WAF（Web Application Firewall：ワフ）とは、Webアプリケーションの脆弱性を狙った攻撃からWebサイトやWebサービスを防御するための専用のセキュリティシステムです。一般的なファイアウォールがネットワークの出入り口を守るのに対し、WAFはWebサービスのデータの中身を詳細に分析して攻撃を防ぎます。
ショッピングサイトやブログなどのWebアプリケーションは、ユーザーからの入力を受け付けて処理を行います。悪意のある第三者は、この入力欄に特殊なプログラムコードなどを送り込んでデータを盗もうとします（SQLインジェクションやクロスサイトスクリプティングなど）。WAFは、インターネットから送られてくるリクエスト（通信データ）を監視し、このような悪意あるコードが含まれていないかをチェックします。もし怪しい通信を発見した場合は、Webサーバーに到達する前にその通信を遮断します。
Webサイトのお問い合わせフォームに、データベースを不正操作するための命令文（SQL文）が入力された場合、WAFがそれを検知してブロックします。