Seguridad

Akamai Web Application Protector

Akamai Web Application Protector (WAP) es el Web Application Firewall de gama de entrada de la cartera de seguridad de Akamai. Vive en la red edge global de Akamai como reverse proxy, inspecciona cada solicitud HTTP antes de llegar al origen del editor, bloquea OWASP Top 10, aplica rate limiting y bot mitigation. Por ser una capa de seguridad y no un tracker, trata metadatos (IP, User, Agent, URL) en interés legítimo, y las cookies que puede colocar (AKA_A2, _abck, bm_sz) son estrictamente necesarias.

Bloquear Akamai Web Application Protector hasta el consentimiento Escanear mi sitio

Presentación

¿Qué hace Akamai Web Application Protector?

Que hace Web Application Protector

Akamai Web Application Protector (WAP) es el WAF mas sencillo del catálogo de seguridad de Akamai. Funciona como reverse proxy en la red edge global de Akamai delante del origen del editor. Cada solicitud HTTP entrante se analiza con reglas basadas en firmas y en comportamiento que cubren OWASP Top 10 (SQLi, XSS, RCE, LFI) y luego se deja pasar, se desafia o se bloquea. WAP incluye además bot mitigation básica, rate limiting y protección DDoS.','

Datos tratados

Como mínimo WAP trata los metadatos de conexión: IP, handshake TLS, User, Agent, cabeceras HTTP, URL y método. Cuando la regla WAF lo exige, también se inspecciona el cuerpo de la solicitud (form data, payload JSON). La bot mitigation coloca cookies de corta duración (AKA_A2, _abck, bm_sz, akacd_*) como tokens de desafío. Los registros se transmiten al SOC de Akamai y pueden exportarse mediante Akamai DataStream al SIEM del editor.','

Artículo 32 RGPD y ePrivacy

Operar un WAF es la implementacion de manual del artículo 32 del RGPD (medidas técnicas y organizativas apropiadas). Base jurídica: interés legítimo del artículo 6.1.f para la seguridad, reforzado por 6.1.c cuando NIS2 o DORA exigen capacidades WAF. Las cookies de detección de bots son estrictamente necesarias para el servicio de seguridad implícito y quedan exentas conforme al artículo 5.3 de ePrivacy.','

Transferencias a EE.UU. y DPA de Akamai

El tráfico europeo termina normalmente en PoPs europeos, pero Akamai tiene su sede en Massachusetts y opera SOCs globales. Los metadatos y registros de incidentes pueden por tanto tratarse en EE.UU. El DPA de Akamai incorpora las CCT y referencia su certificación en el Marco UE, EE.UU. Se espera una evaluación del impacto de la transferencia.','

Lista de cumplimiento

Documente el WAF de Akamai en el registro como encargado de seguridad. Firme el DPA. Mencione a Akamai Technologies Inc. y a Estados Unidos en la política de privacidad con la ponderación del artículo 32. Configure una retención corta para los registros de incidentes. No mezcle WAP con analítica de marketing en el mismo módulo para preservar el estatus estrictamente necesario de las cookies del WAF.','

Cumplimiento

Akamai Web Application Protector y el RGPD

Base jurídica: Legitimate interest (Art. 6(1)(f) GDPR) for site security and fraud prevention; legal obligation (Art. 6(1)(c) GDPR) for the publisher's Article 32 GDPR duty to implement appropriate security measures
Nivel de riesgo: medium
Normativa aplicable: GDPR, ePrivacy Directive, NIS2, DORA (financial sector), national security baselines

Evaluación de impacto (EIPD)

Akamai WAP es una capa de seguridad que trata metadatos de conexión para bloquear ataques. Consideraciones clave: (1) el WAF inspecciona headers, URLs y a veces cuerpos de solicitud que pueden contener datos del visitante; limitar la retención de muestras; (2) las cookies de Akamai (AKA_A2, _abck, bm_sz) son tokens de detección de bots y son estrictamente necesarias conforme al artículo 5.3 de ePrivacy; (3) Akamai es empresa estadounidense; los registros se tratan globalmente; el editor se apoya en el DPA de Akamai, CCT y el Marco UE, EE.UU.; (4) la inteligencia agregada de amenazas se comparte entre clientes en interés legítimo y debe mencionarse en la política; (5) los registros de incidentes pueden incluir IPs de visitantes legítimos mal clasificados; los derechos de acceso deben gestionarse en consecuencia. Se recomienda EIPD si la inspección del cuerpo de solicitud esta activa.

