Europese alternatieven voor F5
Op zoek naar een Europees alternatief voor F5? F5, Inc. heeft zijn hoofdkantoor aan 801 5th Ave in Seattle en verkoopt bescherming van webapplicaties en API's (webapplicatiefirewall, API-beveiliging, botbeheer, DDoS-bescherming) samen met load balancing, DNS en CDN, via BIG-IP, NGINX en het Distributed Cloud Services-platform. Producten komen als hardware, virtuele edities en SaaS, verkocht als abonnementen voor een bepaalde looptijd, een Flex Consumption Plan of eeuwigdurende licenties, met prijzen op aanvraag.
De Europese tools hieronder dekken de WAF- en API-bescherming met aanbieders in Duitsland, Zwitserland, Frankrijk, Luxemburg, Slovenië, Hongarije, Estland en Nederland, als cloudservices, zelf gehoste gateways of open-source engines.
Hoe we deze tools rangschikken Proces in 4 stappen
-
1
Europees eigendom, geverifieerd
Het bedrijf heeft zijn hoofdkantoor en statutaire zetel in de EU, de EER, het Verenigd Koninkrijk, Zwitserland of Israël, en verwerkt klantgegevens in Europa of Israël. Een Amerikaans moederbedrijf sluit een tool van deze pagina uit, ongeacht waar de servers staan.
-
2
Categoriefit en praktijkreview
Wat de tool echt doet, voor wie hij geschikt is en waar hij tekortschiet, gecontroleerd aan de hand van de eigen documentatie, changelog en prijspagina van de leverancier in plaats van de marketingtekst.
-
3
Controle op compliance en prijzen
AVG-positie, hostinglocatie en de prijzen op deze pagina worden vóór publicatie geverifieerd aan de hand van de openbare prijzen van de leverancier, en opnieuw gecontroleerd wanneer we de categorie opnieuw bekijken.
-
4
Positie op deze pagina
Plaatsing op deze pagina kan betaald zijn, en dat kan van invloed zijn op welke tools hier verschijnen en in welke volgorde. Betaling koopt nooit een goede review: een tool die de bovenstaande controles niet doorstaat, staat hier voor geen prijs, en betaling verandert niets aan de tekortkomingen die we beschrijven. Een leverancier kan ons vragen een feitelijke fout te corrigeren, maar niet om een kritiekpunt te verwijderen.
Leveranciers kunnen betalen voor zichtbaarheid op deze pagina. Dat verandert nooit wat een vermelding over een product zegt, inclusief de kritiek, en wij verdienen niets wanneer je doorklikt naar een leverancier. Leveranciers kunnen betalen voor meer zichtbaarheid, hoger op de reviewpagina's; het heeft nooit invloed op welke tools worden opgenomen. Redactioneel beleid
11 Europese alternatieven voor F5
Myra Security
Duits beveiligingsplatform met een WAF, DDoS-filter en CDN
Airlock
Zwitserse WAF en API-gateway van Ergon Informatik
Link11
Duitse cloud-WAF met AI-gebaseerde DDoS-filtering
Gcore
Luxemburgs edge-platform met WAF en DDoS-bescherming
Bunny.net
Sloveense CDN met een Shield-WAF-variant die gratis begint
BunkerWeb
Open-source WAF-reverse proxy uit Agen, zelf gehost of SaaS
WEDOS Protection
Tsjechisch opgericht CDN-schild met een beheerde WAF en gratis abonnement
CrowdSec
Franse open-source beveiligingsengine met een WAF-onderdeel
BitNinja
Hongaarse server-side WAF voor Linux-hostingvloten
Patchstack
Estse virtual patching voor WordPress en open-sourcecode
Sansec
Nederlandse Magento-firewall, geïnstalleerd als Composer-module
Belangrijkste conclusies
- F5, Inc. is gevestigd in Seattle, en de privacyverklaring noemt het EU-U.S. Data Privacy Framework en de Standard Contractual Clauses als doorgiftemechanismen.
- F5 verkoopt zijn webapplicatiefirewall als F5 WAF voor BIG-IP op hypervisors, publieke clouds of hardware, en de pagina's die op 20 oktober 2026 zijn gecontroleerd tonen geen prijs.
- Airlock van Ergon Informatik in Zurich is de Europese tool die het dichtst bij een zelf beheerde BIG-IP WAF komt, geleverd als virtuele appliance, cloudimage of Kubernetes Microgateway.
- BunkerWeb van Bunkerity in Agen is gratis om zelf te hosten onder AGPLv3, met Standard voor 49 euro en Enterprise voor 149 euro per maand.
- Geen van de elf Europese tools op deze pagina vervangt BIG-IP load balancing-hardware; ze vervangen de firewall-, bot- en DDoS-functies.
Waarom mensen F5 verlaten
F5, Inc. begon als maker van load balancers en legt nog steeds het zwaartepunt van zijn verkoop daar.
