本文介绍Web 应用防火墙 WAF（Web Application Firewall）的产品功能和对应的文档动态。
更多关于Web应用防火墙的产品动态信息，请参见产品动态。
2026年
2026年09月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | 场景防护 - API安全 - API资产发现 | API安全支持Swagger格式导出及参数结构展示 | API安全模块新增对Swagger格式的支持，现可完整导出API请求与响应的参数结构（包括字段类型、长度、格式等详细信息）。该功能帮助客户更直观地理解API接口定义，便于进行自动化安全测试、风险验证及合规审计，提升API资产梳理与安全运营效率。 | 2026年09月28日 | 全部 | |
新功能 | 场景防护 - Bot管理 - Bot管理-Web防护 | Bot管理增强AI Agent爬虫识别与验证能力 | Bot管理增强对新型AI Agent自动化访问的识别与验证能力，提升对恶意爬取和业务滥用的防护效果，同时优化正常用户访问体验。 | 2026年09月28日 | 全部 | |
新功能 | 接入管理 - 混合云接入 - SDK集成模式 | 混合云WAF支持APISix插件化部署接入 | 混合云WAF新增对Apache APISix网关的插件化部署支持。客户无需修改网关源码或调整底层配置模板，即可通过安装WAF插件实现流量接入与安全检测。该功能显著降低了混合云环境下APISix用户的接入门槛和运维风险，提升了非阿里云网关生态的兼容性与部署灵活性。 | 2026年09月28日 | 全部 | |
功能优化 | 场景防护 - API安全 - API风险检测 | API安全增强海外个人信息识别能力 | API安全敏感数据识别能力新增对菲律宾及欧洲个人身份信息的支持，帮助出海企业提升海外业务的隐私合规和敏感数据防护能力。 | 2026年09月28日 | 全部 | |
功能优化 | 场景防护 - API安全 - API资产发现 | API安全白名单批量管理能力增强 | API安全白名单支持批量导入与批量操作，提升大规模API场景下的白名单维护效率，降低逐一配置的管理成本。 | 2026年09月28日 | 全部 | |
功能优化 | 场景防护 - API安全 - API风险检测 | API安全数据脱敏能力增强 | API安全数据脱敏能力进一步增强，提升复杂业务场景下敏感数据处理的准确性与稳定性。 | 2026年09月28日 | 全部 | |
功能优化 | 安全运营 - 安全运营 Agent - 安全运营 Agent | 安全运营Agent智能规则推荐能力增强 | 安全运营Agent新增可视化运营看板并扩展智能规则推荐覆盖范围，提供更直观的运营洞察和更全面的自动化防护建议。 | 2026年09月28日 | 全部 | |
功能优化 | 防护配置 - 基础Web防护 - 基础规则引擎防护 | Web核心防护规则增强SpEL表达式注入攻击防御 | Web核心防护规则新增针对SpEL表达式注入攻击的检测与拦截能力，提升Java与Spring框架应用对新型注入攻击的防护覆盖。 | 2026年09月28日 | 全部 | |
功能优化 | 防护配置 - 基础Web防护 - 协议合规引擎防护 | Web核心防护规则增强文件上传安全检测能力 | Web核心防护规则进一步增强文件上传内容的安全检测能力，提升对上传文件中恶意脚本和探测载荷的识别与拦截效果。 | 2026年09月28日 | 全部 | |
功能优化 | 防护配置 - 基础Web防护 - 基础规则引擎防护 | 新增kkFileView SSRF漏洞专项防护 | Web核心防护规则新增针对kkFileView服务端请求伪造漏洞的专项检测能力，帮助相关业务降低未授权访问和内网探测风险。 | 2026年09月28日 | 全部 | |
功能优化 | 场景防护 - Bot管理 - Bot管理-App防护 | App防护SDK完成隐私合规改造 | WAF App防护SDK已完成隐私合规专项改造，严格遵循最新平台隐私政策要求，优化了数据采集范围与权限申请逻辑。使用该SDK的客户可确保移动端应用在集成WAF防护的同时满足应用商店审核及隐私法规合规要求，避免因SDK合规问题导致的应用下架风险。 | 2026年09月28日 | 全部 | |
新功能 | 场景防护 - AI应用防护 - 资产管理 | AI应用防护支持ALB防护对象接入 | Web应用防火墙（WAF）AI应用防护模块现已支持选择应用型负载均衡（ALB）实例作为防护对象。您在创建或编辑AI应用防护资产时，可直接关联已接入WAF的ALB实例，无需手动配置域名，简化了AI业务流量的防护接入流程，提升了对云上AI应用的统一纳管效率。 | 2026年09月14日 | 全部 | |
新功能 | 接入管理 | 控制台支持AI网关标准化接入WAF防护 | Web应用防火墙（WAF）控制台新增AI网关标准化接入入口，支持将AI网关业务以标准化方式一键接入WAF进行安全防护。您可通过控制台快速完成AI网关与WAF的对接配置，降低AI基础设施的安全接入门槛，保障AI网关流量安全合规。 | 2026年09月14日 | 全部 | |
功能优化 | 防护配置 - 自定义规则 | ATO响应匹配条件配置能力增强 | 账号安全（ATO）模块进一步增强响应匹配条件配置能力，支持更灵活地定义响应内容匹配规则，提升异常登录、撞库等账号威胁的识别准确度。 | 2026年09月14日 | 全部 | |
