passa sopra un livello
02 / COME FUNZIONA
Più livelli di difesa, un solo servizio
Ogni richiesta attraversa più controlli, uno dopo l'altro, e ognuno ferma un tipo diverso di minaccia. Quello che arriva in fondo è traffico legittimo. Le prossime sezioni li raccontano uno per uno.
I livelli
dall'esterno verso la tua app
03 / KARNA
Karna, il motore che legge ogni richiesta
Il cuore del WAAP è Karna, il firewall applicativo sviluppato da Sicuranext. Scompone ogni richiesta nelle sue parti e le confronta con migliaia di regole: riconosce SQL injection, XSS, esecuzione di comandi e tutto l'OWASP Top 10. Poi decide: blocca, ripulisce o lascia passare.
Quattro richieste, quattro esiti
consentita · bloccata · sanificata · bannata
PassaSanificataBloccata
CRS 4
tutto l'OWASP Core Rule Set, con le correzioni per i falsi positivi più noti
2–4×
più veloce di ModSecurity a parità di regole, nel benchmark pubblico di Karna
0
riavvii per cambiare una regola: le modifiche sono attive subito
1
riga di log per richiesta, con ogni regola che è scattata e perché
Non blocca i clienti per sbaglio
sanificazione invece del blocco
Se una regola scatta su un nome come O'Brien, Karna può togliere solo il carattere pericoloso da quel campo e lasciar passare la richiesta. Un falso positivo costa un apostrofo, non un cliente.
Ogni regola dell'OWASP CRS si può spegnere, ammorbidire o trasformare in solo-avviso per un singolo sito, senza toccare le altre.
Login, API e abusi
regole su misura del tuo sito
Riconosce i login riusciti e falliti senza toccare l'applicazione, e li registra: chi ha provato, da dove, con che esito.
Rate limit e ban temporanei sono azioni delle regole: troppi tentativi sul login, sul carrello o su un'API e l'indirizzo viene rallentato o fermato.
Capisce anche il traffico degli agenti AI verso i server MCP, e applica le regole a ogni messaggio.
04 / VIRTUAL PATCHING
Vulnerabilità nuova? Protetto in poche ore
Quando esce una falla in WordPress, in un plugin o in un framework, aggiornare l'applicazione può richiedere settimane. Noi scriviamo una regola Karna che blocca l'exploit e la mettiamo in produzione su tutti i servizi: sei protetto mentre aggiorni con calma.
ore
non settimane, dalla pubblicazione della CVE alla regola attiva
tutti
i servizi protetti ricevono la regola nello stesso momento
0
interventi richiesti a te o al tuo fornitore
05 / IP E PAESI
Decidi tu da dove si entra
Visitatori e attaccanti arrivano da tutto il mondo. Puoi lasciare fuori interi paesi o continenti, le reti di un provider, i nodi Tor e gli indirizzi già noti per attaccare. E lasciare sempre dentro i tuoi uffici e i tuoi partner.
trascina per ruotare
AttacchiVisitatori
Paesi e continentiblocca dove non lavori, anche solo su alcune pagine
Reti e providerescludi data center e ASN da cui arrivano solo bot
Tor e liste nerefuori i nodi Tor e gli indirizzi segnalati
Allowlistuffici, partner e monitoraggi passano sempre
06 / DOS
Un'ondata di traffico non ti butta giù
Quando le richieste superano la soglia che il tuo sito regge, la protezione DoS si attiva da sola: l'eccesso viene fermato o messo alla prova con una challenge, e il tuo server continua a servire i clienti veri. Quando l'ondata passa, si spegne.
Come reagisce
automatico, regolabile per sito
Soglia di richieste al minuto scelta sul tuo traffico reale.
Limiti per indirizzo IP, per browser e per singole pagine, come login e ricerca.
E-mail quando la protezione si accende e quando si spegne.
07 / BOT
Le persone passano, i bot no
Scraper, bot dei carrelli e programmi che provano password si travestono da browser. Il WAAP li smaschera con una challenge invisibile: chi usa un browser vero non si accorge di nulla, chi lo pilota con un programma si ferma. I bot buoni, come Google, vengono verificati e passano.
Cosa controlla
senza captcha per le persone
Challenge JavaScript invisibile, o Cloudflare Turnstile dove serve un controllo in più.
Browser automatizzati, rilevati anche quando usano Chrome vero.
Finti Googlebot, Bingbot e Applebot: il nome non basta, conta la rete da cui arrivano.
Proxy residenziali e browser troppo vecchi per essere veri.
08 / WORDPRESS
WordPress, chiuso dove serve
Gli attacchi a WordPress passano quasi sempre dalle stesse porte. Il WAAP le chiude o le sorveglia, senza plugin da installare sul sito e senza toccarne il codice.