Het hoofdkantoor zit aan 801 5th Ave in Seattle, en de productlijst loopt van BIG-IP-apparaten en virtuele edities via de NGINX-webserver en gatewaylijn tot Distributed Cloud Services, het SaaS-platform.
Een webapplicatiefirewall is één onderdeel van die lijst, verkocht als F5 WAF voor BIG-IP, als NGINX App Protect of als Distributed Cloud-dienst. Kopers die zeggen dat ze F5 draaien, bedoelen meestal het kastje in het datacenterrek, met de WAF-licentie erbovenop.
Die geschiedenis verklaart waarom de vraag om F5 te verlaten zelden een simpele wissel is. Het WAF-beleid, de iRules, de virtual servers, de TLS-certificaten en de pooldefinities staan vaak op één apparaat dat ook het verkeer verdeelt en sessies beëindigt.
De firewallfunctie naar een Europese aanbieder verplaatsen betekent beslissen welke taken ermee meegaan. Het contract verschilt ook per editie: BIG-IP kan als hardware worden gekocht, als software op een hypervisor of via een marketplace van een publieke cloud, terwijl de F5-pagina's abonnementen voor een bepaalde looptijd, een Flex Consumption Plan en eeuwigdurende licenties tonen, met prijzen op aanvraag.
De redenen om naar Europese tools te kijken gaan vooral over controle en de toeleveringsketen, niet over de kwaliteit van detectie.
F5 stelt in zijn privacyverklaring dat persoonsgegevens aan overheden, rechtbanken of opsporingsdiensten kunnen worden verstrekt onder de wetten van de landen waar het actief is, en dat het voor doorgiftes vertrouwt op het EU-U.S. Data Privacy Framework en op Standard Contractual Clauses. Een koper die een auditor voor elke laag voor een gereguleerde applicatie een Europese contractpartij moet kunnen aanwijzen, moet uitzoeken hoe de alternatieven eruitzien.
- De contractpartij en het doorgiftemechanisme F5, Inc. in Seattle is de verantwoordelijke die in de privacyverklaring wordt genoemd, met een Europees kantoor dat onder de NGINX-naam in Cork draait en een Britse entiteit, F5 Networks Limited, in Chertsey. Voor persoonsgegevens noemt de verklaring het Data Privacy Framework en Standard Contractual Clauses als doorgiftemiddelen. Dat werkt nu, maar het koppelt je compliancedossier aan een kader waarvan de toekomst afhangt van Amerikaanse en Europese politiek. Een Zwitserse, Duitse of Franse leverancier haalt de doorgifte helemaal uit het dossier.
- Een WAF-licentie die is gebundeld met een infrastructuurbeslissing De F5-pagina's verkopen de WAF als module van BIG-IP, dus kopen betekent het platform eromheen kopen of al draaien: hypervisorimages, cloudmarketplace-images of hardware, plus het licentiemodel dat erbij hoort. Teams die alleen een firewall voor een paar applicaties willen, betalen voor verkeersbeheer dat ze misschien nooit gebruiken. Verschillende Europese tools doen alleen de firewalltaak, wat een smallere aankoop en een smaller contract is.
- Prijs alleen op aanvraag Op de F5-pagina's die op 20 oktober 2026 zijn gecontroleerd, staat geen prijs voor de WAF. Abonnementen, het Flex Consumption Plan en eeuwigdurende licenties lopen allemaal via verkoop of een reseller. Dat is normaal voor enterprise-infrastructuur, maar het maakt een vergelijking traag. BunkerWeb publiceert 49 en 149 euro per maand voor zijn zelf gehoste abonnementen, WEDOS Protection publiceert een gratis abonnement en 99 euro per jaar, en Bunny.net begint gratis, dus een budgetgesprek kan beginnen voordat er een call is.
- Het beleid zelf beheren of het laten beheren F5 WAF voor BIG-IP geeft je een leermotor en gedetailleerde beleidsopbouw, wat past bij een team voor applicatiebeveiliging dat regels dagelijks afstelt. Niet elke organisatie heeft dat team. Myra Security zegt dat het eigen security operations-team de WAF-regelsets voor de klant beheert, en Link11 draait zijn WAF als dienst achter een DNS-wijziging. Als je probleem bemensing is en geen functionaliteit, beantwoordt een beheerde Europese dienst dat beter dan een groter apparaat.
Wat je moet vervangen, niet alleen evenaren
Het eerste wat je moet inventariseren is wat het F5-apparaat naast filteren doet. Als het TLS afhandelt voor vijftig hostnamen, verkeer over serverpools verdeelt, headers herschrijft met iRules en globale DNS draait, dan verhuist alleen het eerste van die taken naar een product dat alleen een WAF is.