功能优化 | 安全运营 - 安全报表 - 安全报表 | 安全报表展示效果升级与查询性能优化 | Web应用防火墙（WAF）安全报表模块进行了全面升级，优化了数据展示效果和接口响应性能。报表页面加载速度更快，数据呈现更加清晰直观，帮助您更高效地进行业务安全态势分析和防护效果评估。 | 2026年09月14日 | 全部 | |
功能优化 | 场景防护 - API安全 | API安全风险检测能力升级 | API安全风险识别与检测能力进一步升级，提升API资产发现、风险检测及安全事件分析的准确性、效率与稳定性。 | 2026年09月14日 | 全部 |
2026年08月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | 场景防护 - Bot管理 - Bot管理-App防护 | Bot管理App防护支持更多合法包签名配置 | Bot管理App防护进一步扩展合法包名与包签名组合的配置能力，满足多渠道包、多品牌包等复杂业务场景，提升防护策略的灵活性与准确性。 | 2026年08月31日 | 全部 | |
功能优化 | 场景防护 - API安全 | API安全总览页全新升级，提升风险洞察效率 | Web应用防火墙对Agentic API安全总览页进行了全面重构，优化了信息架构与视觉呈现。新版总览页首屏突出展示API资产数、受保护API数、风险API数及攻击趋势等核心指标，并新增风险等级分布、Top风险资产等分析模块。升级后的页面能够帮助用户更快速地掌握整体API安全态势，精准定位高风险问题，并支持从总览直接下钻至详情或处置入口，显著提升安全运营决策效率。 | 2026年08月31日 | 全部 | |
功能优化 | 安全运营 - 安全报表 - 安全报表 | Bot流量分析标签统计能力升级 | Bot流量分析报表进一步增强标签统计与分类展示能力，帮助用户更精准地识别自动化流量特征，为制定差异化Bot防护策略提供数据支撑。 | 2026年08月31日 | 全部 | |
功能优化 | 安全运营 - 日志服务 - 日志服务 | 日志服务支持按量付费Logstore切换 | Web应用防火墙日志服务现已支持按量付费模式下的Logstore（日志库）切换功能。用户可以根据业务需求灵活变更日志存储实例，优化日志管理成本与资源配置，满足多样化的日志审计与分析需求。 | 2026年08月31日 | 全部 | |
新功能 | 场景防护 - Bot管理 - Bot管理-Web防护 | Bot管理Web防护默认模板能力上线 | 新增Bot管理Web防护默认模板功能，新接入的防护对象可通过默认模板一键快速启用防护，简化配置流程，提升防护覆盖率。 | 2026年08月17日 | 全部 | |
新功能 | 场景防护 - Bot管理 - 风险识别 | 账号安全（ATO）功能正式商业化发布 | 账号安全（ATO）功能结束公测正式商业化，为业务提供针对撞库、暴力破解、垃圾注册等账号威胁的专项防护能力，包年包月和按量付费用户均可开通使用。 | 2026年08月17日 | 全部 | |
新功能 | 接入管理 - 云产品接入 - MSE接入 | MSE接入支持域名方式 | 微服务引擎（MSE）接入WAF现在支持通过域名方式进行接入，满足特定业务场景下的接入需求。 | 2026年08月17日 | 全部 | |
功能优化 | 场景防护 - Bot管理 - Bot管理-Web防护 | Bot管理白名单打标逻辑优化 | 优化Bot管理的白名单打标逻辑，白名单IP的展示更加清晰，帮助您更直观地区分白名单与被防护流量。 | 2026年08月17日 | 全部 | |
功能优化 | 场景防护 - AI应用防护 - 内容安全防护 | AI应用防护日志字段增强 | AI应用防护日志新增关联标识字段，便于用户更便捷地定位和分析AI应用防护日志。 | 2026年08月17日 | 全部 | |
功能优化 | 场景防护 - API安全 - API风险检测 | API安全敏感数据识别精度提升 | 优化API安全模块中阿里云AKSK密钥对的敏感数据识别规则，提升对多种业务签名场景的识别精度。 | 2026年08月17日 | 全部 | |
功能优化 | 基础能力计费 - 基础服务计费 | WAF 3.0计费体验与容量策略优化 | 优化WAF 3.0的计费策略与容量管理逻辑，进一步提升业务在高负载场景下的可用性与稳定性。 | 2026年08月17日 | 全部 | |
新功能 | 应用防护 | 新增应用身份认证SSO单点登录能力 | WAF3.0新增应用身份认证功能，支持为防护对象配置SSO（单点登录）。您可以创建应用鉴权模板并关联至防护对象，支持对接阿里云IDaaS及第三方PAM工具，实现对后端应用的统一鉴权与访问控制，提升业务安全性。 | 2026年08月03日 | 全部 | |
功能优化 | 接入管理 - CNAME接入 - CNAME接入 | CNAME与混合云接入的TLS协议配置体验优化 | 针对CNAME接入、云产品接入及混合云接入场景，优化TLS协议版本选择体验： 1. 支持单独启用TLS 1.3版本，简化配置操作。 2. 更新TLS版本选择的描述文案，明确各版本在兼容性与安全性上的差异。 3. 云产品接入进一步完善加密套件支持，满足不同业务场景的安全需求。 | 2026年08月03日 | 全部 | |
