Europese web application firewall-tools

#1 Myra Security

München, Duitsland Opgericht in 2012 Enterpriseprijzen / Neem contact op voor een offerte Demo op aanvraag

Het meest geschikt voor: Europese ondernemingen, overheidsinstanties, kritieke infrastructuur

• Uitvoerend bedrijf. Myra Security GmbH
• Jurisdictie. EU (Duitsland)
• Broncode. Closed source
• Vervangt. Cloudflare, Akamai, AWS Shield

Myra Security is de beheerde optie op deze lijst: het eigen security operations-team van de leverancier onderhoudt de WAF-regelsets, dus er is geen beleidseditor om te leren en geen appliance om te dimensioneren.

Naast de WAF biedt het platform DDoS-mitigatie met een opgegeven capaciteit boven 50 Tbps, een CDN dat de leverancier zelf beheert, DNS-beveiliging met anycast en botbeheer dat zoekcrawlers onderscheidt van credential-stuffing-verkeer. De leverancier zegt aan alle 37 BSI-criteria voor gekwalificeerde DDoS-mitigatie te hebben voldaan, een cijfer om te bevestigen in een proof of concept.

Het bedrijf is Myra Security GmbH in München, opgericht in 2012, en de toolpagina noemt federale instanties, staatsinstellingen en exploitanten van kritieke infrastructuur onder de beschermde organisaties.

Hosting en toegang door personeel zijn uitsluitend Duits, en de op de pagina genoemde certificeringen zijn ISO 27001 op basis van BSI IT-Grundschutz en een BSI C5 Type 2-attestatie. De prijs van dat profiel is toegang: geen self-service aanmelding, een verkoopproces vóór elke evaluatie, en een startbedrag dat de toolpagina op ongeveer 1,500 euro per maand stelt.

Onderscheidende functie. Myra Security is de enige tool hier die een BSI C5 Type 2-attestatie, een uitsluitend Duits netwerk en een WAF met door het eigen personeel beheerde regels combineert.

#2 Airlock

Zürich, Zwitserland Prijzen op aanvraag (geen prijslijst op de site van de leverancier) Demo op aanvraag

Het meest geschikt voor: Banken, verzekeraars en publieke instanties in Duitstalige markten die een WAF willen die ze zelf beheren

• Uitvoerend bedrijf. Ergon Informatik AG
• Jurisdictie. Zwitserland (adequaatheidsbesluit, buiten de EER)
• Waar de gegevens staan. Zelf beheerd: Gateway draait in je eigen omgeving; geen door de leverancier gehoste datalocatie vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. F5 BIG-IP Advanced WAF, Imperva, Akamai App and API Protector

Airlock is de gateway voor organisaties die hun eigen WAF en API-bescherming willen beheren. Airlock Gateway staat als reverse proxy voor webapplicaties en API's en combineert OWASP Top 10-filtering, virtual patching, botbescherming en laag 7-preventie van denial-of-service met afdwinging van API-schema's, sleutels en throttling. Een AI-gebaseerde component die de leverancier Anomaly Shield noemt voegt detectie toe, en rapportage plus SIEM-integratie maken deel uit van het pakket.

De contracterende entiteit is Ergon Informatik AG in Zürich, ingeschreven in het Zwitserse handelsregister, met een Duitse vestiging in Frankfurt; Airlock is een merk van Ergon en geen afzonderlijk bedrijf.

De levering gebeurt als virtual appliance, cloudimage of Microgateway-container voor Kubernetes, wat betekent dat verkeer en logs in je eigen omgeving blijven. Er is geen prijslijst en geen self-service proefperiode, de Gateway bevat de Webroot-threatintelligenceservice als onderdeel van een derde partij, en volumetrische DDoS vereist een andere provider ervoor.

Onderscheidende functie. Airlock is de enige tool hier die een WAF en een API-gateway in één product samenbrengt dat je op je eigen virtuele machines of Kubernetes-cluster draait.