Texto de ejemplo para su banner

Este sitio esta protegido por Akamai Web Application Protector (Akamai Technologies Inc., Estados Unidos), un WAF que opera en la red edge global de Akamai. Akamai inspecciona cada solicitud entrante (IP, cabeceras, URL) para bloquear ataques y puede almacenar registros técnicos y cookies de detección de bots de corta duración (AKA_A2, _abck, bm_sz). Este tratamiento es necesario para la seguridad del sitio y no requiere su consentimiento.

Cookies y rastreadores

Lo que Akamai Web Application Protector instala y contacta

Método de seguimiento: Reverse proxy WAF on the Akamai edge (HTTP layer, transparent to the browser)
Ubicación de los servidores: Akamai global edge network (United States headquartered, with European points of presence)
Modo sin cookies disponible: Sí
Transferencia de datos fuera de la UE: Akamai Technologies Inc. is headquartered in Cambridge, Massachusetts. Web Application Protector runs on the Akamai global edge network. European traffic is normally terminated at European points of presence, but request metadata (IP, User Agent, URL, response code) is processed by Akamai under its global security operations. Transfers to the United States rely on Standard Contractual Clauses signed in the Akamai DPA and on Akamai's EU, US Data Privacy Framework certification.

Cookies instaladas (4)

Nombre	Tipo	Duración	Finalidad
AKA_A2	Strictly necessary	1 hour	Akamai bot detection token issued by Web Application Protector and Bot Manager to verify that the request is coming from a real browser, not from an automated client.
_abck	Strictly necessary	1 year	Akamai Bot Manager cookie that stores the result of the bot challenge so subsequent requests do not have to be challenged again.
bm_sz	Strictly necessary	4 hours	Akamai Bot Manager session cookie used to track the integrity of a browser session and detect anomalies suggesting automation.
akacd_*	Strictly necessary	Session	Akamai cookie that ties the visitor to a specific Akamai edge server for sticky routing during the security analysis.

Dominios de terceros contactados (4)

akamai.com
akamaihd.net
akamaized.net
akamaitechnologies.com

Preguntas

Preguntas frecuentes sobre Akamai Web Application Protector

¿No encuentra su pregunta? Escríbanos, respondemos rápido.

Escríbanos

¿Qué cookies coloca Akamai WAP?

AKA_A2 (1 hora), _abck (1 año), bm_sz (4 horas) y akacd_* (sesión). Todas son cookies de corta a media duración de bot detection o sticky routing en dominios de Akamai o del editor.

¿Necesito consentimiento para estas cookies?

No. Son estrictamente necesarias para el servicio de seguridad que el editor debe operar conforme al artículo 32 del RGPD. Exentas conforme al artículo 5.3 de ePrivacy.

¿Qué base jurídica aplica?

Interés legítimo (artículo 6.1.f del RGPD) para el tratamiento de seguridad, mas obligación legal (6.1.c) cuando NIS2 o DORA exigen capacidades WAF. Documente la ponderación en el registro.

Se transfieren datos a EE.UU.?

Si. Akamai tiene sede en EE.UU. y los metadatos y registros de incidentes pueden transitar por allí. CCT y certificación de Akamai en el Marco UE, EE.UU. aplicables. Se espera una EIT.

¿Es necesaria una EIPD?

Recomendada si la inspección del cuerpo de solicitud esta activa (posible captura de datos personales en payloads) o si WAP alimenta decisiones automatizadas que afecten al usuario (bloqueo de cuenta).

¿Cómo implemento Akamai WAP de forma conforme?

Firme el DPA de Akamai. Documente la ponderación del artículo 32. Mencione a Akamai Technologies Inc. y a Estados Unidos en la política de privacidad. Retención corta para los registros. No mezcle las cookies del WAF con cookies de marketing.

¿Existen alternativas europeas?

Si: OVHcloud WAF, Cloudflare WAF (EE.UU. con regiones UE), Imperva (EE.UU.), F5 Distributed Cloud WAF o ModSecurity/Coraza autoalojados en orígenes UE. Akamai sigue siendo líder para volúmenes muy altos que requieren un WAF edge.

¿Cómo actualizo la política de cookies?

Liste AKA_A2, _abck, bm_sz y akacd_* como estrictamente necesarias con dominio, duración y finalidad de seguridad. Añada a Akamai Technologies Inc. a la lista de destinatarios y mencione Estados Unidos como destino de las transferencias de los registros de seguridad.

Haga que su sitio cumpla la normativa hoy mismo.

Gratis hasta 25.000 sesiones al mes. Sin tarjeta de crédito, sin compromiso.

Crear mi banner Escanear mi sitio