Airlock en BunkerWeb staan beide voor applicaties als reverse proxy en kunnen de TLS-terminatie en routing voor de beschermde diensten overnemen, maar geen van beide beweert de BIG-IP load balancer of zijn DNS-functies te vervangen. Schrijf voor elke virtual server op of hij bestaat voor beveiliging, voor beschikbaarheid of voor beide.
Het tweede punt is het beleid zelf. Een WAF-beleid dat over jaren leermodus en handmatige uitzonderingen is opgebouwd, is het waardevolste op het apparaat en het moeilijkst te verplaatsen, omdat regelsyntaxis en negatieve beveiligingsmodellen per product verschillen. Reken erop dat je het opnieuw moet opbouwen.
BunkerWeb is gebouwd op ModSecurity en Lua, CrowdSec ondersteunt legacy ModSecurity-regels, en Airlock handhaaft API-schema's, dus de inspanning om te porten hangt af van de regeltaal waar je huidige beleid op leunt. Plan een periode waarin de nieuwe WAF naast de oude in detectiemodus draait.
Het derde punt is de laag die F5 rond de WAF verkoopt: botverdediging, gedragsgebaseerde detectie van denial-of-service, versleuteling op applicatieniveau van gevoelige velden in de browser, en API-bescherming voor GraphQL, REST, XML en GWT. Sommige hiervan hebben nauwe equivalenten in de Europese lijst.
Link11 en Myra Security dekken bots en laag 7-DDoS vanaf een cloudplatform, en Airlock heeft botverdediging en een component voor anomaliedetectie. Versleuteling van velden in de browser is een functie die geen van de gecontroleerde Europese pagina's noemt, dus als je erop vertrouwt, zet het op de lijst met punten om te bevestigen in een proof of concept.
De alternatieven vergeleken
| Positie | Tool | Hoofdkantoor | Prijzen | Jurisdictie |
|---|---|---|---|---|
| #1 | Myra Security | München, Duitsland | Enterprise-prijzen op aanvraag | EU (Duitsland) |
| #2 | Airlock | Zürich, Zwitserland | Prijs op aanvraag (geen prijslijst op de site van de leverancier) | Zwitserland (adequaatheidsbesluit, buiten de EER) |
| #3 | Link11 | Frankfurt, Duitsland | Enterprise-prijzen op aanvraag | EU (Duitsland) |
| #4 | Gcore | Luxemburg | Gratis variant / betaald vanaf ongeveer €25/maand | EU (Luxemburg) |
| #5 | Bunny.net | Ljubljana, Slovenië | Pay-as-you-go vanaf ongeveer €0.01/GB | EU (Slovenië) |
| #6 | BunkerWeb | Agen, Frankrijk | Open source gratis; Standard 49 euro/maand en Enterprise 149 euro/maand (zelf gehost); BunkerWeb CLOUD vanaf 639 euro/maand; Sentinel op offerte | EU (Frankrijk) |
| #7 | WEDOS Protection | Luxemburg, Luxemburg | Gratis abonnement; NoLimit €8.25/maand jaarlijks gefactureerd (€99/jaar) of €13 maandelijks gefactureerd; Managed EU vanaf €1,000/maand jaarlijks gefactureerd | EU (Luxemburg) |
| #8 | CrowdSec | Montrouge, Frankrijk | Gratis en open source / betaalde abonnementen voor de threat feed | EU (Frankrijk) |
| #9 | BitNinja | Debrecen, Hongarije | Per server, voor gehoste gebruikers in USD: VPS Free, VPS 6 voor 6 dollar/maand, Solo 9, Standard 19, Pro 29, Unlimited 39 (promotioneel, jaarlijks), proefperiode van 7 dagen | EU (Hongarije) |
| #10 | Patchstack | Pärnu, Estland | Developer 69 USD/maand jaarlijks gefactureerd (828 USD/jaar), 3 gebruikersplaatsen; Enterprise en Web host op offerte | EU (Estland) |
| #11 | Sansec | Utrecht, Nederland | Per winkel bij Advanced (winkels met tot 20 miljoen euro online omzet) of Enterprise (tot 50 miljoen euro); bedragen niet gepubliceerd | EU (Nederland) |
Hoe elk alternatief zich verhoudt tot F5
Myra Security
Beheerde Duitse WAF- en DDoS-dienst voor exploitanten die verantwoording aan het BSI afleggen
Het meest geschikt voor: Overheden, banken en vitale infrastructuur die de WAF door iemand anders laten draaien
Myra Security, een bedrijf uit München dat in 2012 is opgericht, kiest de tegenovergestelde aanpak van een BIG-IP: er is geen apparaat om af te stellen. Het eigen team beheert de WAF-regelsets, en het platform draait in een uitsluitend Duits netwerk, met daarnaast een CDN, DNS-beveiliging en botbeheer. De toolpagina vermeldt een BSI-certificering, ISO 27001 op basis van BSI IT-Grundschutz en een BSI C5 Type 2-attestatie.