功能优化 | 安全运营 - 安全运营 Agent - 安全运营 Agent | 安全运营Agent状态提示文案优化 | 优化Web应用防火墙安全运营Agent的用户界面提示文案： 1. 自动下发关闭且无新规则时，明确提示“Agent已完成本轮学习，暂未发现新的可优化项”。 2. 自动下发开启且无新规则时，明确提示“Agent已完成本轮学习，优化规则已自动下发”。 让您更清晰地了解Agent当前状态。 | 2026年08月03日 | 全部 | |
功能优化 | 接入管理 - 云产品接入 - MSE接入 | 优化MSE接入列表展示信息 | 在微服务引擎（MSE）接入列表中新增‘域名’列展示，方便用户更直观地查看和管理已接入WAF防护的MSE实例对应的域名信息。 | 2026年08月03日 | 全部 |
2026年07月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | 场景防护 - AI应用防护 | AI应用防护支持APIG和ALB接入 | AI应用防护新增支持通过API网关（APIG）和应用型负载均衡（ALB）进行服务化接入，满足更多样化的业务接入场景。 | 2026年07月20日 | ||
新功能 | 场景防护 - Bot管理 | Bot管理上线AI爬虫分析功能及规则优化 | 1. Bot管理新增AI爬虫分析功能，帮助识别和防御针对AI模型的爬虫攻击。 2. 优化AI-Crawler分类爬虫的命名展示，提升可读性。 3. Bot Web接入防护迁移并集成AI爬虫规则。 | 2026年07月20日 | ||
新功能 | 防护配置 - 高级配置 | WAF集成SSO单点登录能力 | WAF新增单点登录（SSO）集成能力，支持对接IDaaS及第三方PAM工具，可通过配置应用鉴权模板实现对防护对象的精确访问控制。 | 2026年07月20日 | ||
新功能 | 场景防护 - Bot管理 - Bot管理-Web防护 | Bot管理完善主流搜索引擎友好爬虫识别 | Bot管理模块新增对Yahoo搜索引擎友好爬虫的识别支持，进一步完善对百度、Google、雅虎、360、Bing、搜狗、Yandex、头条搜索等主流搜索引擎爬虫的精准识别能力，降低正常搜索引擎流量的误拦截率。 | 2026年07月06日 | 全部 | |
新功能 | 场景防护 - Bot管理 - Bot管理-Web防护 | 新增AI爬虫分析功能 | Bot管理模块上线AI爬虫分析功能，利用人工智能技术更精准地识别和对抗基于大模型或复杂算法的高级爬虫行为，提升对自动化威胁的防御能力。 | 2026年07月06日 | 全部 | |
功能优化 | 防护配置 - 高级配置 - IP地址簿 | 白名单策略配置灵活性提升 | 为提升业务配置的灵活性，WAF进一步扩展了白名单策略的支持数量。同时优化控制台交互文案，将“添加白名单”按钮调整为“添加白名单策略”，以更准确地反映功能语义。 | 2026年07月06日 | 全部 | |
功能优化 | 场景防护 - AI应用防护 - 资产管理 | AI应用防护资产管理体验优化 | 1. 命名规范化：AI应用防护模块中的资产字段命名统一调整为“AI资产”，更准确反映业务属性。 2. UI体验优化：API安全详情页面的敏感信息类型标签选择交互进一步改进，提升配置体验。 | 2026年07月06日 | 全部 | |
功能优化 | 安全运营 - 安全报表 - 安全报表 | 安全报表查询与总览视图能力增强 | 1. 查询条件增强：安全报表的Web核心防护模块新增“攻击类型”查询条件，支持按SQL注入、XSS等常见Web攻击类型筛选；默认展示简单搜索模式，并进一步丰富筛选维度。 2. Bot管理报表指标补齐：Bot防护规则动作为JS校验、滑块时，补齐通过率指标展示。 3. 总览视图优化：总览页面新增带宽趋势图；优化攻击类型分布图的下钻交互体验。 | 2026年07月06日 | 全部 |
2026年06月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | 场景防护 - API安全 - API合规审查和溯源审计 | API安全策略支持基于Agent类型配置白名单 | API安全模块的安全事件白名单策略新增匹配条件，支持指定User-Agent（Agent）类型进行白名单配置。该功能解决了因客户端IP动态变化导致需频繁更新IP白名单的问题，提升运维效率。 | 2026年06月22日 | 华东1 杭州 | |
新功能 | 资产中心 - 资产中心 - 资产中心 | 新增一键开启防护配置弹窗，快速启用核心防护能力 | 为提升用户初始安全防护水位，WAF控制台新增智能引导弹窗。当检测到用户未开启关键防护功能时，系统将提示并支持一键勾选开启以下能力： 1. 扫描防护：识别与阻断常见的自动化扫描行为。 2. API安全：自动梳理API资产，监测敏感数据泄露风险。 3. 智能白名单：结合业务流量特征自动优化规则，降低误拦截。 4. 威胁情报：基于阿里云威胁情报能力，协同防御已知恶意IP。 用户可根据业务需求灵活选择开启项，实现全方位业务安全保障。 | 2026年06月08日 | 华东1 杭州 | |
新功能 | 防护配置 - 基础Web防护 - 基础规则引擎防护 | 基础Web防护支持DEFLATE压缩流量深度检测 | WAF基础Web防护引擎新增对DEFLATE压缩算法的支持，可对压缩后的请求体进行自动解压和深度安全检测，进一步覆盖多种压缩格式下的攻击检测场景。 | 2026年06月08日 | 华东1 杭州 | |
