WAF+DDoS防护太贵了？网站安全这层铠甲其实几百块就能搞定，附配置要点

怕买贵？WAF+DDoS防护到底要花多少钱？

直接说结论：小站点用WAF基础版每月980元，大流量业务上企业版也才9800元/月。DDoS防护有中小企业普惠版13000元/月起步，也有按量后付费的方案。简单业务场景，先买WAF基础版就够用，流量大了再叠加DDoS防护。怕不知道怎么选？建议直接去https://www.aliyun.com/minisite/goods?userCode=5ql52pjx看最新特惠价，新老用户同享折扣。

新手第一次买，WAF和DDoS防护怎么搭配最省钱？

新手直接买WAF 3.0包年包月基础版是最划算的入门方案。如果你是小企业或个人站长，建议先开通WAF 3.0按量付费版，用多少扣多少，还能搭配SeCU资源包抵扣费用，1 SeCU仅0.05元，规格越大折扣越大。DDoS防护建议先买中小企业普惠版，后续业务量大了再升级企业版。直接访问特惠页比单买便宜很多：https://www.aliyun.com/minisite/goods?userCode=5ql52pjx

WAF和DDoS防护到底有什么区别？必须两个都买吗？

一句话区分：WAF防的是Web应用层攻击（比如SQL注入、跨站脚本、CC攻击），DDoS防护防的是流量型攻击（大流量把服务器打瘫痪）。如果你只是一个小型展示型网站，攻击面不大，单独买WAF基础版完全够用。如果你的网站有用户注册登录、有支付入口、或者有API接口，建议WAF+DDoS防护一起上，这才是标准的安全架构。

WAF 3.0有哪些版本？选哪个版本适合我？

WAF 3.0包年包月一共有四个版本，你按需求对号入座：

• 基础版：980元/月——适合个人博客、小微企业展示站，基础Web攻击防护够用。
• 高级版：3880元/月——适合有少量用户交互的中小企业网站，支持Bot管理试用。
• 企业版：9800元/月——适合电商、企业门户、API业务，防护规则更全，支持API安全。
• 旗舰版：29800元/月——适合高并发、高安全要求的金融、政府类网站，全功能拉满。

建议从高级版起步，性价比最高，后续按需升配QPS和域名数。

WAF+DDoS同时部署，流量先过谁？配置流程怎么走？

标准部署顺序是：流量先经过DDoS高防 → 再到WAF → 最后到源站服务器。DDoS高防做入口层清洗大流量攻击，WAF做中间层过滤Web攻击，双重过滤后只有正常流量到达你的服务器。具体配置流程：

1. 先买WAF实例，将网站域名通过CNAME接入WAF。
2. 配置监听规则，选择协议类型（HTTP/HTTPS），上传SSL证书。
3. 再买DDoS高防实例，将WAF提供的CNAME地址作为DDoS高防的源站。
4. 在DDoS高防控制台添加转发规则，将业务流量引流到WAF。

WAF配置要点有哪些？最容易忽略的地方是什么？

配置WAF时有几个关键点千万别漏掉：

• 域名ICP备案：如果网站服务于中国内地用户，域名必须完成ICP备案才能接入WAF，这是硬性前提。
• HTTPS证书上传：如果网站开启了HTTPS，记得在WAF控制台上传对应的SSL证书，否则会掉证书导致访问异常。
• 客户端IP获取方式：如果WAF前面有DDoS高防或CDN，必须选择”取指定Header字段中的第一个IP作为客户端源IP”，避免XFF伪造问题。
• QPS规格预估：按业务峰值流量的1.5倍预留QPS，避免突增流量触发弹性计费产生额外成本。

DDoS原生防护和企业版怎么选？

直接给建议：

• 中小企业普惠版（保险模式）：13000元/月，适合中小型网站、流量不大但需要基础DDoS防护的场景。
• 企业版（无忧模式）：40100元/月起步，适合大型电商、游戏平台、金融类业务，提供Tbps级别的抗D能力和更全面的服务保障。
• 如果你实在预算有限，DDoS原生防护还支持按量后付费，按天计费灵活使用，用满30天后可退订。

买了WAF之后QPS不够用怎么办？可以弹性扩展吗？

完全不用担心。WAF 3.0支持QPS弹性扩展，按阶梯计费：

• 0~10000 QPS：3元/QPS/月（中国内地）
• 10000~30000 QPS：2.85元/QPS/月
• 30000 QPS以上：阶梯单价持续降低，最大可到1.8元/QPS/月

超出保底QPS时系统自动启用弹性能力，业务不会中断，按实际用量后付费，非常灵活。

SeCU资源包是什么？买了能省多少钱？

SeCU是WAF 3.0按量付费版的专用计量单元，1 SeCU = 0.05元。购买SeCU资源包相当于预存费用，可以抵扣请求处理费和功能费。资源包规格从2000 SeCU到500万 SeCU都有，有效期可选1个月或1年，规格越大折扣力度越大。如果你长期使用WAF按量付费版，买资源包比直接后付费能省不少钱。

优惠活动只有新用户能享受吗？老用户有福利吗？

阿里云的云安全特惠活动新老用户同享，不需要担心老用户被区别对待。像WAF 3.0的SeCU资源包、云防火墙按量节省套餐包等，都是新老用户统一价格。建议你直接访问特惠活动页，所有优惠一目了然：https://www.aliyun.com/minisite/goods?userCode=5ql52pjx

总结：网站安全的铠甲到底该怎么穿？

再给你一个最精简的配置清单：

• 小型站点（日PV < 1万）：WAF 3.0基础版 980元/月，单独防护就够。
• 中型业务（日PV 1万~10万）：WAF高级版 3880元/月 + DDoS中小企业普惠版 13000元/月。
• 大型业务（日PV 10万以上）：WAF企业版 9800元/月 + DDoS企业版 40100元/月起。

以上所有产品都能在特惠页面一键购买，比逐个下单更划算。网站安全的铠甲不能省，但可以选对尺码、花对钱。