Ten opzichte van F5 is de vraag wie het werk doet. Met een F5 WAF krijgt je team de beleidseditor; Myra levert een dienst met 24/7-operations en een accountmanager, geprijsd op offerte. De toolpagina zet de instapprijs op ongeveer 1,500 euro per maand, een bedrag dat je in een proof of concept moet controleren.
Wat Myra Security beter doet dan F5
- Teams met weinig personeel, omdat Myra de regels afstelt
- Uitsluitend Duitse infrastructuur en personeel
- Certificeringsdossier voor audits onder NIS2
- Eén leverancier voor CDN, DDoS en WAF
Waar Myra Security een stap terug is ten opzichte van F5
- Geen hardware- of on-premise-optie
- Doet geen load balancing voor interne applicaties
- Langzamere start door het verkoopproces
Opvallend ten opzichte van F5. Myra is de enige tool hier die een BSI C5-attestatie combineert met een uitsluitend Duits netwerk en een beheerde WAF.
Airlock
De zelf te beheren gateway die het sterkst lijkt op een BIG-IP WAF, van een Zwitserse leverancier
Het meest geschikt voor: Banken, verzekeraars en overheidsinstanties die de WAF en API-gateway zelf willen draaien
Airlock Gateway van Ergon Informatik AG in Zurich wordt geleverd als virtuele appliance, als cloudimage of als de Microgateway-container voor Kubernetes. Dat is dezelfde vorm van aankoop als F5 WAF voor BIG-IP op een hypervisor, en verkeer en logs blijven in je eigen omgeving. De leverancier noemt filtering op de OWASP Top 10, virtual patching, botverdediging, preventie van DoS op laag 7 en handhaving van API-schema's.
De afweging lijkt ook op die van F5: je beheert het zelf, en de leverancier toont geen prijslijst. Airlock bundelt daarnaast de Webroot-threatintelligence-dienst als externe component, wat een strikte beoordeling van de toeleveringsketen moet meenemen. Zwitserland zit niet in de EU, maar heeft een adequaatheidsbesluit, en Ergon heeft een Duitse vestiging in Frankfurt.
Wat Airlock beter doet dan F5
- Draait volledig binnen je eigen netwerk
- Microgateway-optie voor Kubernetes
- API-gateway en WAF in één product
- Zwitserse handelsregisterinschrijving van de contractpartij
Waar Airlock een stap terug is ten opzichte van F5
- Geen prijstransparantie vóór een demo
- Geen hardware-appliance vermeld
- Vooral verkocht in Zwitserland en Duitsland
Opvallend ten opzichte van F5. Airlock stelt, volgens de leverancier, een reactietijd voor virtual patching van 24 uur voor problemen van het Log4Shell-type.
Het meest geschikt voor: Grote organisaties die aanvalsverkeer willen opvangen voordat het hun eigen netwerk bereikt
Link11 GmbH in Frankfurt, opgericht in 2005, biedt zijn WAF aan als onderdeel van een bundel voor webapplicatie- en API-bescherming, met DDoS-filtering, botbeheer en een veilige CDN. De toolpagina telt twee security operation centers, 13 scrubbingcentra en meer dan 40 points of presence, en meldt dat verkeer alleen in Europese datacenters wordt verwerkt.
Waar F5 verwacht dat je een apparaat uitrolt en dimensioneert, vraagt Link11 om een DNS-wijziging en noemt het de onboarding een kwestie van uren. De WAF hanteert een positief beveiligingsmodel met een opsomming van toegestane applicaties. De prijs is op offerte, en de toolpagina zelf vermeldt dat Cloudflare en Akamai het bredere assortiment en een wereldwijd bereik hebben.
Wat Link11 beter doet dan F5
- Volumetrische DDoS-capaciteit die een apparaat niet kan bieden
- Snelle onboarding via DNS
- BSI-gekwalificeerd en ISO 27001
- Geen hardware om te dimensioneren of te vervangen
Waar Link11 een stap terug is ten opzichte van F5
- Alleen enterprise-offerte
- Kleiner wereldwijd bereik dan de grote CDN's
- Ontsleuteld verkeer gaat via een derde partij
Opvallend ten opzichte van F5. Link11 deelt, volgens de leverancier, wat het over een aanval op één klant leert met alle klanten.
Het meest geschikt voor: Teams die een WAF en CDN op één account willen, met een gratis variant om mee te beginnen
Gcore S.A. in Luxemburg, in 2014 afgesplitst van Wargaming, beheert meer dan 180 points of presence en noemt onder zijn beveiligingsfuncties een WAF, botbeheer en DDoS-bescherming op de lagen 3, 4 en 7. Het verkoopt ook cloud-VM's en edge computing, zodat een team de applicatie en de bescherming bij één aanbieder kan onderbrengen.