新功能 | 场景防护 - API安全 - API风险检测 | API安全新增明文传输信用卡敏感信息及MCP服务未鉴权风险检测 | API安全模块增强风险检测能力，新增以下检测项： 1. 明文传输信用卡敏感信息：识别API响应中是否包含未加密的信用卡号等敏感信息，防止数据泄露。 2. MCP服务未鉴权：检测Model Context Protocol (MCP) 服务接口是否存在未授权访问风险，保障AI应用接口安全。 | 2026年06月08日 | 华东1 杭州 | |
新功能 | 安全运营 - 安全报表 - 安全报表 | 安全报表OpenAPI支持查询带宽数据 | 扩展WAF安全报表的OpenAPI能力，新增带宽数据查询接口。用户可通过API获取指定时间范围内的WAF实例带宽使用情况，便于集成到自有监控系统中进行自动化运维和资源成本分析。 | 2026年06月08日 | 华东1 杭州 | |
新功能 | 场景防护 - Bot管理 - Bot管理-Web防护 | Bot管理支持友好Bot放行库配置 | 在Bot管理模块中新增‘友好Bot放行库’配置选项。用户可以在控制台选择并启用预定义的友好Bot（如搜索引擎爬虫、监控服务等）放行规则，避免误拦截正常的业务爬虫流量，简化Bot策略配置。 | 2026年06月08日 | 华东1 杭州 | |
新功能 | 接入管理 - 混合云接入 | 混合云WAF能力全面升级，支持Bot、AI防护与统一日志 | 混合云WAF能力持续升级： 1. 高级防护：混合云专线架构支持Bot管理、威胁情报、API安全（实时脱敏）及AI应用防护能力。 2. 统一日志视图：支持在统一控制台查看包含混合云节点在内的所有安全报表和日志详情。 3. 转发功能增强：进一步增强转发场景的兼容性与可靠性。 4. SDK能力扩展：Web SDK能力进一步丰富，满足更多接入场景需求。 为混合云用户提供与公共云一致的高级安全防护和运维体验。 | 2026年06月08日 | 华东1 杭州 | |
功能优化 | 验证码 - 人机验证 - 人机验证 | 滑块验证调试信息展示优化 | 优化滑块验证界面的调试信息展示，统一Trace ID的展示格式。此举有助于开发人员和运维人员更一致、便捷地追踪和排查验证过程中的异常请求。 | 2026年06月08日 | 华东1 杭州 | |
功能优化 | 防护配置 - 威胁情报 - 威胁情报 | WAF威胁情报与CDN协同防御能力升级 | 打通WAF威胁情报与CDN产品的数据链路，将WAF威胁情报能力延伸至CDN边缘节点，构建云上云下、多产品联动的协同防御体系，提升整体安全防护水位。 | 2026年06月08日 | 华东1 杭州 | |
功能优化 | 安全运营 - 安全报表 - 安全报表 | 安全报表与日志详情兼容混合云场景，支持AI防护字段展示 | 优化安全运营模块，使安全报表和日志详情页面能够兼容混合云接入场景。特别针对AI应用防护模块，确保在混合云架构下也能正确展示脱敏信息及AI防护相关字段，实现云上云下日志数据的统一视图和分析。 | 2026年06月08日 | 华东1 杭州 | |
功能优化 | 资产中心 - 资产中心 - 资产中心 | 控制台总览页新增云产品接入引流模块 | 重构WAF控制台总览页面的‘接入引流’模块，以卡片形式直观展示各云产品（ALB、CLB、ECS、MSE、APIG、FC、SAE）的接入状态。功能包括： 1. 状态可视化：显示已接入和未接入资产数量，按未接入数量排序。 2. 一键防护：支持点击卡片一键开启对应云产品的WAF防护。 3. 增值功能推荐：展示BOT管理和API安全的开启状态及高频攻击统计，引导用户开启高级防护。 | 2026年06月08日 | 华东1 杭州 | |
功能优化 | 场景防护 - Bot管理 - Bot管理-Web防护 | 优化AI Bot爬虫分类命名 | 对Bot管理模块中AI Crawler（人工智能爬虫）的分类命名进行优化，使其更加直观和易于理解，帮助用户更准确地识别和管理各类AI爬虫流量。 | 2026年06月08日 | 华东1 杭州 |
2026年05月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | 接入管理 - 混合云接入 | 混合云接入支持IP地址簿与威胁情报功能 | 混合云接入（含VPC专线环境）现已支持IP地址簿和威胁情报功能，帮助您更精准地识别和拦截恶意流量。 | 2026年05月25日 | 华东1 杭州 | |
功能优化 | 安全运营 - 日志服务 - 日志服务 | 系统日志TraceID关联能力增强 | WAF日志中新增TraceID相关信息记录，帮助您在排查问题时快速关联相关请求，提升运维排查效率。 | 2026年05月25日 | 华东1 杭州 | |
功能优化 | 接入管理 | 复杂网络场景下真实客户端IP识别增强 | 增强WAF在复杂网络架构下的真实客户端IP识别能力，提升在多层代理、CDN等场景下的IP识别准确性。 | 2026年05月25日 | 华东1 杭州 | |
功能优化 | 防护配置 - 自定义规则 - 访问控制 | 自定义规则配置校验体验优化 | 优化WAF自定义规则的配置校验与报错提示机制，提供更清晰的即时校验反馈，方便用户自查和修正配置。 | 2026年05月25日 | 华东1 杭州 | |