#3 Link11

Frankfurt, Duitsland Opgericht in 2005 Enterpriseprijzen / Neem contact op voor een offerte Demo op aanvraag

Het meest geschikt voor: Europese ondernemingen die geavanceerde DDoS-bescherming nodig hebben

• Uitvoerend bedrijf. Link11 GmbH
• Jurisdictie. EU (Duitsland)
• Broncode. Closed source
• Vervangt. Cloudflare, Akamai, AWS Shield

Link11 is waar een WAF en een grote DDoS-verdediging samenkomen, verkocht door een Duits bedrijf dat met DDoS-bescherming begon.

De WAF verdedigt tegen de OWASP Top 10 en gebruikt een positief beveiligingsmodel, wat betekent dat het opsommen van toegestane applicaties en toegangscontrolelijsten bekend goed verkeer doorlaten, in plaats van te proberen elk slecht patroon op te sommen. Hij hoort bij een bundel die ook botbeheer, API-beveiliging, DNS-bescherming en een beveiligde CDN dekt, en de toolpagina telt twee security operation centres, 13 scrubbingcentra en meer dan 40 points of presence.

Link11 GmbH, opgericht in 2005 en gevestigd in Frankfurt, heeft ISO 27001 en BSI-kwalificatie als DDoS-provider voor kritieke infrastructuur in Duitsland, en de toolpagina zegt dat al het verkeer wordt verwerkt in Europese datacenters.

De leverancier claimt dat mitigatie binnen 0 tot 10 seconden per aanvalsvector start en dat wat bij één klant wordt geleerd de rest beschermt, beide uitspraken van de leverancier. De prijs is op maat, gebaseerd op verkeer, domeinen en modules, en de toolpagina erkent zelf dat Cloudflare en Akamai een breder portfolio en een groter wereldwijd netwerk bieden.

Onderscheidende functie. Link11 is de enige tool hier die een WAF met positief beveiligingsmodel toepast bovenop een altijd actief, AI-gebaseerd DDoS-filter van dezelfde leverancier.

#4 Gcore

Luxemburg Opgericht in 2014 Gratis niveau beschikbaar, betaald vanaf €25/maand Demo op aanvraag

Het meest geschikt voor: Gamingbedrijven, streamingplatforms en bedrijven die wereldwijde contentlevering met lage latentie nodig hebben

• Uitvoerend bedrijf. Gcore S.A.
• Jurisdictie. EU (Luxemburg)
• Waar de gegevens staan. 180+ PoP's wereldwijd, meerdere locaties in de EU
• Broncode. Closed source
• Vervangt. Cloudflare, AWS CloudFront, Akamai

Gcore behandelt de WAF als één beveiligingsfunctie van een breder edge- en cloudplatform, wat past bij teams die liever bij één aanbieder hosten en beschermen.

Naast de WAF noemt de leverancier DDoS-filtering over netwerk- en applicatielagen, botbeheer, beheer van SSL/TLS-certificaten, een CDN, DNS-hosting, load balancing, edge computing en cloud-VM's in Europese regio's zoals Luxemburg, Frankfurt en Amsterdam. Basis-DDoS-bescherming is inbegrepen bij CDN-abonnementen, en de toolpagina beschrijft een 24/7 security operations centre.

Gcore S.A. is een Luxemburgs bedrijf, in 2014 opgericht als spin-out van gamingbedrijf Wargaming, wat de focus op gamedistributie en livestreaming verklaart.

Met 180+ points of presence heeft het het grootste gepubliceerde netwerk van de tools hier, en er is een gratis niveau naast betaalde abonnementen vanaf ongeveer €25 per maand. Dezelfde breedte is het nadeel: de toolpagina zegt dat er meer te configureren valt dan een kleine site nodig heeft, en de WAF is niet het onderdeel van het platform waarvoor het bedrijf het best bekend is.