Ten opzichte van F5 is het een kleinere klus. Gcore filtert in zijn eigen netwerk en geeft je geen beleidswerkplaats van het BIG-IP-type. De toolpagina zet betaalde abonnementen vanaf ongeveer 25 euro per maand met een gratis variant, ver onder de F5-route, maar de pagina zegt ook dat het platform meer configuratie vraagt dan een kleine site nodig heeft.
Wat Gcore beter doet dan F5
- Hoogste gepubliceerde aantal points of presence hier
- Gratis variant en een openbare startprijs
- Hosting en bescherming op één account
- EU-jurisdictie onder een Luxemburgs bedrijf
Waar Gcore een stap terug is ten opzichte van F5
- Minder diepgaande WAF-beleidstools dan BIG-IP
- Breed platform om in te stellen
- Geen open source
Opvallend ten opzichte van F5. Gcore is de enige tool op deze pagina die ook de cloudservers achter de firewall verhuurt.
Het meest geschikt voor: Developers die assets al via een CDN leveren en tegen weinig kosten basisregels voor de WAF willen
Bunny CDN d.o.o. in Ljubljana, opgericht in 2015, heeft zijn naam gemaakt met levering op basis van betalen naar gebruik, vanaf ongeveer €0.01 per GB. De shieldpagina van de leverancier vermeldt een WAF met een gratis Basic-variant en een Advanced-variant voor 9.5 USD per maand, wat de EP-toolpagina voor Bunny.net nog niet toont.
Vergeleken met F5 is dit een andere gewichtsklasse. Shield dekt veelvoorkomende webaanvallen aan de edge zonder apparaat, iRule of contract, maar biedt geen gedragsanalyses of enterprise-beleidstools. Voor een kleine site die van een F5 virtual edition overstapt is het misschien ruim genoeg, en voor een bank is het niet het antwoord.
Wat Bunny.net beter doet dan F5
- Instapkosten, met een gratis WAF-variant op de pagina van de leverancier
- Geen minimum of verplichting
- Betalen naar gebruik
- Sloveens bedrijf, EU-jurisdictie
Waar Bunny.net een stap terug is ten opzichte van F5
- Geen enterprise-supportmodel
- Beperkte beleidscontrole naast BIG-IP
- Geen edge computing, anders dan Gcore
Opvallend ten opzichte van F5. Bunny.net heeft volgens de shieldpagina van de leverancier de laagste WAF-prijs op deze pagina: een gratis Basic-variant en 9.5 USD per maand voor Advanced.
BunkerWeb
Open-source reverse-proxy-WAF die je zelf kunt hosten, kunt lezen en waarvoor je later support kunt kopen
Het meest geschikt voor: DevOps-teams op Docker of Kubernetes die NGINX App Protect of BIG-IP verlaten
BunkerWeb van Bunkerity SAS in Agen is een reverse proxy met WAF-functies, gebouwd op ModSecurity en Lua, uitgebracht onder AGPLv3. Voor teams die NGINX App Protect hebben gekocht omdat ze al NGINX draaiden, is de vorm vertrouwd, en de code kan worden geauditeerd. De site wordt gehost bij OVH in Roubaix.
Aan de kant van de prijzen is het voor deze markt ongewoon open: gratis Open Source, Standard voor 49 euro en Enterprise voor 149 euro per maand, en BunkerWeb CLOUD vanaf 639 euro. De gratis editie heeft communitysupport en geen SLA. Een klein bedrijf kan volumetrische aanvallen niet opvangen, dus tegen een grote DDoS heb je een aanbieder ervoor nodig.
Wat BunkerWeb beter doet dan F5
- Gepubliceerde prijzen vanaf nul
- Broncode die je kunt inspecteren
- Draait op Linux, Docker en Kubernetes
- Beheerde editie op gecertificeerde Franse infrastructuur op verzoek
Waar BunkerWeb een stap terug is ten opzichte van F5
- Geen load balancing-hardware of globale DNS
- Kleine leverancier naast F5
- Alleen communitysupport in de gratis editie
Opvallend ten opzichte van F5. BunkerWeb is de enige WAF hier die je de broncode onder AGPLv3 geeft, plus een beheerde editie waar je later naartoe kunt overstappen.
WEDOS Protection
Voordelig CDN-schild met een beheerde WAF en logs die in EU-datacenters worden bewaard
Het meest geschikt voor: Kleine en middelgrote sites die gecertificeerde DDoS-bescherming willen zonder verkooptraject
WEDOS Protection biedt een gratis abonnement, een NoLimit-abonnement voor 99 euro per jaar bij jaarlijkse facturatie en een Managed EU-variant vanaf 1,000 euro per maand. Het werkt met caching vanaf 120+ anycast points of presence en voegt DDoS-bescherming op de lagen 3, 4 en 7 toe met een beheerde WAF. Logs, configuraties en analyses staan in twee datacenters die WEDOS in de EU bezit, en het Duitse BSI certificeert de groep als leverancier van DDoS-bescherming.