功能优化 | 防护配置 | 防护模板与规则配额管理灵活性提升 | WAF3.0进一步提升防护模板与规则的配置灵活性，优化了规则配额校验逻辑，帮助您更便捷地配置和管理防护策略。 | 2026年05月19日 | 华东1 杭州 |
2026年04月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | 场景防护 - Bot管理 - Bot管理-Web防护 | Bot高级自定义规则匹配与统计能力增强 | Bot高级自定义规则的匹配条件与统计维度进一步增强，提供更灵活的规则配置能力，帮助您实现更精细化的Bot防护策略。 | 2026年04月13日 | 华东1 杭州 | |
新功能 | 安全运营 | 支持WAF链路追踪功能开通与配置下发 | WAF控制台新增链路追踪相关功能的开通入口及配置下发能力。用户可通过控制台便捷地启用链路追踪，实现请求全链路的可视化监控与故障定位，提升运维排查效率。 | 2026年04月13日 | 华东1 杭州 | |
功能优化 | 防护配置 - 基础Web防护 | 基础Web防护解码设置体验优化及令牌增强防护 | 1. 解码设置优化：优化基础Web防护中的解码设置分类结构，提升配置的可读性与专业性。 2. 令牌增强防护：在防护配置中新增“令牌增强防护”功能选择框，提供更强的请求合法性校验能力，防御伪造请求攻击。 | 2026年04月13日 | 华东1 杭州 | |
功能优化 | 接入管理 | WAF控制台交互体验与规则配置优化 | 1. 前端体验升级：控制台整体交互升级，页面加载速度与浏览器兼容性进一步提升。 2. 菜单与引导优化：上线全新菜单版本，优化ATO功能引导与文档链接。 3. 规则配置校验增强：ACL相关规则的配置校验进一步完善，提升规则配置的可靠性。 | 2026年04月13日 | 华东1 杭州 | |
功能优化 | 接入管理 - 混合云接入 | 优化混合云WAF引流模式跳转逻辑，防止配置误删 | 优化了混合云WAF控制台在“指定部分引流”模式下的搜索交互逻辑。当搜索不存在的域名时，界面将保持在当前引流模式，不再错误跳转至“全量引流”界面，从而避免用户因界面跳变导致已配置的指定引流策略被意外清空或删除。 | 2026年04月13日 | 华东1 杭州 |
2025 年
2025 年 12 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 威胁情报 | 威胁情报模块上线 | 威胁情报模块基于阿里云全球多维度威胁数据，可自动识别并处置恶意 IP，在攻击发生前构建主动防御体系，提升业务安全性。 | 2025 年 12 月 26 日 | ||
新功能 | WAF 3.0 - 通用配置 - IP 地址簿 | IP 地址簿功能 | 支持创建可复用的 IP 地址集合并关联至多个防护规则，IP 变更时仅需在地址簿中更新，所有引用规则自动同步。 | 2025 年 12 月 16 日 |
2025 年 10 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 计费 - 价格计算器 | 按量版 Secu 计算器 | WAF 按量版发布 Secu 计算器，帮助用户预估按量版本的购买预算。 | 2025 年 10 月 14 日 | ||
功能优化 | WAF 3.0 - AI 应用防护 | AI 应用防护新增能力 | 支持流式响应生效应答替换和撤回动作，避免大模型应用输出非预期内容；集成内容安全模块，可按检查项配置开关并对不合规内容实时处置。 | 2025 年 10 月 10 日 |
2025 年 08 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - Bot 管理 | Bot 管理新增能力 | 默认防护新增流量指纹、WebSDK 探针、海外 IDC、访问行为检测；高级自定义规则支持 JA3/JA4 指纹与高阶 CC 配置；支持恶意、疑似、友好 Bot 分类查看与配置。 | 2025 年 08 月 15 日 |
2025 年 05 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - AI 应用防护 | 提示词攻击检测与自定义拦截页面 | 大模型业务接入 WAF 后可在 WAF 侧检测和拦截提示词注入、提示词越狱攻击。本期仅支持 CNAME 和云产品 CLB、NLB、ECS 的防护对象开启 AI 应用防护能力。 | 2025 年 05 月 09 日 |
2025 年 04 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 总览与安全报表 | 新版总览和安全报表 | 重构总览和安全报表交互页面，新增部分功能与 TOP 图展示。 | 2025 年 04 月 09 日 |
2025 年 02 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - Bot 管理 - App 防护 | Harmony 应用集成 SDK | 支持在应用中集成 SDK，实现在控制台 Bot 管理中配置 App 防爬场景化规则。 | 2025 年 02 月 25 日 |
2024 年
2024 年 11 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - Web 基础防护 | 新版 Web 核心防护规则 | 支持通过设置引擎配置和规则库管理更简便地对 Web 业务进行防护。 | 2024 年 11 月 07 日 | ||
