- 証拠15/35
- 透明さ35/35
- 使いやすさ30/30
- 料金
- 月21,000円〜
- 無料
- 90日体験
- 返金
- —
- 日本語窓口
- 電話
Webサーバに組み込んで使うホスト型の国産WAF。自社でサーバを管理しており、外部サービスに通信を通さずにWAFを入れたい企業に向く。
WAFの選び方と比較（2026年）
WAFは、Webサイトへの攻撃を手前で止める仕組みです。IPAはWAFを、弱点そのものを直す対策ではなく、攻撃の影響を減らす対策と位置づけています。最初に確かめるのは、自社サイトの置き場所に合う形（クラウド型・サーバー導入型）か、誤って正常な通信を止めたときに誰が直すかです。
- 14件を掲載
- 最高の評価 80点
- 無料で試せる 5件
WHAT IT PROTECTS
WAFを入れると、
こんなことから守れます
会社のWebサイトの前に置いて、サイトへの攻撃を止めるしくみです。
- Webサイトを書き換えられる
サイトの弱点をねらう攻撃を、サイトの手前で止めます。
- お客さまの情報を抜き取られる
問い合わせフォームなどからの情報の抜き取りを防ぎます。
- アクセスを集中させてサイトを止められる
大量のアクセスによる攻撃を和らげます。
- サイトの更新が追いつかない
弱点が見つかっても、直すまでの間の攻撃を止めます。
これだけでは守れないこと
- ×WordPressなどの更新をしなくてよくなるわけではない
- ×社員のパソコンやメールは守れない
01
CHAPTER 1 · COMPARE迷ったらこの3つ
- 証拠15/35
- 透明さ35/35
- 使いやすさ24/30
- 料金
- 月25,000円〜
- 無料
- 7日体験
- 返金
- —
- 日本語窓口
- フォーム
国産WAF「SiteGuard」シリーズのクラウド版で、シグネチャの更新や設定を事業者側が行うマネージド型。複数サイトをまとめて守りたい企業…
- 証拠15/35
- 透明さ28/35
- 使いやすさ30/30
- 料金
- 月28,000円〜
- 無料
- 30日体験
- 返金
- —
- 日本語窓口
- 電話
韓国ペンタセキュリティのクラウド型WAFで、WAFにDDoS・ボット・API対策をまとめて提供する。複数ドメインを1契約で守りたい中小〜大企業…
COMPAREWAFの比較表
公式サイトで確かめた値です。「—」は公式に書かれていない、または確かめられなかった項目です。
| サービス | 評価 | 料金 | 形 | 最低月額（円） | ルールの自動更新 | 国内SOC |
|---|---|---|---|---|---|---|
| SiteGuard Server Edition | 80 | 月21,000円〜 | ホスト型 | 21,000 | ○ | × |
| SiteGuard Cloud Edition | 74 | 月25,000円〜 | クラウド | 25,000 | ○ | — |
| Cloudbric WAF+ | 73 | 月28,000円〜 | クラウド | 28,000 | — | — |
| Cloudflare WAF | 68 | 無料プランあり | クラウド | — | ○ | — |
| Cloudflare（WAF・DDoS対策・CDN） | 67 | 月0円〜 | クラウド型 | 0 | ○ | — |
| WafCharm（ワフチャーム） | 65 | 月46,000円〜 | クラウド | 46,000 | ○ | — |
| 攻撃遮断くん | 65 | 月10,000円〜 | クラウド | 10,000 | ○ | — |
| Scutum（スキュータム） | 55 | 月32,780円〜 | クラウド | 32,780 | ○ | ○ |
| AWS WAF | 52 | 外貨建て | クラウド | — | ○ | × |
| PrimeWAF（バルテス） | 49 | 月14,300円〜 | クラウド型（DNS切り替え） | 14,300 | ○ | — |
