本文介绍Web应用防火墙（Web Application Firewall，简称WAF）的产品功能和对应的文档动态。
更多关于Web应用防火墙的产品动态信息，请参见产品动态。
2023年
发布日期 | 功能动态 | 发布说明 | 相关文档 |
2023-07-14 | WAF支持域名DNS状态检测功能 | WAF会对接入的域名进行DNS状态检查，快速识别DNS解析异常的风险域名，避免网站业务被影响。 | |
2023-06-21 | WAF支持域名归属权验证 | 首次添加域名时，需要验证操作者是否拥有主域名的归属权。验证通过后，您再次添加该主域名下的任意域名时，无需再次验证。 |
2022年
发布日期 | 功能动态 | 发布说明 | 相关文档 |
2022-09-23 | 支持配置自定义header获取客户端真实源端口 | WAF接入配置支持启用“流量标记”，选择“客户端真实源端口”。通过配置真实客户端源端口所在的头部字段名，WAF可记录该头部字段并将该头部字段传递回源站。 | |
2022-08-24 | 回源超时时间支持自定义配置 | WAF接入配置支持新建连接、读连接、写连接超时时间自定义，用户可以根据自身业务情况，灵活调整以满足业务需求。 | |
2022-07-25 | WAF 2.0 API安全新版控制台发布 | 将资产梳理、风险识别、攻击监测三项主要能力区分展示，用户可操作性更强。 | |
2022-04-18 | WAF 2.0防爬动态令牌能力发布 | 防爬场景化配置新增动态令牌验证，主要提升人机校验的安全性和兼容性等问题。具体原理为Web端请求加签。客户端发送请求时经过了WAF下发的WebSDK针对请求进行加签保护，并将签名随请求上报。如果加签验签正常，则该请求直接回源，否则会返回一段动态令牌执行代码请求并要求客户端重新加签。 | |
2022-01-19 | WAF 2.0 Web规则防护引擎支持智能规则托管 | 通过配置规则防护引擎，自动为网站防御SQL注入、XSS跨站、WebShell上传、命令注入、后门隔离、非法文件请求、路径穿越、常见应用漏洞攻击等通用的Web攻击。 |
2021年
发布日期 | 功能动态 | 发布说明 | 相关文档 |
2021-09-18 | 网站接入支持自定义Header记录客户端IP | 您在添加网站到WAF防护时，可以通过开启流量标记功能，使WAF在客户端请求的自定义Header字段（由您指定）中写入客户端IP。开启该功能后，您的后端服务器可以从WAF回源请求的指定Header字段中获取客户端IP。 该功能适用于您的后端服务器有定制的记录客户端IP的Header字段。 CNAME接入和透明接入均支持该功能。 | |
2021-08-13 | WAF日志服务升级 | WAF日志服务升级，具体包含以下特性改进：
| |
2021-07-30 | 网站接入支持配置回源SNI | 网站接入配置（CNAME接入）中新支持启用回源SNI设置。如果您的网站业务支持HTTPS，且源站服务器上有多个虚拟主机，您可以在选中HTTPS协议后，开启回源SNI，使WAF在回源请求中添加SNI字段，指定要访问的主机。 | |
2021-06-22 | 自定义防护策略的匹配条件支持设置服务器端口 | 企业版及以上版本的WAF实例，在自定义防护策略规则时，可以使用Server-Port作为匹配字段，实现基于请求的目的端口，自定义访问控制或CC安全防护策略。 | |
2021-06-19 | 透明接入支持防护ALB实例上的业务 | 您可以通过阿里云负载均衡ALB实例的监听配置，为接入ALB实例的业务一键开启WAF安全防护（基于透明接入模式）。 | |
2021-05-11 | 混合云WAF支持通过控制台自主部署集群及管理节点 | 混合云WAF解决方案新支持以下特性：
| |
2021-05-08 | 网站接入支持自定义Header取客户端源IP | 网站接入配置（CNAME接入）中新支持客户端IP判定方式参数。如果您的网站业务在WAF前有其他七层代理服务（例如，DDoS高防、CDN等），则您可以设置取指定Header字段的值作为客户端源IP，且支持设置多个Header字段，依次取源IP。 | |
2021-04-01 | 网站接入支持设置IPv6格式的服务器IP地址 | 网站接入配置（CNAME接入）中的服务器地址参数支持设置IPv6格式的回源IP地址。该功能适用于对全链路IPv6升级有需求的金融、政企等行业用户。 | |