新功能 | WAF 3.0 - 洪峰限流 | 洪峰限流功能 | 支持配置自定义规则并按 QPS 限流方式或百分比限流方式对 Web 业务进行防护。 | 2024 年 11 月 06 日 |
2024 年 09 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 接入管理 - 云产品接入 | 云原生 API 网关接入 | 支持将云原生 API 网关实例接入 WAF，通过内嵌在网关中的 SDK 提取流量并进行检测和防护。 | 2024 年 09 月 13 日 |
2024 年 05 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 接入管理 - CNAME 接入 | 非标端口更新 | 扩展 CNAME 接入能力，支持 IPv4 全量非标端口转发能力。 | 2024 年 05 月 31 日 |
2024 年 03 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 接入管理 - 多账号统一管理 | 企业级客户多账号统一管理 | 只需购买一套 WAF 实例，即可接入其他阿里云账号下的云产品资源进行统一防护。 | 2024 年 03 月 27 日 |
2024 年 01 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 安全运营 - 封禁查询 | 封禁查询 | 在封禁查询页面，可通过请求 ID 查询拦截详情。 | 2024 年 01 月 16 日 | ||
功能优化 | WAF 3.0 - 混合云防护 - 日志外发 | 混合云日志外发配置升级 | 混合云日志支持 Kafka 外发，可针对不同集群设置不同的 Kafka 和 syslog 日志外发配置。 | 2024 年 01 月 15 日 |
2023 年
2023 年 10 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新地域 | WAF 3.0 - API 安全 | 非中国内地地域支持 API 安全 | 非中国内地地域支持 API 安全功能。 | 2023 年 10 月 12 日 | 非中国内地 |
2023 年 09 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - API 安全 | API 安全支持合规审核和溯源审计 | API 安全支持对出境数据进行审查和溯源。 | 2023 年 09 月 21 日 |
2023 年 08 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 接入管理 - 防护对象 | 支持 Cookie 属性设置 | 支持为防护对象增加 Cookie 属性设置。 | 2023 年 08 月 28 日 | ||
新功能 | WAF 3.0 - 接入管理 - CNAME 接入 | 支持开启 IPv6 接入 | 支持开启 IPv6，将 IPv6 业务流量接入 WAF 进行防护。 | 2023 年 08 月 20 日 | ||
新功能 | WAF 3.0 - 接入管理 - 证书管理 | VIP 级别 TLS 自定义和默认证书配置 | 支持为 IPv4 版本的 VIP 自定义 SSL 证书或 TLS 策略。 | 2023 年 08 月 10 日 | ||
功能优化 | WAF 3.0 - Bot 管理 | 回源标记、规则灰度、机器流量分析 | Bot 管理新增机器流量分析、被识别 Bot 行为的回源标记规则动作与规则灰度；自定义规则支持规则灰度，可针对不同维度对象配置生效比例。 | 2023 年 08 月 01 日 |
2023 年 07 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 接入管理 - 域名管理 | 域名 DNS 状态检测 | WAF 3.0 会对接入的域名进行 DNS 状态检查，快速识别 DNS 解析异常的风险域名，避免网站业务受到影响。 | 2023 年 07 月 14 日 |
2023 年 06 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 接入管理 - 域名管理 | 域名归属权验证 | 首次添加域名时需验证操作者是否拥有主域名的归属权，验证通过后再次添加该主域名下的任意域名无需再次验证。 | 2023 年 06 月 21 日 | ||
新功能 | WAF 3.0 - 接入管理 - 域名管理 | 支持国密 HTTPS 加密 | 选择 HTTPS 协议时，支持开启国密HTTPS、仅支持国密客户端访问功能。 | 2023 年 06 月 10 日 |
2023 年 05 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - API 安全 | API 安全支持自定义敏感数据类型策略 | 支持自定义敏感数据类型策略。 | 2023 年 05 月 30 日 | ||
功能优化 | WAF 3.0 - Web 基础防护 | Web 核心防护新增语义防护 | 新增语义防护功能，可防御 SQL 注入攻击，并提供针对非注入型攻击的检测开关。 | 2023 年 05 月 22 日 | ||