| セコム マネージドWAFサービス | 40 | 見積り | クラウド | — | — | — |
| Akamai App & API Protector | 27 | 見積り | クラウド | — | ○ | — |
| F5 WAF（BIG-IP Advanced WAF / Distributed Cloud WAF） | 22 | 見積り | 機器/クラウド/仮想 | — | ○ | — |
| Imperva WAF | 13 | 見積り | クラウド/機器 | — | ○ | — |
02
CHAPTER 2 · ALLすべてのサービス
14件。評価の高い順です。
- 証拠15/35
- 透明さ35/35
- 使いやすさ30/30
- 料金
- 月21,000円〜
- 無料
- 90日体験
- 返金
- —
- 日本語窓口
- 電話
Webサーバに組み込んで使うホスト型の国産WAF。自社でサーバを管理しており、外部サービスに通信を通さずにWAFを入れたい企業に向く。
- 証拠15/35
- 透明さ35/35
- 使いやすさ24/30
- 料金
- 月25,000円〜
- 無料
- 7日体験
- 返金
- —
- 日本語窓口
- フォーム
国産WAF「SiteGuard」シリーズのクラウド版で、シグネチャの更新や設定を事業者側が行うマネージド型。複数サイトをまとめて守りたい企業…
- 証拠15/35
- 透明さ28/35
- 使いやすさ30/30
- 料金
- 月28,000円〜
- 無料
- 30日体験
- 返金
- —
- 日本語窓口
- 電話
韓国ペンタセキュリティのクラウド型WAFで、WAFにDDoS・ボット・API対策をまとめて提供する。複数ドメインを1契約で守りたい中小〜大企業…
- 証拠10/35
- 透明さ28/35
- 使いやすさ30/30
- 料金
- 無料プランあり
- 無料
- プランあり
- 返金
- —
- 日本語窓口
- 電話
知っておくことが1件あります
CDN・DDoS対策と一体で使えるクラウド型WAF。無料プランから始められ、月25ドルのProで主要なマネージドルールが入るため、個人サイトから…
- 証拠5/35
- 透明さ35/35
- 使いやすさ27/30
- 料金
- 月0円〜
- 無料
- プランあり
- 返金
- —
- 日本語窓口
- チャット
Webサイトの前段に置き、攻撃の遮断、大量アクセスによる妨害（DDoS）への対策、配信の高速化をまとめて行うクラウドサービスです。無料の…
- 証拠15/35
- 透明さ30/35
- 使いやすさ20/30
- 料金
- 月46,000円〜
- 無料
- —
- 返金
- —
- 日本語窓口
- 電話
AWS WAFなどクラウド事業者のWAFに、ルールの作成・更新を自動で行う運用サービス。クラウドWAFを導入したが設定や運用の手が足りない企業…
- 証拠15/35
- 透明さ30/35
- 使いやすさ20/30
- 料金
- 月10,000円〜
- 無料
- —
- 返金
- —
- 日本語窓口
- 電話
サイバーセキュリティクラウドが国内で開発・運用するクラウド型WAF。1サイトから月額制で使え、DNS切り替え型のほかサーバに入れるタイプ…
- 証拠5/35
- 透明さ30/35
- 使いやすさ20/30
- 料金
- 月32,780円〜
- 無料
- —
- 返金
- —
- 日本語窓口
- 電話
セキュアスカイ・テクノロジーが提供するSaaS型WAF。ピーク時トラフィックに応じた月額制で、短期間の利用もできるため、自社でWAFを運用…
- 証拠15/35
- 透明さ23/35
- 使いやすさ14/30
- 料金
- 外貨建て
- 無料
- —
- 返金
- —
- 日本語窓口
- フォーム
AWS上のCloudFront・ALB・API Gateway等に付けて使う従量課金のWAF。ルールの設計・運用は利用者が行うため、AWSを使っていて自社で設定で…
- 証拠5/35
- 透明さ30/35
- 使いやすさ14/30
- 料金
- 月14,300円〜
- 無料
- —
- 返金
- —
- 日本語窓口