2021-03-23 | Web总览支持威胁事件分析功能 | WAF总览页面新增威胁事件分析模块，支持基于大量攻击告警的分析生成威胁事件记录，帮助您更清晰直观地了解威胁来源和应对方案。该功能适用于关注Web攻击风险，希望从大量告警中分析出最有价值的威胁事件的场景。 | |
2021-03-18 | Web安全报表支持误报屏蔽 | Web攻击报表支持误报屏蔽操作，能够自动生成针对特定规则ID的白名单规则，并且您可以在Web入侵防护白名单中手动添加基于特定规则ID、规则类型的白名单规则，提升处理误报的体验。该功能适用于对误报敏感，希望以最细粒度控制误报，同时不影响防护效果的企业业务防护场景。 | |
2021-01-29 | 防爬场景化配置上线 | 新增防爬场景化配置功能，您可以基于实际业务场景对防爬规则进行定制，从而更有针对性地对业务进行爬虫风险防护。 | |
2021-01-28 | 透明接入支持四层SLB、ECS | 透明接入支持对四层SLB、ECS实例的Web流量进行防护。 | |
2021-01-15 | 网站接入支持自定义TLS版本和加密套件 | WAF支持为已添加防护的域名自定义TLS协议版本和加密套件，灵活满足不同场景下对HTTPS通信安全合规和兼容性的要求。该功能适用于出于等保合规或者兼容性要求，需要禁用、启用某些特定版本的TLS协议和加密套件的场景。 | |
2021-01-06 | 按量计费2.0版本上线 | WAF按量计费模式已升级到2.0版本。按量计费2.0版本套餐将根据您启用的功能项数量和功能规格的使用量来计算费用。 |
2020年
发布日期 | 功能动态 | 发布说明 | 相关文档 |
2020-10-21 | 安全报表功能优化 | 安全报表功能更新，支持通过规则ID过滤攻击记录。 | |
2020-08-17 | 资产识别功能优化 | 新增资产安全评分和网站资产Web指纹信息，帮助您判断资产中是否存在高危0 day漏洞风险。 说明 资产识别模块支持检测的网站资源覆盖阿里云域名和非阿里云域名（非阿里云域名包括解析至非阿里云服务器的域名和线下IDC机房使用的域名）。 | |
2020-07-09 | 透明接入模式发布上线 | 源站服务器部署在具有公网IP的阿里云ECS实例的业务，支持使用透明接入模式接入Web应用防火墙。透明接入模式下，您无需修改域名DNS解析和设置源站保护，同时也不用改变源站的IP地址，即可直接牵引源站ECS的流量到Web应用防火墙进行防护。 | |
2020-06-04 | 自定义防护规则组体验优化&总览页面功能优化 |
| |
2020-05-18 | 支持Terraform能力 | 面向成熟大企业的运维需求，WAF全面支持Terraform，可以实现用代码管理维护WAF产品的基本操作，包括域名运维和策略管理。 说明 需要控制台手动操作的任务可以通过这个能力用程序来自动化完成，不仅高效而且不易出错。更多信息，请参见Terraform帮助文档。 | 无 |
2020-04-10 | 用户体验优化 | 总览数据下钻到安全报表，安全报表数据下钻到日志服务，完善运营数据闭环体验。
| |
2020-04-02 | Bot管理防护能力上线发布 | Web应用防火墙新增Bot管理和App防护增值服务，满足自动化攻击、Bot流量智能防护，以及面向原生App端的可信通信、防机器脚本滥刷等安全防护。 说明 Bot管理和App防护模块目前仅向2020年1月发布的新版防护引擎开放。如果您使用旧版防护引擎，建议您尽快完成防护能力升级。 | |
2020-03-04 | 智能负载均衡防护能力上线发布 | 智能负载均衡接入防护能力提供多节点、多线路自动容灾能力，打造最优线路的低时延访问体验。 | |
2020-02-14 | 日志服务升级和体验优化 | Web应用防火墙日志服务功能升级优化，支持自定义域名快速开启全量日志等功能。 | 无 |
2020-02-10 | 事件告警能力升级 | Web应用防火墙通过升级告警通知功能，聚焦基础数据和事件生成，支持了安全事件告警、业务监控告警，有效满足用户日常运维诉求。 | |
2020-01-15 | 应用防护能力升级 | Web应用防火墙新一代防护引擎满足精细化限流防护需求，有效防护非法流量访问，同时支持账户安全防护，有效防御常见的CC攻击、撞库、弱口令等行为。 说明 防护能力对全部用户生效，控制台配置能力只针对新购用户，历史保有用户在3月份支持升级使用。 |
2019年
发布日期 | 功能动态 | 发布说明 | 相关文档 |