Onderscheidende functie. Gcore is de enige tool hier die de cloudservers en de edge-firewall ervoor van hetzelfde Luxemburgse bedrijf verkoopt.

#5 Bunny.net

Ljubljana, Slovenië Opgericht in 2015 Pay-as-you-go (vanaf €0.01/GB) Demo op aanvraag

Het meest geschikt voor: Ontwikkelaars en bedrijven die een snelle, betaalbare CDN met videostreaming nodig hebben

• Uitvoerend bedrijf. Bunny CDN d.o.o.
• Jurisdictie. EU (Slovenië)
• Waar de gegevens staan. 110+ PoP's wereldwijd (sterke aanwezigheid in Europa)
• Broncode. Closed source
• Vervangt. Cloudflare, AWS CloudFront

Bunny.net komt vanaf de CDN-kant bij web application firewalls, en de pitch is prijs en eenvoud.

Het bedrijf maakte zijn naam met pay-as-you-go-levering, gefactureerd per gigabyte vanaf ongeveer een cent, met edge-opslag, Stream-videohosting, DNS en beeldverwerking op hetzelfde account. De shieldpagina van de leverancier noemt een WAF met een gratis Basic-niveau en een Advanced-niveau voor 9.5 USD per maand; de EP-toolpagina toont nog alleen DDoS-bescherming, dus bevestig het huidige niveau bij de leverancier.

Bunny CDN d.o.o. is een bedrijf uit Ljubljana, opgericht in 2015, dat volgens de toolpagina zonder durfkapitaal groeide en 110+ points of presence draait met een sterke Europese voetafdruk. Dat maakt het de goedkoopste instap op deze lijst voor een site die al achter een CDN staat. De beperkingen zijn de keerzijde: geen edge computing, minder geschikt voor enterprisecontracten en toegewijde support, en een veel oppervlakkigere beleidscontrole dan een gespecialiseerde WAF.

Onderscheidende functie. Bunny.net is de enige tool hier die een WAF-niveau gratis laat beginnen binnen een pay-as-you-go-CDN zonder minimumbesteding.

#6 BunkerWeb

Agen, Frankrijk Open Source gratis; Standard 49 euro/maand en Enterprise 149 euro/maand (zelf gehost); BunkerWeb CLOUD vanaf 639 euro/maand; Sentinel op offerte Demo op aanvraag

Het meest geschikt voor: DevOps-teams die een controleerbare WAF willen die ze zelf hosten, met optionele betaalde support

• Uitvoerend bedrijf. Bunkerity SAS
• Jurisdictie. EU (Frankrijk)
• Waar de gegevens staan. Zelf gehost: je eigen servers. BunkerWeb CLOUD: provider en regio op aanvraag gekozen, inclusief infrastructuur met SecNumCloud-, ISO 27001- of HDS-certificering
• Broncode. Closed source
• Vervangt. F5 BIG-IP Advanced WAF, NGINX App Protect, Cloudflare WAF

BunkerWeb is de open-source-WAF op deze lijst, een reverse proxy van Bunkerity SAS die OWASP Top 10-aanvallen en kwaadaardige bots vanaf één toegangspunt blokkeert en daar ook HTTPS-certificaten en HTTP-beleid beheert. De leverancier zegt dat het is gebouwd op ModSecurity en Lua, met ondersteuning voor HTTP/2, HTTP/3 en TLS 1.3, en de kerncode is gepubliceerd onder AGPLv3, zodat een securityteam kan lezen wat het verkeer filtert. Installatiedoelen zijn Linux, Docker en Kubernetes.

Bunkerity SAS is geregistreerd in Agen, Frankrijk, met een aandelenkapitaal van 75,000 euro, en de website stelt dat het wordt gehost door OVH in Roubaix.

