ICT-beveiligingsrichtlijnen voor webapplicaties, een veelgebruikt kader om de beveiliging van websites en webapplicaties aan te toetsen. Op 17 april 2026 zijn alle teksten herschreven, met onder meer aandacht voor phishingbestendige inloggen, REST-API’s en nieuwe browserstandaarden voor headers en cookies. De structuur bleef hetzelfde.

Organisaties die DigiD gebruiken, hebben te maken met de DigiD-norm van Logius, een selectie uit die NCSC-richtlijnen. Daarin staan zowel netwerkmaatregelen, zoals scheiding van netwerken en detectie van netwerkverkeer, als maatregelen voor de webapplicatie zelf, zoals veilige verwerking van invoer. Ook hier zie je dus beide lagen terug.

Voor een gewoon mkb-bedrijf zijn deze richtlijnen geen wettelijke plicht, maar wel een goede maatstaf voor wat “goed beveiligd” betekent.

Beveiliging die gewoon geregeld is

Een WAF en een firewall zijn pas waardevol als iemand ze goed instelt, bijhoudt en ingrijpt als er iets misgaat. Bij NLXS beheren we hosting, servers, netwerken en wifi voor mkb-bedrijven, webshops en webdevelopers, tegen een vast maandbedrag zonder verrassingen. Je belt ons direct, en we lossen problemen binnen één dag op.

Draait je webshop of bedrijfssite op WordPress? Bekijk dan onze WordPress-hosting voor het mkb. Wil je dat we je netwerk, servers en werkplekken in één keer meenemen, kijk dan bij onze beheerde ICT-diensten of start met een ICT-scan.

Hoe wij ernaar kijken

Als ondernemers ons vragen of ze een WAF of een firewall nodig hebben, is ons antwoord bijna altijd: allebei, en vooral iemand die er echt naar kijkt. De techniek is er al lang. Het verschil zit in het beheer.

Een firewall die vijf jaar geleden is ingesteld en daarna nooit meer is bekeken, geeft een vals gevoel van veiligheid. Hetzelfde geldt voor een website waarvan de plugins al maanden op een update wachten. Dat is geen verwijt aan ondernemers: je hebt een bedrijf te runnen, en ICT hoort je daarbij te helpen, niet bezig te houden.

Daarom hebben we NLXS opgezet zoals we het hebben gedaan. Persoonlijk bereikbaar, een vaste prijs per maand, en als er iets is, lossen we het binnen één dag op. Organisaties als de TU Eindhoven en JCI Breda vertrouwen voor hun hosting en infrastructuur op ons, en dezelfde aandacht geven we aan de webshop of het kantoor om de hoek.

Twijfel je hoe je beveiliging er nu voor staat? Begin met een ICT-scan. Dan weet je waar je staat, en wat er beter en vaak ook voordeliger kan.

Ken

Veelgestelde vragen

Is een WAF een laag 7-firewall?

Ja. Een WAF werkt op de applicatielaag, laag 7 van het OSI-model, en leest de inhoud van webverzoeken zoals formulierdata, URL’s en cookies. Een gewone netwerkfirewall werkt op laag 3 en 4 en kijkt naar adressen, poorten en verbindingen.

Kan een WAF mijn gewone firewall vervangen?

Nee. Een WAF beschermt alleen webverkeer naar je website of webapplicatie. Aanvallen op open poorten, je kantoornetwerk of andere diensten dan je website vallen daarbuiten, en die vang je op met een netwerkfirewall.

Heeft een kleine webshop echt een WAF nodig?

Voor een webshop is een WAF een verstandige laag, omdat je klantgegevens en bestellingen verwerkt en vaak veel plugins gebruikt. OWASP noemt online shops expliciet als toepassing waar een WAF waarde toevoegt. Neem je kaartbetalingen via je eigen site aan, dan vraagt PCI DSS 4.0 bovendien om geautomatiseerde bescherming van je webapplicatie.

Wat zijn de drie soorten firewalls?

NIST onderscheidt packet-filtering firewalls, stateful-inspection firewalls en application-proxy gateways. De eerste twee werken op netwerkniveau, de derde beoordeelt de inhoud van applicatieverkeer. Een WAF is een gespecialiseerde vorm van dat derde type, gericht op websites.

Wie stelt de WAF en firewall voor mij in?

Dat kan je hostingpartij of ICT-beheerder doen. Bij NLXS beheren we hosting, netwerken en servers voor mkb-bedrijven tegen een vast maandbedrag, en zijn we direct telefonisch bereikbaar. Wil je eerst weten hoe je er nu voor staat, dan is een ICT-scan de logische eerste stap.

Bronnen

NIST SP 800-41 Rev. 1: Guidelines on Firewalls and Firewall Policy OWASP: Best Practices, Use of Web Application Firewalls SC Media: PCI DSS 4.0, what changes for AppSec NCSC: ICT-beveiligingsrichtlijnen voor webapplicaties Logius: Norm ICT-beveiligingsassessments DigiD

Aanbevelingen

• Firewall regels MKB: praktische regels en kieshulp