網頁應用防火牆（WAF） 是部署在網站與使用者之間的一道安全防護系統，專門用來監控、過濾並阻擋惡意的 HTTP 請求，保護網站免受應用層攻擊（如 SQL 注入、跨站腳本 XSS、跨站請求偽造 CSRF 等）及資料外洩風險。WAF 會分析 HTTP 請求的 URL、參數、Header、Body 等內容，利用黑白名單、行為分析等規則判斷流量是否安全，惡意流量則被阻擋或驗證，合法流量才會送達網站伺服器。
HTTPS 全站加密 則是指網站所有頁面均使用 HTTPS 協議，透過 SSL/TLS 憑證加密用戶端與伺服器間的資料傳輸，確保資料在網路傳輸過程中不被竊聽或竄改。HTTPS 不僅保護資料隱私，也提升網站的信任度與安全性。
兩者的關係與整合：
- WAF 若要有效防護 HTTPS 流量，必須能解密並檢查加密的 HTTP 請求。這通常需要將 SSL 憑證上傳到 WAF，讓 WAF 成為 HTTPS 流量的終端（終止 TLS 連線），才能對流量進行分析與過濾。
- WAF 支援設定允許的 TLS 協議版本與加密套件，若用戶端使用不符合要求的加密方式，WAF 會拒絕連線，提升安全防護等級。
- HTTPS 全站加密與 WAF 共同作用，HTTPS 保護資料傳輸安全，WAF 則防止惡意攻擊進入網站應用層，兩者互補提升網站整體安全。
簡言之，WAF 是應用層的安全防護機制，負責過濾惡意請求；HTTPS 全站加密則是傳輸層的加密技術，保障資料安全。兩者結合能有效防止攻擊並保護資料隱私。部署時，需將 SSL 憑證配置於 WAF，讓其能檢查加密流量，確保安全防護完整。