- フォーム
脆弱性診断を行うバルテスが自社で提供するクラウド型WAFです。DNSの設定を変えるだけで導入でき、診断で蓄積したノウハウをもとにした防…
- 証拠15/35
- 透明さ15/35
- 使いやすさ10/30
- 料金
- 見積り
- 無料
- —
- 返金
- —
- 日本語窓口
- 不明
クラウド型のWAFを利用者のWebサーバーの前に置き、Webアプリケーションを狙う攻撃を検知・遮断するセコムトラストシステムズの法人向けサ…
- 証拠5/35
- 透明さ8/35
- 使いやすさ14/30
- 料金
- 見積り
- 無料
- —
- 返金
- —
- 日本語窓口
- フォーム
CDN大手アカマイのエッジで動くWAF・API保護。大規模サイトやAPIをまとめて守り、運用をアカマイに任せる形も選べるため、大企業向け。
- 証拠0/35
- 透明さ8/35
- 使いやすさ14/30
- 料金
- 見積り
- 無料
- —
- 返金
- —
- 日本語窓口
- フォーム
知っておくことが2件あります
ロードバランサ大手F5のWAFで、機器・仮想アプライアンス・SaaS・コンテナから選べる。オンプレミスとクラウドが混在する大企業のシステム…
- 証拠5/35
- 透明さ8/35
- 使いやすさ0/30
- 料金
- 見積り
- 無料
- —
- 返金
- —
- 日本語窓口
- 不明
知っておくことが1件あります
クラウド型・オンプレミス型・Kubernetes型を選べるWAF。レガシーなアプリやデータの所在地要件があるシステムも含めて守りたい大企業向け…
ARTICLES
この対策が役に立つ場面（記事）
03
CHAPTER 3 · HOW TO CHOOSE選び方の解説
01WAFとは何か（何を守り、何は守れないか）
WAF（Web Application Firewall）は、Webサイトやネットショップに届く通信を調べ、SQLインジェクションやクロスサイト・スクリプティングなど、サイトの弱点を突く攻撃を手前で止める仕組みです。普通のファイアウォールやUTMは通信の宛先や種類で判断しますが、WAFは問い合わせフォームに入力された中身など、Webの通信の中身まで見ます。
IPAの「安全なウェブサイトの作り方」は、弱点を作り込まないことを「根本的な解決」、WAFのような仕組みを「攻撃による影響の低減」と分けて整理しています。WAFを入れても、サイトの弱点がなくなるわけではありません。管理画面のパスワードが漏れた場合や、正規の操作に見える不正、大量の通信でサイトを止めるDDoS攻撃の一部は、WAFだけでは防げません。IPAの「重要なセキュリティ情報」では、2026年もWordPressやPHP、Movable Typeの弱点について対策が呼びかけられており、WAFを入れていても本体の更新は欠かせません。
02選ぶときに見る5つの点
- 形：クラウド型は、ドメインの設定（DNS）を切り替えて通信をWAF経由にします。サーバー導入型は、Webサーバーにソフトを入れます。レンタルサーバーでは使える形が限られることがあるので、比較表の「形」の列と、使っているサーバーの仕様を照らし合わせます。
- 最低月額と課金の基準：サイト数、通信量、リクエスト数のどれで料金が決まるか。通信量で上がる料金だと、アクセスが増えた月に費用が増えます。
- ルールの自動更新：新しい攻撃の手口に合わせて、検査のルールを事業者が更新してくれるか。自分でルールを書く前提のものもあります。
- 国内SOC・問い合わせ窓口：攻撃を止めた記録の確認や、誤って止めたときの調整を日本語で頼めるか。
- 証明書と通信の扱い：https化したサイトの証明書をWAF側で扱えるか、通信の記録をどこに何日残すか。
03料金の相場
図鑑の11件のうち、円建てで月額を公開しているのは5件で、最低月額は1万円から4万6,000円まででした。このうち3件は別に初期費用がかかり、公開されている額は9万8,000円と11万円です。クラウドの従量課金型は、ルールの数とリクエスト数で料金が決まり、ドル建てです。無料プランで基本のルールを使えるものが1件あります。大企業向けの4件は見積りのみです。7日と30日の無料試用を用意しているものが1件ずつあります。
