免費 WAF 有哪些作用、功能與限制？

免費 WAF 可用來監控、過濾進入網站的流量；依產品與方案不同，也可能提供白名單、阻擋紀錄等功能。但「免費」不代表功能相同：有的隨指定主機附贈，有的屬於 WordPress 安全外掛的一部分，自訂規則與例外放行也各有限制。以下依材料中的產品介紹與設定案例整理，不將歷史文章視為現行方案承諾。

流量過濾之外，還要看能否查紀錄與處理誤擋

Mobile01 一篇主機介紹文將 WAF 的主要作用描述為監控與過濾網站流量。該文介紹的免費服務另有兩項具體功能，不能據此推定所有免費 WAF 都提供：

• 阻擋紀錄：可查詢哪些頁面遭到阻擋，作為檢查防護結果的線索。
• 白名單：文章示範在發現頁面被錯誤阻擋後，將該頁面加入白名單。

這個案例顯示，評估功能不能只問「能不能開啟防護」，也要問「擋了什麼能否查到、誤擋後能否調整」。不過，這是特定服務的操作介紹，不是其他產品通用的設定步驟。

安全外掛的附加功能，不全是 WAF 本身的能力

Welly 標示日期為 2025 年 1 月的文章介紹，Wordfence 免費版包含網站防火牆、惡意程式掃描、即時流量監測、雙重驗證與 reCAPTCHA。這可作為 WordPress 安全外掛的功能案例，但不能把整套外掛的功能都歸為 WAF，也不能推論其他免費 WAF 同樣具備。

該文同時提醒，Wordfence 會消耗主機資源；低規格主機可能受到速度影響，並建議搭配快取外掛。這是文章的使用建議，不代表每個網站都會變慢，也沒有量測數據可用來估算影響幅度。

免費可能附帶主機條件，進階規則另有門檻

前述 Mobile01 文章介紹的免費 WAF，僅隨其文中指定的「WordPress 主機」與「半專屬主機」提供。因此，這裡的免費是特定主機服務的附加項目，不是任何網站都能獨立申請的免費工具。

作者也指出，若需要其他自訂安全規則或更進階功能，可考慮付費版。這不等於所有免費方案都不能自訂規則；選擇時仍應逐項確認所需功能是否包含，以及是否受主機方案綁定。

能設白名單，不代表能略過所有防護

iThome 的一篇技術文章指出，在其描述的 Cloudflare 設定中，WAF 自訂規則的 Skip 可用於 Browser Integrity Check 與 Super Bot Fight Mode，卻不能繞過免費版 Bot Fight Mode，理由是後者不在 Ruleset Engine 上運作。

這個案例提醒：規則是否有效，要看它作用於哪一項防護，不能把「已有放行規則」理解為所有檢查都會放行。所附材料未提供該文日期，這裡僅保留其技術案例，不作為現行方案設定保證。