Cosa fa
attivabile voce per voce
Blocca xmlrpc.php, wp-cron.php e l'elenco degli autori, con eccezioni per gli IP che ne hanno bisogno.
Conta i login falliti e banna chi prova le password a raffica.
Nasconde la versione di WordPress e dei plugin, e può spostare la pagina di login su un indirizzo tuo.
09 / SPAM
Form puliti, letti dall'AI
Contatti, prenotazioni, commenti: i form si riempiono di spam che nessun filtro a parole chiave riesce a fermare. Un modello AI legge ogni messaggio come farebbe una persona e scarta quelli che non lo sono, prima che arrivino al tuo sito.
Come funziona
solo sui form che scegli tu
Funziona su qualunque form, in qualunque lingua.
Puoi bloccare lo spam o solo segnalarlo, e decidere cosa fare se il modello non risponde.
Puoi usare un modello di OpenAI, Google o Anthropic, oppure uno che gira in locale senza mandare i messaggi a terzi.
10 / AGENTI AI
ChatGPT, Gemini e Perplexity leggono il tuo sito. Tu decidi come.
Sempre più persone cercano e comprano chiedendo a un assistente AI, e quell'assistente legge il tuo sito al posto loro. Il WAAP riconosce gli agenti dei provider AI, verifica che siano davvero loro e gli serve una versione del sito fatta per essere letta da un modello: più leggera, più precisa e sotto il tuo controllo.
Dall'HTML al Markdown, solo per chi è verificato
verifica del nome e della rete · conversione · registrazione
~15×
più leggera: l'agente riceve il contenuto, non menu, script e banner (esempio indicativo)
2
controlli per riconoscere un agente: il nome che dichiara e la rete ufficiale del provider
ogni
visita di un agente AI verificato finisce nei log, con provider e scopo
Perché conviene
i benefici
Risposte più giuste su di te. Il modello legge testo pulito, prezzi e orari, invece di indovinare tra menu e codice: quando qualcuno chiede del tuo prodotto, la risposta parte dalle tue parole.
Meno carico. Una pagina Markdown pesa una frazione dell'HTML: agenti che leggono di più consumano meno banda e meno server.
Nessuna modifica al sito. La conversione la fa il WAAP al volo, sulle pagine che scegli, mantenendo titoli, link, immagini e dati strutturati.
I visitatori veri non cambiano nulla. Le persone continuano a vedere il sito di sempre.
Il controllo resta a te
crawler AI, uno per uno
Risposta a un utentel'assistente legge la pagina perché qualcuno gliel'ha chiesto adessoMarkdown
Ricercail crawler indicizza il sito per le risposte futureMarkdown
Addestramentoi contenuti finiscono nei dati di training del modelloa tua scelta
Scegli quali provider e quali scopi ricevono il Markdown e quali possono saltare la challenge anti-bot, pagina per pagina.
Dichiari le tue preferenze sull'uso dei contenuti (ricerca, risposte AI, addestramento) in ogni risposta.
Chi dice di essere un agente AI ma non arriva dalla rete del provider non ottiene nulla di speciale: passa dai controlli normali.
11 / CACHE
Più veloce, non più lento
Immagini, script e pagine statiche vengono serviti direttamente dal WAAP: il tuo server lavora meno e i visitatori aspettano meno. Quando pubblichi qualcosa di nuovo, la cache si svuota con un clic o una chiamata API.
Una giornata tipo di un sito protetto
passa sul grafico per leggere ogni ora · dati di esempio
RichiesteCacheBloccate
12 / FAILOVER
Se il server cade, il sito resta su
Il WAAP controlla di continuo che il tuo server risponda. Se smette, sposta il traffico su un server di backup in pochi secondi, e lo riporta indietro quando il primario torna in salute. Chi sta navigando non se ne accorge.
Come decide
controlli attivi o passivi
Controlla una pagina a tua scelta a intervalli regolari, oppure guarda gli errori delle risposte vere.
Può partire in sola osservazione, per vedere cosa avrebbe fatto prima di attivarlo davvero.
Torna sul primario da solo, o quando lo decidi tu.
13 / SALA D'ATTESA
Il picco arriva, il sito regge
Biglietti in vendita, saldi, un evento in diretta: quando arrivano più persone di quante il sito ne possa servire, la sala d'attesa le mette in fila. Entrano nell'ordine in cui sono arrivate, vedono la loro posizione, e il sito non rallenta per nessuno.
Con il tuo marchio
la pagina d'attesa
Logo, colori e testi del tuo sito, in sei lingue.