De prijsladder is de meest open van de zelf gehoste tools: gratis Open Source met communitysupport en zonder SLA, Standard voor 49 euro per maand, Enterprise voor 149 euro per maand, een proefperiode van 30 dagen, en BunkerWeb CLOUD vanaf 639 euro per maand op infrastructuur die op aanvraag wordt gekozen, inclusief providers met SecNumCloud-, ISO 27001- of HDS-certificering. Het bedrijf is klein vergeleken met F5, en grote volumetrische aanvallen vereisen een scrubbingprovider ervoor.

Onderscheidende functie. BunkerWeb is de enige WAF hier waarvan de broncode open is onder AGPLv3 en die ook een beheerde editie op gecertificeerde Franse infrastructuur verkoopt.

#7 WEDOS Protection

Luxemburg, Luxemburg Opgericht in 2010 Gratis abonnement; NoLimit €8.25/maand bij jaarlijkse facturatie (€99/jaar) of €13 bij maandelijkse facturatie; Managed EU vanaf €1,000/maand bij jaarlijkse facturatie Demo op aanvraag

Het meest geschikt voor: Sites en kleine bedrijven die een gratis of goedkope shield willen met DDoS-bescherming met BSI-certificering en in de EU opgeslagen logs

• Uitvoerend bedrijf. WEDOS Group SA
• Jurisdictie. EU (Luxemburg)
• Waar de gegevens staan. 120+ anycast-PoP's wereldwijd (het gratis abonnement wordt bediend vanuit PoP's in de EU); logs, configuraties en analyses opgeslagen in de twee eigen datacenters van WEDOS in de EU
• Broncode. Closed source
• Vervangt. Cloudflare

WEDOS Protection plaatst een beheerde WAF in een CDN-shield en is geprijsd als een hostingproduct in plaats van als een beveiligingscontract.

Een gratis abonnement wordt alleen vanaf locaties in de EU bediend, het betaalde niveau heet NoLimit (€99 voor een jaar, of €13 voor één maand), het Advanced-abonnement heeft een proefperiode van 15 dagen, en het beheerde niveau begint bij €1,000 per maand bij een jaarlijkse looptijd. Verzoeken worden bediend vanaf 120+ anycast-locaties en gefilterd over netwerk- en applicatielagen.

De groep begon in 2010 in Tsjechië, en de holding, WEDOS Group SA, verplaatste in 2025 haar hoofdkantoor naar Luxemburg.

De voorwaarden noemen nog steeds WEDOS, a.s. in Hluboká nad Vltavou als provider en het privacybeleid noemt WEDOS Internet, a.s. als verwerkingsverantwoordelijke, dus vraag welke entiteit je contract tekent. WEDOS zegt geen externe investeerders te hebben en een BSI-certificaat voor leveranciers van DDoS-bescherming te hebben. Logs, configuraties en analyses blijven in twee datacenters in de EU die WEDOS zelf beheert.

Onderscheidende functie. WEDOS Protection zet de bescherming van een DDoS-leverancier met BSI-certificering op een gratis abonnement en houdt de logs in datacenters die van WEDOS zijn.

#8 CrowdSec

Montrouge, Frankrijk Opgericht in 2020 Gratis en open source / betaalde abonnementen voor de threat feed Demo op aanvraag

Het meest geschikt voor: Teams die zelf hosten en collaboratieve IP-reputatie en een WAF-engine in één open-sourcestack willen

• Uitvoerend bedrijf. CrowdSec SAS (RCS 880 140 496)
• Jurisdictie. EU (Frankrijk)
• Waar de data staan. Europese Unie
• Broncode. Open source
• Vervangt. Cloudflare-botbeheer, Fail2ban op schaal

CrowdSec is eerst een beveiligingsengine en pas daarna een WAF, en dat is de reden om het te kiezen. De Security Engine leest logs en verzoeken, en de AppSec-component ontvangt elk HTTP-verzoek van Nginx, OpenResty, Traefik, Envoy Gateway, HAProxy of WordPress, past in-band-regels toe en laat de webserver het verzoek blokkeren of doorlaten. De quickstart installeert een virtual patching-collectie voor bekende CVE's, dagelijks bijgewerkt, plus generieke aanvalsregels, en de documentatie vermeldt ondersteuning voor legacy ModSecurity-regels.

