BunkerWeb

Colocado na frente das aplicações como proxy reverso, o BunkerWeb filtra o tráfego antes que ele chegue ao servidor. É um WAF construído sobre o NGINX, com a proposta de deixar os serviços protegidos já na configuração padrão. Por dentro vem o ModSecurity com o OWASP Core Rule Set, ajustável por variáveis de ambiente, plugins ou interface web.

Para que serve

• Emitir certificados Let's Encrypt e aplicar cabeçalhos de segurança HTTP e TLS reforçado.
• Banir clientes suspeitos pelos códigos HTTP que eles provocam e limitar conexões e requisições por cliente.
• Barrar bots com desafios de cookie, JavaScript, captcha, hCaptcha ou reCAPTCHA.
• Bloquear IPs com histórico de abuso a partir de listas externas e DNSBL.

Como começar

A imagem tudo em um reúne as peças num contêiner só:

docker run -d \
  --name bunkerweb-aio \
  -v bw-storage:/data \
  -p 80:8080/tcp \
  -p 443:8443/tcp \
  -p 443:8443/udp \
  bunkerity/bunkerweb-all-in-one:1.6.17

Em seguida, o assistente no caminho /setup cria o administrador, define o domínio da interface e liga o Let's Encrypt. Há também script para Debian, Ubuntu, Fedora e RHEL, Docker Compose e Helm. O guia pede pelo menos 2 vCPUs e 8 GB de RAM e supõe dois domínios, um para a interface e outro para o serviço protegido.

Licença e custo

A edição aberta segue a AGPL-3.0, que cobra algo de quem altera o código: se a versão modificada atende usuários pela rede, eles têm direito ao código-fonte correspondente.

Os recursos PRO entram por chave de licença na mesma instalação. O site lista o plano Shield a 49 euros por mês e o Fortress a 149 euros, ambos auto-hospedados e com 30 dias de teste. Há ainda o Sentinel, sob orçamento, e o BunkerWeb Cloud, gerenciado pela equipe, a partir de 639 euros por mês.

Quando vale a pena

Para quem hospeda alguns sites ou APIs no próprio servidor e quer um WAF sem escrever regra do zero, o BunkerWeb chega com o pacote montado. O preço disso é operar mais um serviço com banco, agendador e interface. Se ninguém da equipe quer cuidar de servidor, um WAF em nuvem dá menos trabalho. Entre as opções auto-hospedadas, o SafeLine e o CrowdSec atacam o mesmo problema por caminhos diferentes.