功能优化 | WAF 3.0 - 计费 - 规格变更 | 降配功能更新 | 支持降低独享 IP 数规格，并可通过降配关闭 Bot 管理-Web 防护、Bot 管理-APP 防护、API 安全。 | 2023 年 05 月 18 日 |
2023 年 04 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 接入管理 - 云产品接入 | 云产品接入支持添加域名级防护对象 | 支持将 CLB 实例或 ECS 实例中的域名手动添加为防护对象。 | 2023 年 04 月 28 日 | ||
新功能 | WAF 3.0 - 计费 - 流量计费保护 | 流量计费保护功能 | 启用后，若按量付费实例一小时内峰值 QPS 超过设置的阈值，实例进入沙箱且该小时流量费和功能费为 0，避免因 QPS 暴涨产生超高账单。 | 2023 年 04 月 14 日 |
2023 年 03 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 升级迁移 | 自助升级工具 | 支持通过控制台升级工具，自助将 WAF 2.0 实例升级到 WAF 3.0。 | 2023 年 03 月 31 日 | ||
功能优化 | WAF 3.0 - API 安全 | API 安全功能更新 | 按量付费实例支持 API 安全功能，且 API 安全支持自定义策略。 | 2023 年 03 月 03 日 |
2023 年 02 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 计费 - 版本与规格 | 重保场景防护、混合云防护节点规格变更 | 重保场景防护旗舰版默认开通，高级版、企业版可临时升级按天开通，基础版不支持；企业版、旗舰版默认支持混合云接入并含 1 个防护节点，基础版、高级版需升级后使用。 | 2023 年 02 月 24 日 | ||
新功能 | WAF 3.0 - Web 基础防护 | 智能白名单、误报屏蔽、宽松与严格规则组 | 智能白名单基于历史流量 AI 学习自动添加 URL 粒度白名单，降低误拦截；内置规则组新增宽松规则组和严格规则组；支持误报屏蔽一键加白攻击 IP。 | 2023 年 02 月 08 日 | ||
新功能 | WAF 3.0 - 接入管理 - 云产品接入 | 支持函数计算一键接入 | WAF 通过 SDK 模块化方式与函数计算原生架构集成，支持为函数计算上 Web 应用绑定的自定义域名开启安全防护，识别恶意特征并将安全流量回源至后端函数。 | 2023 年 02 月 08 日 |
2023 年 01 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 计费 | 包年包月实例支持自助退订 | 支持通过控制台自助退订 WAF 3.0 包年包月实例。 | 2023 年 01 月 31 日 | ||
新功能 | WAF 3.0 - 系统管理 - 资源与标签 | 支持资源组和标签管理 | 对接阿里云资源管理服务，新增资源组和标签，对账号下的资源做分组和权限隔离。 | 2023 年 01 月 19 日 | ||
功能优化 | WAF 3.0 - Bot 管理 | Bot 管理功能更新 | Bot 管理新增基础防护一键防护中低级 Bot 流量，App 场景化防护新增滑块验证、AI 智能防护、威胁情报，网页与 App 场景化防护支持定时生效；安全报表重构并增加攻击详情列表。 | 2023 年 01 月 17 日 |
2022 年
2022 年 12 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
2022 年 11 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 接入管理 - CNAME 接入 | CNAME 接入支持重试及回源长连接配置 | 通过 CNAME 接入域名时，支持重试及回源长连接配置。 | 2022 年 11 月 29 日 | ||
功能优化 | WAF 3.0 - 日志服务 | 日志服务支持记录自定义请求头部、请求体、响应头和响应体 | 新增request_body、request_header、response_header和response_info字段，用于记录自定义请求头部、请求体、响应头和响应体。 | 2022 年 11 月 28 日 | ||
新功能 | WAF 3.0 - 日志服务 | 日志服务存储容量告警 | 当日志存储使用量超过 80% 时，通过短信和邮件提醒您及时升级容量，避免存储占满导致新日志数据无法写入、日志数据不完整。 | 2022 年 11 月 25 日 | ||
新功能 | WAF 3.0 - 接入管理 - 云产品接入 | 支持四层或七层 CLB、ECS 实例接入 | 支持通过添加引流端口的方式将要防护的四层或七层 CLB 实例、ECS 实例接入 WAF 防护。 | 2022 年 11 月 23 日 | ||
新功能 | WAF 3.0 - 计费 - 规格变更 | 支持自助降配功能 | 可对已购买的 QPS 扩展规格、弹性后付费 QPS 规格、域名扩展数、日志存储容量自助降配。 | 2022 年 11 月 17 日 | ||