CrowdSec SAS is geregistreerd in Nanterre onder nummer 880 140 496, met kantoor in Montrouge, Frankrijk, en is opgericht in 2020.

De leverancier beschrijft het product als open source en collaboratief, waarbij aanvalssignalen tussen gebruikers worden gedeeld, en verkoopt blocklists en threat intelligence apart. De gecontroleerde AppSec-documentatie vermeldt geen licentie of prijs voor de WAF-component, de OWASP Core Rule Set wordt niet door de quickstart geïnstalleerd, het afstellen is aan jou, en het privacybeleid noemt Amerikaanse cloudverwerkers, dus controleer de datastromen voordat je je aanmeldt.

Onderscheidende functie. CrowdSec is de enige tool hier die de waarneming van een aanvaller door één gebruiker omzet in een blokkade voor elke andere gebruiker van hetzelfde netwerk.

#9 BitNinja

Debrecen, Hongarije Per server naar aantal gehoste gebruikers in USD: VPS Free, VPS 6 voor 6 dollar/maand, Solo 9, Standard 19, Pro 29, Unlimited 39 (promotie, jaarlijks), proefperiode van 7 dagen Demo op aanvraag

Het meest geschikt voor: Shared-hostingproviders en VPS-eigenaren die een WAF op elke Linux-server willen

• Uitvoerend bedrijf. BitNinja Technologies Zrt.
• Jurisdictie. EU (Hongarije)
• Waar de gegevens staan. Niet vermeld; de agent draait op je eigen servers en rapporteert aan het BitNinja-clouddashboard
• Broncode. Closed source
• Vervangt. F5 NGINX App Protect, ModSecurity-opstellingen, Imunify360

BitNinja is een server-side firewall gebouwd voor het bedrijf dat veel klantwebsites host op gedeelde Linux-machines.

De WAF is een zelfstandige engine in plaats van een module van Apache, NGINX of LiteSpeed, dus hij hangt niet af van de webserver, en beveiligingsniveaus en filters worden per domein ingesteld vanuit een centraal dashboard. Hij blokkeert SQL-injectie, cross-site scripting, CMS-exploits en misvormde verzoeken met regels die via de cloud worden bijgewerkt, en elk abonnement bevat ook een AI-malwarescanner en een wereldwijde IP-reputatielijst.

BitNinja Technologies Zrt. is geregistreerd in Debrecen, Hongarije, en de voorwaarden noemen Hongaarse rechtbanken voor geschillen.

De prijs is per server en hangt af van het aantal gehoste gebruikers, in Amerikaanse dollars: een gratis VPS-abonnement, VPS 6 voor 6 dollar per maand, dan Solo 9, Standard 19, Pro 29 en Unlimited 39, getoond als promotionele jaarprijzen met een proefperiode van 7 dagen. Het beschermt alleen Linux-servers die je beheert, biedt geen CDN of volumetrische DDoS-scrubbing, en vermeldt niet waar de dashboarddata wordt opgeslagen.

Onderscheidende functie. BitNinja is de enige tool hier die een WAF per domein, malwarescanner en IP-reputatie in één keer op elke Linux-server van een hostingpark zet.

#10 Patchstack

Pärnu, Estland Developer 69 USD/maand bij jaarlijkse facturatie (828 USD/jaar), 3 gebruikersplekken; Enterprise en Web host op offerte Demo op aanvraag

Het meest geschikt voor: Bureaus en hosts die veel WordPress-sites onderhouden en bekende kwetsbaarheden geblokkeerd willen hebben voordat patches zijn toegepast

• Uitvoerend bedrijf. Patchstack OÜ
• Jurisdictie. EU (Estland)
• Waar de gegevens staan. Niet vermeld, behalve een toezegging van AVG-conforme hosting; analyticsprovider PostHog wordt gehost in de EU
• Broncode. Closed source
• Vervangt. F5 WAF, Wordfence, Imunify360

Patchstack beantwoordt één specifieke vraag: wat beschermt een WordPress-site tussen de dag waarop een plug-infout wordt gepubliceerd en de dag waarop de eigenaar patcht.