Posizione in coda aggiornata in tempo reale, senza ricaricare la pagina.
Si attiva su tutto il sito o solo sulle sezioni sotto pressione.
14 / ACCESSO CON 2FA
Le aree riservate, dietro un secondo lucchetto
Pannelli di amministrazione, ambienti di staging, back office: il WAAP chiede l'accesso con Google, con il secondo fattore, prima ancora che la pagina si apra. Una password rubata non basta più, e non serve toccare l'applicazione.
Come funziona
sulle pagine che scegli tu
Entrano solo gli account o i domini aziendali che autorizzi; chiunque altro si ferma al login.
Funziona su qualunque applicazione, anche quelle che il 2FA non lo hanno.
Il resto del sito resta pubblico, come prima.
Per le API, una chiave per ogni cliente o partner, con il nome passato all'applicazione.
15 / REPORT E ALERT
Sai sempre cosa è successo
Ogni richiesta è registrata e misurata. Ricevi un report periodico chiaro, pronto da girare al management, con un'analisi scritta da PAI, l'agente AI di Sicuranext, in italiano e in inglese. E se succede qualcosa di importante, un'e-mail ti avvisa subito.
WAAP · Protection activity report
Il tuo sito
Richieste18,4M
Bloccate212K
Bad bot48K
Cache hit61%
Executive summary · PAI
Nel periodo il traffico è cresciuto del 12%. Il picco di blocchi del 14 coincide con una campagna automatica contro il login, fermata dal rate limit. Consigliamo di attivare la challenge anche su /carrello.
esempio illustrativo, con la grafica del report reale
Cosa ricevi
senza chiedere
Report periodico per sito: traffico, attacchi, bot, paesi, performance.
Analisi in linguaggio semplice, con le raccomandazioni.
Alert via e-mail sugli eventi che contano, alle persone che scegli.
Monitoraggio delle pagine più importanti.
16 / KALLM · ENTERPRISE
KaLLM: l'AI che vede gli abusi che le regole non vedono
Un'operazione di bot ben fatta cambia indirizzo e browser a ogni visita: sembra migliaia di visitatori diversi e nessuna regola la riconosce. KaLLM è la famiglia di modelli AI di Sicuranext addestrati sulla sicurezza web. Per i clienti Enterprise analizzano il traffico del sito e trovano quello che una regola scritta a mano non può trovare.
KaLLM ClusterEnterprise
Quello che un bot non riesce a cambiare è il modo in cui si muove nel sito. KaLLM Cluster trasforma ogni sessione di navigazione in un punto: le sessioni che si muovono allo stesso modo finiscono vicine e formano un gruppo, anche se arrivano da IP e browser diversi.
Le evidenze nel traffico dicono cosa è ogni gruppo: persone, browser automatizzati, bot dei carrelli, monitoraggi. Per i gruppi di automazione Karna applica regole mirate, e le persone non vengono toccate.
Su un'ora di traffico reale, 86 sessioni su 100 di un'operazione bot sono finite nello stesso gruppo, e in quel gruppo non c'era nessun altro. Senza il modello, contando le parole delle richieste: 47 su 100.
dati illustrativi
KaLLM ForecastEnterprise
Quando un'API smette all'improvviso di ricevere richieste, o ne riceve il triplo, qualcosa non va: un guasto a monte, un abuso, un attacco. Una soglia fissa suona ogni notte, quando il traffico è basso comunque, oppure non vede il calo.
KaLLM Forecast legge il giorno prima e prevede l'intervallo in cui dovrebbe stare ognuno dei prossimi 60 minuti, per richieste, client, byte ed errori. Quando il valore vero esce dalla banda, scatta l'allarme.
Su sei servizi web, nascosti 144 tratti di 20 minuti senza traffico: KaLLM Forecast ne ha trovati 133. Confrontando ogni minuto con la mediana dell'ultima ora: 54.
dati illustrativi
Automazione che cambia faccia
Bot che ruotano IP e browser vengono riconosciuti dal comportamento, non dall'indirizzo.
Abusi di utilizzo
Carrelli riempiti e mai pagati, scraping dei prezzi, uso anomalo delle API: gruppi che si muovono in modo diverso dai clienti.
Anomalie di traffico
Cali e picchi fuori dall'atteso, servizio per servizio, senza soglie da tarare a mano.
17 / SEMPRE INCLUSO
Le basi, già fatte
Attive appena il tuo dominio passa dal WAAP, senza configurazioni da parte tua.
18 / PARLIAMONE
Mettiamo il tuo sito dietro al WAAP
Ci bastano il nome del dominio e mezz'ora di call. Ti mostriamo il traffico reale del tuo sito, cosa blocchiamo e come.
Scrivici