2019-12-20 | 独享版功能优化升级 | Web应用防火墙独享版支持用户自定义配置域名的超时时长，优化功能体验。 | |
2019-11-28 | 账户安全检测能力发布 | Web应用防火墙账户安全模块协助用户识别登录相关接口上发生的账户安全风险事件，包括撞库、暴力破解、垃圾注册、弱口令嗅探和短信验证码接口滥刷等。 | |
2019-10-25 | 虚拟化独享版发布 | Web应用防火墙独享版支持基于业务防护端口、TLS加密版本和算法、拦截响应页面等定制防护能力，满足用户特殊业务的Web防护需求。 | |
2019-10-22 | 已防护网站资产URL画像功能发布 | Web应用防火墙根据历史正常业务流量，协助用户自动化识别业务URL画像和业务量，方便执行和开通“千人千面”定制防护策略。 | 无 |
2019-10-16 | 总览页面透出防扫描防护能力 | Web应用防火墙总览页面展示防扫描模块拦截总量、已拦截扫描攻击事件列表、扫描攻击事件详情和对应的安全专家处置建议。 | |
2019-09-24 | 资产管理支持一键添加应用防护的能力 | Web应用防火墙资产管理页面展示已接入防护的资产的防护状态，并且支持一键添加资产到Web应用防火墙进行防护的能力。 | |
2019-08-22 | 主动防御能力发布 | Web应用防火墙主动防护能力基于大数据智能学习算法，对用户历史业务流量不断迭代学习，建立“千人千面”的自动化防护策略。 | |
2019-07-30 | 云上网站资产管理功能发布 | Web应用防火墙网站资产管理协助用户全面识别云上网站资产信息，完善网站一键接入防护能力，从而协助用户建立全面、安全的Web应用防御体系。 | |
2019-07-18 | 安全报表中增加Web攻击详情页面 | Web应用防火墙安全报表中增加Web攻击详情页面，展示攻击拦截的具体原因，帮助用户提升安全运维效率和效果。 | |
2019-06-27 | 支持防护基于HTTP2协议的应用 | Web应用防火墙支持基于HTTP2协议的应用流量防护，完善应用协议覆盖率，更全面地防护Web应用防火墙用户的应用业务。 | |
2019-06-13 | 防护配置中支持设置Web解码方式 | Web应用防火墙防护配置中支持用户自定义配置Web解码方式。 | |
2019-05-30 | ACL规则优化 | Web应用防火墙访问控制规则中支持添加多个IP或者IP地址段作为条件匹配内容。 | |
2019-05-30 | 产品总览页面升级 | Web应用防火墙总览页面支持基于海量日志聚合安全运营事件，并提供专家处置建议；提供分类统计攻击总量和TOP域名分布，提升产品的运营能力。 | |
2019-04-30 | IPv6业务的应用防护能力发布 | Web应用防火墙支持一键接入基于IPv6的源站业务系统，无需源站改造。IPv6业务接入即可支持防护，协助用户的IPv6业务系统满足等保合规要求。 | |
2019-03-19 | 防Web攻击扫描功能发布 | Web应用防火墙提供Web扫描指纹的威胁情报库，支持用户自定义Web扫描的封禁频率和时长，并支持自动拦截目录遍历等常见扫描特征请求。 | |
2019-01-03 | 区域IP封禁支持自定义全球指定国家、地区 | Web应用防火墙的区域IP封禁功能支持封禁指定的全球国家/地区。 |
2018年
发布日期 | 功能动态 | 发布说明 | 相关文档 |
2018-12-20 | 网页防篡改API发布 | Web应用防火墙网页防篡改API发布，支持用户以API方式调用网页防篡改的常见操作，包括更新缓存、添加网页防篡改防护等。 | 无 |
2018-12-13 | 自定义Web防护规则组发布 | Web应用防火墙自定义Web防护规则组发布，能够针对自身业务设置特定规则，避免默认规则误触发拦截，保障业务安全。 | |
2018-11-16 | 支持长达一年的业务日志存储 | Web应用防火墙支持通过日志服务SLS的集成功能实时采集已接入Web应用防火墙防护的网站业务日志，并提供日志实时检索与分析服务。 | |
2018-10-24 | 支持流量标记功能 | Web应用防火墙支持流量标记功能，允许用户在请求流量中插入特定头部值，方便标记由WAF转发的流量。 | |
2018-10-01 | 支持安全事件告警 | Web应用防火墙支持通过短信或邮件向您推送安全事件和系统告警，您可以自定义需要关注的业务指标，及时发现业务异常情况。 | |