04よくある失敗と注意点
- 正常な通信まで止める：会員登録や決済など、入力の多い画面で正しい操作が止められることがあります。導入直後は「検知のみ」で様子を見て、誤検知を直してから止める設定にします。
- WAFを通らない道が残る：クラウド型では、サーバーの本当の住所（IPアドレス）に直接届く通信がWAFを通りません。サーバー側でWAF以外からの通信を受け付けない設定にします。
- 入れたから更新しなくてよいと考える：WordPressのプラグインなど、本体の更新は別に必要です。
- 記録を見ていない：止めた攻撃の記録から、狙われているページや弱点の兆しが分かります。月1回は確かめます。
05導入前に確かめること
- 守るサイトの数とドメイン、サブドメイン。
- サーバーの置き場所（レンタルサーバー、クラウド、自社サーバー）と、管理会社に設定を変えてもらえるか。
- 月の通信量とアクセスの多い時期。
- 誤検知が出たときに、制作会社と事業者のどちらに連絡するか。
IPAは「Web Application Firewall 読本」と補足資料で、WAFの種類と選び方、導入判断から運用までの流れを解説しています。制作会社と話すときの共通の資料として使えます。
06WAFと組み合わせる対策
WAFは単独では効き目が限られます。次の対策と組み合わせると、穴を埋め合えます。
- CMSとプラグインの更新：WordPressなどは、更新の通知が出たら早めに当てます。使っていないプラグインは消します。
- 管理画面の守り：管理画面のURLへの接続元を絞る、多要素認証を入れる、推測されにくいパスワードにする。
- 定期的な脆弱性診断：サイトを大きく変えたときや年1回など、決まった時期に弱点を調べます。
- バックアップ：改ざんされたときに戻せるよう、サイトのデータを別の場所に残します。
07無料で済ませられる場合
会社紹介だけの静的なサイトで、問い合わせフォームや会員機能がなければ、攻撃を受ける場所が少なく、CMSの更新とレンタルサーバー標準のWAF機能で足りることがあります。国内の多くのレンタルサーバーは、追加料金なしでWAF機能を有効にできます。個人情報を入力させる画面やネットショップがある場合は、専用のWAFと、定期的な脆弱性診断をあわせて検討します。
04
CHAPTER 4 · MOREもっと知りたい
FAQよくある質問
WAFを入れれば脆弱性診断はいりませんか？
WAFは攻撃の影響を減らす仕組みで、サイトの弱点そのものは残ります。IPAも弱点を作り込まないことを根本的な解決としています。WAFで時間を稼ぎつつ、脆弱性診断で弱点を見つけて直す、という組み合わせが基本です。
レンタルサーバーのWAF機能で足りますか？
問い合わせフォーム程度のサイトなら、レンタルサーバー標準のWAF機能を有効にし、CMSを更新していれば足りることがあります。会員情報やカード情報を扱う場合や、誤検知の調整・記録の確認を頼みたい場合は、専用のWAFを検討します。
クラウド型WAFはどう導入しますか？
多くはドメインの設定（DNS）を変えて、サイトへの通信がWAFを通るようにします。サーバーにソフトを入れる必要はありません。証明書の扱いと、サーバーへ直接届く通信を止める設定を、事業者の手順書で確かめます。
誤検知とは何ですか？
正しい操作をWAFが攻撃と見なして止めてしまうことです。入力欄の多い画面で起きやすく、会員登録や注文ができなくなることがあります。導入直後は検知だけの設定で様子を見て、止めてよいかを確かめてから切り替えます。
DDoS攻撃も防げますか？
WAFはWebの通信の中身を見て攻撃を止める仕組みで、大量の通信でサイトを止めるDDoS攻撃は、別のDDoS対策機能が受け持ちます。クラウド型WAFの中には両方を提供するものもあるので、対象範囲を公式の説明で確かめます。
TOGETHERあわせて見たい
使う人で絞る
一緒に使われることが多い対策
こんなときに
MOREほかの条件で探す
分類