Lees het contract voordat je tekent. WEDOS Group SA is de Luxemburgse holding, maar de voorwaarden noemen WEDOS, a.s. in Tsjechië als aanbieder. Alles in die keten is Europees, dus de controle gaat over welke entiteit tekent, niet over een verborgen moederbedrijf. Ten opzichte van F5 gaat het aanbod om prijs en eenvoud, niet om diepgang in het beleid.
Wat WEDOS Protection beter doet dan F5
- Gratis abonnement en een jaarprijs van 99 euro
- BSI-gecertificeerde DDoS-leverancier
- Logs bewaard in eigen EU-datacenters
- ISO 27001, 27017 en 27018 vermeld
Waar WEDOS Protection een stap terug is ten opzichte van F5
- De naam van de entiteit verschilt tussen holding en contract
- Weinig beleidstools naast BIG-IP
- Maandelijkse facturatie kost 13 euro, tegen 8.25 bij jaarlijkse facturatie
Opvallend ten opzichte van F5. WEDOS Protection is de enige tool hier met een gratis abonnement van een BSI-gecertificeerde DDoS-leverancier.
CrowdSec
Open-source beveiligingsengine waarvan het AppSec-onderdeel als WAF naast je webserver werkt
Het meest geschikt voor: Teams die zelf hosten en gedeelde IP-reputatie en WAF-regels in één stack willen
CrowdSec SAS in Montrouge maakt een Security Engine die logs en verzoeken leest. Het AppSec-onderdeel ontvangt elk HTTP-verzoek van Nginx, OpenResty, Traefik, Envoy Gateway, HAProxy of een WordPress-plugin, past inband-regels toe en laat de webserver het verzoek blokkeren of doorlaten. De quickstart installeert een verzameling virtual patching die dagelijks wordt bijgewerkt voor bekende CVE's.
Dit staat ver af van een BIG-IP-apparaat, en voor sommige kopers is dat het punt: er staat niets in het verkeerspad behalve je eigen webserver. De gecontroleerde documentatie vermeldt geen prijs of licentie voor het AppSec-onderdeel, en de OWASP Core Rule Set wordt niet door de quickstart geïnstalleerd, dus het afstellen en de false positives zijn voor jou. Het privacybeleid noemt Amerikaanse cloudverwerkers, wat belangrijk is als je je aanmeldt voor het communitynetwerk.
Wat CrowdSec beter doet dan F5
- De engine is gratis om mee te beginnen
- Dagelijks bijgewerkte virtual patching-regels
- Werkt met de webservers die je al draait
- Deelt IP-adressen van aanvallers tussen gebruikers
Waar CrowdSec een stap terug is ten opzichte van F5
- Geen gepubliceerde prijs of licentie voor AppSec
- Geen beheerde dienst of SLA op de gecontroleerde pagina's
- Minder goed passend bij API-protocollen dan Airlock
Opvallend ten opzichte van F5. CrowdSec maakt van één waarneming van een aanvaller bij één gebruiker een blokkade voor elke andere gebruiker van het netwerk.
Het meest geschikt voor: Hostingproviders en VPS-eigenaren die op elke Linux-server een firewall nodig hebben
BitNinja Technologies Zrt. in Debrecen verkoopt een agent die op je eigen Linux-servers draait, met een WAF-module die per domein beveiligingsniveaus toepast vanuit een centraal dashboard. Hostingcontrolepanelen zoals cPanel, Plesk en DirectAdmin behoren tot de ondersteunde omgevingen, en in elk abonnement zitten een WAF, malwarescanner en IP-reputatielijst.
Naast F5 is dit een gedistribueerd model: een filter op elke server, niet één gateway voor alles. Dat past bij een hostingbedrijf met duizend sites en niet bij een bank met vijf applicaties. De prijzen zijn in Amerikaanse dollars per server, een VPS-abonnement is gratis en er wordt een proefperiode van 7 dagen aangeboden; er is geen CDN of volumetrische bescherming, en de locatie van de dashboarddata wordt niet vermeld.
Wat BitNinja beter doet dan F5
- Prijs per server met een gratis VPS-abonnement
- Past bij hostingcontrolepanelen
- Inclusief malwarescanning
- Hongaarse entiteit onder EU-recht
Waar BitNinja een stap terug is ten opzichte van F5
- Alleen Linux
- Geen scrubbingcapaciteit
- USD-prijzen aangegeven als promotioneel
Opvallend ten opzichte van F5. BitNinja is de enige tool op de pagina die is gebouwd rond een hostingprovider met veel klantsites op één server.
