通過するパケットのIPアドレスやポート番号だけでなくペイロード部(データ部分)をチェックすることで、Webアプリケーションに対する攻撃を検知し、遮断することが可能なファイアウォールのこと。
本来、Webシステムへの攻撃はWebアプリケーション側で対処すべき問題だが、脆弱性のないWebアプリケーションを作成するためには専門的な知識や技術が必要であるため、全てのWebアプリケーションでセキュリティ対策を万全にすることは難しい。WAFはこのようなセキュリティ対策の不十分さを補完し、Webアプリケーションの堅牢性を高める役割を担う。WAFによってチェックされるデータの例としては、URLパラメタやクッキーの内容などのHTTPヘッダ情報や、POSTデータの内容などのメッセージボディ部などが挙げられる。