RapidMitigate van Patchstack past gerichte virtual patch-regels toe om misbruik van bekende kwetsbaarheden in WordPress-core, plug-ins en thema's te blokkeren zonder de sitecode te wijzigen, en de dekking omvat ook WooCommerce en NodeJS. De leverancier zegt 12,000 unieke mitigatieregels te hebben en claimt tot 74 procent meer kwetsbaarheden te voorkomen dan toonaangevende web application firewalls, wat een uitspraak van de leverancier is.

Patchstack OÜ is de verwerkingsverantwoordelijke die in het privacybeleid wordt genoemd, met registratiecode 14331217 aan de Aida tn 7 in Pärnu, Estland.

Het Developer-abonnement kost 69 dollar per maand bij jaarlijkse facturatie (828 dollar per jaar) voor drie gebruikersplekken, met een gratis eerste maand en pakketten van vijf extra sites voor 12.50 dollar per maand, terwijl voor Enterprise- en Web host-abonnementen een offerte wordt gegeven. Het is geen algemene WAF voor maatwerkapplicatielogica, het richt zich op open-sourcesoftware, en de gecontroleerde pagina's vermelden geen datalocatie.

Onderscheidende functie. Patchstack is de enige tool hier die een regel onderhoudt per gecatalogiseerde WordPress-kwetsbaarheid, zodat de kwetsbaarheid wordt geblokkeerd voordat de plug-in is bijgewerkt.

#11 Sansec

Utrecht, Nederland Per winkel bij Advanced (winkels tot 20 miljoen euro online omzet) of Enterprise (tot 50 miljoen euro); bedragen niet gepubliceerd Demo op aanvraag

Het meest geschikt voor: Magento- en Adobe Commerce-verkopers die bescherming willen tegen bekende Magento-aanvallen

• Uitvoerend bedrijf. Sansec BV
• Jurisdictie. EU (Nederland)
• Waar de gegevens staan. Draait binnen je Magento-winkel op je eigen server; datalocatie van de leverancier niet vermeld op de gecontroleerde pagina's
• Broncode. Closed source
• Vervangt. F5 WAF, Imperva, Cloudflare WAF voor Magento-winkels

Sansec Shield is de firewall die is geschreven voor één platform, Magento, en hij wordt binnen de winkel geïnstalleerd in plaats van ervoor. De leverancier zegt dat Shield zich richt op Magento-specifieke dreigingen in plaats van op generieke regels te leunen, als Composer-module wordt geïnstalleerd zonder toegang tot je infrastructuur, regels automatisch bijwerkt en naast een bestaande WAF kan draaien. Sansec noemt ook malwarescanning, Slack-meldingen en een dashboard voor meerdere winkels.

Sansec BV is geregistreerd in Utrecht, Nederland, aan het Wolvenplein 25, onder bedrijfsregistratie 77165187. Shield hoort bij het Advanced-abonnement, voor winkels tot 20 miljoen euro jaarlijkse online omzet, en het Enterprise-abonnement, tot 50 miljoen euro; een standaardlicentie dekt één winkel die wordt geïdentificeerd via de database, en bedragen zijn niet gepubliceerd. Omdat Shield binnen de applicatie draait, kan het geen volumetrische aanvallen opvangen of andere diensten op dezelfde infrastructuur beschermen.

Onderscheidende functie. Sansec Shield is de enige tool hier die wordt geleverd als Composer-module van de webwinkel zelf, met regels die alleen voor Magento worden onderhouden.