Het meest geschikt voor: Bureaus en hosts die veel WordPress-sites beheren
Patchstack OÜ in Pärnu past gerichte mitigatieregels toe voor bekende kwetsbaarheden in WordPress-core, plugins en thema's. De leverancier zegt 12,000 mitigatieregels te hebben en beweert minder false positives te hebben dan algemene WAF's, wat een bewering van de leverancier is. Het Developer-abonnement kost 69 dollar per maand bij jaarlijkse facturatie voor drie gebruikersplaatsen.
Vergeleken met F5 is dit een specialist, en de pagina moet niet suggereren dat het anders is. Patchstack inspecteert het verkeer niet op maatwerk-applicatielogica, en het publiceert geen datalocatie. De waarde zit in het feit dat een plugin-fout kan worden geblokkeerd voordat de site-eigenaar die patcht.
Wat Patchstack beter doet dan F5
- Regels per bekende WordPress-fout geschreven
- Openbare prijs voor één abonnement
- Eerste maand gratis
Waar Patchstack een stap terug is ten opzichte van F5
- Geen algemene WAF
- Alleen open source-ecosysteem
- Prijzen in USD
Opvallend ten opzichte van F5. Patchstack is de enige tool hier die een gecatalogiseerde WordPress-plugin-fout blokkeert voordat de plugin is gepatcht.
Het meest geschikt voor: Magento- en Adobe Commerce-handelaren die al een algemene WAF vooraan hebben
Sansec BV in Utrecht levert Sansec Shield als Composer-module binnen de Magento-winkel. De leverancier zegt dat Sansec de regels onderhoudt, dat geen toegang tot je infrastructuur nodig is en dat Shield naast een bestaande WAF kan draaien.
Ten opzichte van F5 dekt het maar één platform. Licenties gelden per winkel bij het Advanced-abonnement (tot 20 miljoen euro online omzet) of Enterprise (tot 50 miljoen), met bedragen die niet zijn gepubliceerd. Omdat het binnen de applicatie draait, biedt het geen DDoS-capaciteit.
Wat Sansec beter doet dan F5
- Regels die specifiek voor Magento zijn geschreven
- Geen toegang tot infrastructuur nodig
- Kan naast de bestaande WAF draaien
Waar Sansec een stap terug is ten opzichte van F5
- Alleen Magento
- Geen gepubliceerde prijzen
Opvallend ten opzichte van F5. Sansec Shield is de enige tool hier die als code binnen de winkel komt in plaats van als proxy ervoor.
Wat er echt stukgaat als je overstapt
Plan de overgang als parallelle run. Het F5-apparaat blijft in het pad terwijl de Europese WAF in detectiemodus draait, gespiegeld of vooraan, en je vergelijkt gedurende enkele weken wat elk zou hebben geblokkeerd.
Exporteer eerst het F5-beleid en de lijst met uitzonderingen, want die uitzonderingen documenteren jaren aan false positives die het nieuwe hulpmiddel opnieuw zal veroorzaken. Certificaten en TLS-terminatie zijn het andere lastige punt: als je de terminatie van BIG-IP naar een cloud-WAF verplaatst, verandert wie de private sleutels bezit, dus betrek wie het sleutelbeheer doet.
Contracten en mensen zijn het langzamere deel. F5-voorwaarden lopen per abonnementsperiode of met een eeuwigdurende licentie, dus controleer support- en verlengingsdata voordat je een datum aankondigt.
Je medewerkers kennen iRules en de BIG-IP-interface, en een beheerde dienst zoals Link11 of Myra Security verandert hun rol van regels bewerken naar rapporten lezen. Voor een zelf te beheren tool zoals Airlock of BunkerWeb moeten ze worden bijgeschoold op een ander configuratiemodel. Reken op beide, en houd het F5-supportcontract aan tot de laatste applicatie is overgezet.
Kan ik mijn F5-load balancers houden en alleen de WAF vervangen?
Ja, en voor veel teams is dat de verstandige eerste stap. Een BIG-IP kan verkeer doorsturen naar een upstream- of downstream-proxy, en een reverse-proxy-WAF zoals Airlock Gateway of BunkerWeb kan vóór of achter de F5-pool staan, afhankelijk van waar je de TLS wilt laten eindigen. De load balancer behoudt zijn taak, de F5 WAF-licentie vervalt bij verlenging, en het beleid gaat eerst in detectiemodus naar de nieuwe tool.
Het addertje is de verlengingskalender. F5 verkoopt abonnementen voor een bepaalde periode en eeuwigdurende licenties, dus de datum waarop je WAF-module afloopt, bepaalt hoe lang je de twee parallel moet draaien. Vraag je reseller om de einddata van de module voordat je een pilot kiest, want een proof of concept van zes weken dat twee weken na verlenging eindigt, betekent dat je voor beide betaalt.
Is een cloud-WAF van een CDN-provider een eerlijke vervanging voor een on-premise F5?
