FortiWeb et pare-feu applicatif web (WAF) | Securevalley

2 juillet 2026 · Nouh Droussi · Cybersécurité · Maroc · 4 min de lecture · Mis à jour 26 septembre 2026

Le WAF FortiWeb protège vos applications web et API au niveau de la couche 7. Fonctions, modes de déploiement et statut 2026 de l'offre cloud.

FortiWeb est le pare-feu d'applications web (WAF) de Fortinet. Placé devant vos serveurs web et vos API, il inspecte le trafic HTTP et HTTPS pour bloquer les injections, les scripts intersites, l'abus d'API ou les robots malveillants, que le pare-feu réseau ne sait pas interpréter. Il existe en appliance, en machine virtuelle, sur les clouds publics et en conteneur ; la version SaaS fait désormais partie de FortiAppSec Cloud.

Pourquoi un pare-feu réseau ne suffit pas

Un pare-feu de nouvelle génération filtre les flux, identifie les applications et peut appliquer une prévention d'intrusion. Mais une requête d'injection SQL arrive sur le port 443, vers un serveur légitime, dans une session parfaitement valide. Pour la détecter, il faut comprendre la logique applicative : les paramètres attendus, leur format, l'enchaînement des pages, le comportement normal d'un utilisateur. C'est le rôle du WAF, qui travaille au niveau de la couche 7 et connaît la structure des requêtes HTTP.

Ce que protège FortiWeb

• Les attaques applicatives courantes, notamment celles recensées par le Top 10 de l'OWASP : injections, contrôle d'accès défaillant, failles de configuration, etc.
• Les API : découverte automatique des points de terminaison à partir du trafic observé, et application de modèles de sécurité positifs fondés sur les schémas OpenAPI, JSON ou XML.
• Les robots : distinction entre robots légitimes (moteurs de recherche) et robots malveillants (collecte de données, bourrage d'identifiants), à l'aide de techniques de leurre, d'analyse comportementale et d'apprentissage automatique.
• Les attaques par déni de service applicatif et le vol de comptes.

FortiWeb s'appuie sur une détection par apprentissage automatique à deux niveaux : un premier modèle apprend le comportement normal de l'application, un second qualifie les anomalies pour réduire les faux positifs.

Modes de déploiement

Le choix du mode d'insertion dans le réseau conditionne les fonctions disponibles :

• reverse proxy : FortiWeb termine les connexions des clients et en ouvre de nouvelles vers les serveurs ; c'est le mode le plus complet (déchiffrement TLS, réécriture, répartition de charge) ;
• proxy transparent et inspection transparente : le WAF s'insère sans modifier l'adressage IP existant, au prix de certaines fonctions ;
• protection hors ligne : FortiWeb analyse une copie du trafic, sans pouvoir bloquer en ligne ; utile pour une phase d'observation.

Dans tous les cas, l'inspection du trafic chiffré suppose que le WAF dispose des certificats ou termine lui-même la session TLS.

Statut du produit en 2026 : FortiWeb et FortiAppSec Cloud

FortiWeb reste un produit actif, avec une branche 8.0 documentée. En revanche, l'offre SaaS FortiWeb Cloud n'existe plus sous ce nom : elle a été intégrée à FortiAppSec Cloud, plateforme qui réunit l'ancien FortiWeb Cloud (WAF et analyse des menaces), FortiGSLB (équilibrage de charge global) et la protection avancée contre les robots FortiGuard. Selon la documentation Fortinet, l'essentiel des fonctions est resté identique lors de cette consolidation. Si vous consultez d'anciennes procédures mentionnant FortiWeb Cloud, cherchez désormais leur équivalent dans FortiAppSec Cloud.

Méthode de mise en œuvre

Un WAF mal réglé bloque des utilisateurs légitimes ou laisse passer des attaques. Une démarche progressive limite ces risques :

• inventorier les applications et API exposées, leurs technologies et leurs propriétaires ;
• démarrer en mode détection ou apprentissage, analyser les journaux et ajuster les exceptions ;
• basculer en blocage application par application, en commençant par les signatures les plus fiables ;
• intégrer le WAF au cycle de développement : chaque nouvelle version d'une API doit mettre à jour son schéma et donc la politique associée ;
• centraliser les journaux dans votre SIEM pour corréler les attaques web avec les autres événements.

Le WAF ne remplace pas le développement sécurisé ni les tests d'intrusion : il réduit l'exposition, notamment le temps qu'un correctif applicatif soit déployé.

Compétences et formation

Configurer un WAF exige de comprendre les attaques qu'il doit bloquer, et de savoir lire une requête HTTP suspecte. Ces parcours sont complémentaires :

• Certified Ethical Hacker (CEH v13) pour connaître les techniques d'attaque des applications web ;
• OSCP+ pour une pratique approfondie de l'exploitation, utile pour tester l'efficacité réelle de vos règles ;
• CompTIA Security+ pour les fondamentaux de la sécurité applicative et réseau.

Conclusion

FortiWeb protège la couche applicative que les pare-feu réseau ne voient pas, du formulaire web à l'API. Retenez que la version SaaS s'appelle désormais FortiAppSec Cloud, et que l'efficacité d'un WAF dépend avant tout d'une mise en production progressive et d'un réglage continu.