新功能 | WAF 3.0 - API 安全 | API 安全功能发布 | 支持自动梳理已接入 WAF 防护业务的 API 资产，检测 API 风险（如未授权访问、敏感数据过度暴露、内部接口泄露等），并通过报表还原 API 异常事件，提供风险处理建议与 API 生命周期管理参考。 | 2022 年 11 月 14 日 |
2022 年 10 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - OpenAPI | OpenAPI 发布 | 针对常见控制台配置操作开放对应的 API 接口，方便用户执行批量化操作。 | 2022 年 10 月 30 日 | ||
新功能 | WAF 3.0 - 计费 | 弹性后付费和沙箱功能 | 大促等场景有突发流量、实际 QPS 可能超过版本内与扩展 QPS 之和时，可开启弹性后付费对超出用量后付费结算，避免实例因 QPS 超用进入沙箱影响业务。 | 2022 年 10 月 27 日 | ||
新功能 | WAF 3.0 - 监控告警 | 监控与告警功能 | 可通过设置告警，使 WAF 在检测到攻击事件、异常流量时发送告警通知，帮助您及时掌握业务安全状态。 | 2022 年 10 月 19 日 |
2022 年 09 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 接入管理 | 支持配置自定义 header 获取客户端真实源端口 | 接入配置支持启用流量标记并选择客户端真实源端口，配置头部字段名后 WAF 可记录该字段并回传源站。 | 2022 年 09 月 23 日 |
2022 年 08 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
功能优化 | WAF 3.0 - 接入管理 | 回源超时时间支持自定义配置 | 接入配置支持自定义新建连接、读连接、写连接超时时间，用户可根据业务情况灵活调整。 | 2022 年 08 月 24 日 | ||
新功能 | WAF 3.0 - 接入管理 - 云产品接入 | MSE 接入功能 | 启用微服务引擎 MSE 的 Web 业务可通过 MSE 接入 WAF，将业务流量引流到 WAF 3.0 进行安全防护。 | 2022 年 08 月 12 日 |
2022 年 07 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 信息泄露防护 | 信息泄露防护功能 | 支持过滤服务器返回内容中的敏感信息（身份证号、电话号码、银行卡号、敏感词汇），脱敏展示或返回默认异常响应页面。 | 2022 年 07 月 22 日 | ||
新功能 | WAF 3.0 - 网页防篡改 | 网页防篡改功能 | 支持锁定需保护的网站页面，被锁定页面收到请求时返回已设置的缓存页面，预防源站页面内容被恶意篡改。 | 2022 年 07 月 22 日 | ||
新功能 | WAF 3.0 - 计费 | 新增包年包月计费模式 | 支持先付费后使用的付费方式，可提前预留资源并享受更低价格，帮助节省支出。 | 2022 年 07 月 20 日 | ||
新功能 | WAF 3.0 - 资产中心 | 资产中心功能 | 通过资产中心梳理云上、云下域名资产，并根据云上攻击态势进行风险等级评估，帮助掌握业务整体防护状态。 | 2022 年 07 月 14 日 |
2022 年 06 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - Bot 管理 | Bot 管理功能 | 支持网页防爬、App 防爬场景化规则，通过设置防爬场景化规则更有针对性地对业务进行爬虫风险防护。 | 2022 年 06 月 23 日 |
2022 年 05 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - 重保场景防护 | 重保场景防护功能 | 提供重保防护规则组、海量 IP 封禁、协同防御和 Cookie 安全能力，为强攻防对抗场景提供高等级防护。 | 2022 年 05 月 30 日 |
2022 年 04 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 - CC 防护 | CC 防护功能 | 为网站拦截针对页面请求的 CC 攻击，拦截后返回 405 拦截提示页面。 | 2022 年 04 月 21 日 | ||
新功能 | WAF 3.0 - 区域封禁 | 区域封禁功能 | 通过识别客户端访问请求的来源区域，一键封禁或允许特定区域访问，解决部分地区高发的恶意请求问题。 | 2022 年 04 月 21 日 |
2022 年 01 月
类型 | 功能 | 更新标题 | 更新详情 | 对客发布时间 | 发布地域 | 相关文档 |
新功能 | WAF 3.0 | WAF 3.0 全新版本发布 | WAF 3.0 在支持 2.0 版本 CNAME 接入的基础上,实现与 ALB 等云产品的云原生架构集成,支持云产品接入,并重构防护配置交互逻辑,带来更高运维效率与更多新能力。 | 2022 年 01 月 22 日 | ||
功能下线 | WAF 2.0 - 计费 | WAF 2.0 停止新购 | WAF 2.0 停止新购,新用户请使用 WAF 3.0。存量 WAF 2.0 用户不受影响。 | 2022 年 01 月 22 日 |