Het vervangt een andere opzet. Een cloud-WAF zoals Link11, Myra Security, Gcore of WEDOS Protection ontvangt je verkeer eerst, filtert het in hun netwerk en stuurt de schone verzoeken door naar je origin. Dat voegt DDoS-opvang toe en schaft het apparaat af, maar het betekent ook dat een Europese aanbieder je ontsleutelde verkeer ziet, wat een on-premise F5 niet doet. Of dat winst is of een nieuwe afhankelijkheid, hangt af van hoe streng je eigen regels voor de toeleveringsketen zijn.
De on-premise route houdt het verkeer binnen je eigen netwerk. Airlock, BunkerWeb en BitNinja draaien op servers die jij beheert, en CrowdSec draait als engine naast je webserver. Ze bieden geen volumetrische DDoS-capaciteit, dus een grote aanval vraagt om een scrubbingaanbieder vooraan. Veel gereguleerde kopers kiezen uiteindelijk voor beide: een cloud-scrubbingdienst voor volume en een zelf beheerde WAF voor het beleid.
Welke kies je
Als je F5-omgeving vooral een WAF vóór een paar applicaties is en je geen team hebt om die af te stellen, kies dan een beheerde dienst: Myra Security als het BSI-dossier belangrijk is, Link11 als DDoS-capaciteit net zo belangrijk is als de firewall.
Als je het beleid in eigen handen wilt houden en je applicaties in je eigen datacenter of cluster staan, kies dan Airlock voor een ondersteunde commerciële gateway of BunkerWeb voor een open-source variant die je kunt lezen en waarvoor je later kunt betalen.
Als de F5-rekening kleiner is dan de F5-omgeving, dan zijn de goedkopere tools zinvol. WEDOS Protection en Bunny.net beginnen gratis, Gcore begint bij ongeveer 25 euro per maand met de cloud erachter, en BitNinja, CrowdSec, Patchstack en Sansec passen bij hostingvloten, WordPress en Magento. Houd BIG-IP aan waar load balancing en globale DNS het doel zijn, en wees eerlijk dat F5 sterker blijft in diepgang van het beleid, bot- en gedragsdetectie en pure breedte van het productaanbod.
Veelgestelde vragen
Voor de firewallfunctie zijn Myra Security en Link11 de beheerde Duitse opties met BSI-referenties, Airlock is de dichtstbijzijnde zelf te beheren gateway van een Zwitserse leverancier, en BunkerWeb is de open-sourcekeuze uit Frankrijk. Geen van hen vervangt F5-load balancing-hardware. Welke past, hangt af van of je een cloudservice wilt, een gateway die je zelf draait of een gratis engine, en de vergelijking hieronder scheidt die gevallen.
BunkerWeb is gratis om zelf te hosten onder AGPLv3, en de betaalde abonnementen beginnen bij 49 euro per maand. WEDOS Protection heeft een gratis abonnement en een NoLimit-abonnement van 99 euro per jaar bij jaarlijkse facturatie. Bunny.net en Gcore hebben ook gratis instapmogelijkheden, en BitNinja heeft een gratis VPS-abonnement. Myra Security, Link11 en Airlock publiceren geen prijzen, dus je hebt een verkoopgesprek nodig voordat je de kosten kent.
Het haalt de doorgifte via de leverancier weg voor de firewalllaag, omdat de contractpartij in de EU, het Verenigd Koninkrijk of Zwitserland zit. Het raakt andere F5-producten die je misschien houdt niet, zoals BIG-IP load balancers, die hun eigen privacyverklaring hebben. Controleer elk product dat je behoudt tegen de privacyverklaring die F5 publiceert, en behandel de WAF als één item op die lijst.
Gedeeltelijk. Airlock handhaaft API-schema's, sleutels en throttling en werkt met zijn eigen identity-product voor OAuth 2.0, OpenID Connect en SAML. Link11 en Myra Security vermelden API-beveiliging in hun WAAP-aanbod. F5 noemt GraphQL-, REST-, XML- en GWT-protocolbeveiliging voor zijn BIG-IP WAF, dus vergelijk tijdens een proefperiode de protocollen die je echt draait, niet de kopjes met functies.
Vaak is een specialist de betere eerste aankoop. Patchstack past virtual patches toe voor bekende WordPress-kwetsbaarheden vanaf 69 dollar per maand bij jaarlijkse facturatie, en Sansec Shield installeert in een Magento-winkel als Composer-module. Beide zijn smal en geen van beide vangt volumetrische aanvallen op, dus combineer ze met een op CDN gebaseerde dienst uit de lijst wanneer verkeersvolume onderdeel van je risico is.
Gerelateerde vergelijkingen
Over de auteur
Ontdek meer Europese alternatieven
Ontdek privacyvriendelijke Europese alternatieven voor andere populaire Amerikaanse techdiensten.