2018-07-27 | OpenAPI发布 | Web应用防火墙针对常见控制台配置操作开放对应API接口，方便用户执行批量化操作。 | |
2018-05-29 | 推出业务数据大屏试用服务 | Web应用防火墙推出业务数据大屏试用，方便用户及时了解网站业务全貌。 | |
2018-04-27 | 精准访问控制功能升级发布 | Web应用防火墙支持使用更多的HTTP头部字段设置ACL规则，过滤访问请求。 | |
2018-03-16 | 数据大屏公测发布 | Web应用防火墙开放数据大屏服务，为安全运维人员提供重点数据监控和展示的功能。 | |
2018-03-15 | 支持关闭实例 | Web应用防火墙支持用户在控制台自主释放产品。 | |
2018-01-11 | “蚁盾”手机号风控服务发布 | Web应用防火墙的“蚁盾”手机号风险评分可有效解决机器注册、恶意刷单、黄牛抢购等问题。 | 无 |
2017年
发布日期 | 产品动态 | 发布说明 |
2017-12-28 | 新增支持防护的非标端口 | Web应用防火墙新增非标端口支持，支持更多非标准业务端口的防护。 |
2017-11-24 | 支持多种负载均衡算法 | Web应用防火墙支持多种负载均衡算法，用户可以自主选择，应对不同场景的需求。 |
2017-10-30 | 提供App业务安全解决方案 | Web应用防火墙提供App业务安全解决方案，解决App防刷、防爬需求。 |
2017-10-26 | 支持Websocket | Web应用防火墙支持网站Websocket业务接入。 |
2017-08-31 | 支持异常响应码监控 | Web应用防火墙支持监控异常响应码。 |
2017-08-31 | 支持业务带宽查询 | Web应用防火墙支持查询业务上下行的带宽使用量。 |
2017-08-31 | 支持业务QPS查询 | Web应用防火墙支持实例级别及域名粒度的QPS查询。 |
2017-08-16 | 支持查看黑洞事件详情 | Web应用防火墙支持查看黑洞发生时的攻击阈值、事件等信息。 |
2017-07-27 | 域名独享IP功能发布 | Web应用防火墙支持设置域名独享IP。用户可以通过购买域名独享资源包实现域名的IP资源隔离。 |
2017-07-25 | 精准访问控制功能优化 | Web应用防火墙精准访问控制规则中支持放行数据风控及区域封禁功能的策略。 |
2017-07-25 | 人机识别算法功能优化 | Web应用防火墙优化了CC自定义规则中的人机识别算法，提升CC攻击的拦截率。 |
2017-07-25 | 规则支持更多逻辑符配置 | Web应用防火墙的精准访问控制规则新增支持“该字段不存在”、“值长度范围”等逻辑配置。 |
2017-07-25 | 支持更多HTTP字段检测 | Web应用防火墙在精准访问控制中支持对更多HTTP字段的规则配置。 |
2017-06-07 | 支持回源到域名 | Web应用防火墙网站配置中支持填写域名格式的回源地址。 |
2017-05-25 | 防敏感信息泄露功能发布 | Web应用防火墙配合网络安全法相关规定，推出敏感数据防护方案。 |
2017-04-12 | 支持网站一键HTTPS | Web应用防火墙支持网站一键HTTPS化，无需用户更改服务器配置。 |
2017-04-12 | 多版本支持非标准端口防护 | 非标准的部分端口业务在Web应用防火墙的多个版本中得到支持，可以实现安全防护。 |
2017-03-28 | 大数据威胁情报功能发布 | Web应用防火墙大数据威胁情报功能提供安全体检分评估、高危风险预警、黑客真人攻击详情查看等服务。 |
2017-03-08 | 接入体验优化 | Web应用防火墙域名添加中支持一键解析DNS。 |
2017-02-09 | 网页防篡改功能发布 | Web应用防火墙具备网页防篡改能力，避免网页的恶意篡改。 |
2017-01-05 | 支持虚拟主机接入 | Web应用防火墙支持接入万网虚拟主机进行网站防护。 |
2016年
发布日期 | 产品动态 | 发布说明 |
2016-12-21 | V3.1版本重磅发布 | Web应用防火墙V3.1版本发布，重点提升引擎核心防护能力，新增地理区域IP封禁、CC规则自定义配置等功能。 |
2016-12-01 | 智能语义分析引擎上线 | Web应用防火墙防护引擎新增智能语义分析功能，相比较现有的基于正则的规则，在误漏报率上有显著提升。 |
- 本页导读 （1）