# Cloudflare WAF คืออะไร? คู่มือป้องกันเว็บจาก OWASP Top 10, Bot และ DDoS ฉบับ SME ไทย 2026
ในยุคที่ทุกธุรกิจไทยขายของออนไลน์ ทำเว็บแอปสำหรับลูกค้า และเก็บข้อมูลส่วนบุคคลตาม PDPA การโดน Web Attack แม้แค่ครั้งเดียวอาจหมายถึง Downtime หลายชั่วโมง ข้อมูลรั่วไหล และค่าปรับจาก สคส. ที่ตามมา หลาย SME คิดว่าการป้องกันเว็บเป็นเรื่องของ Enterprise ที่ต้องลงทุนกับ Hardware Firewall หลายล้านบาท แต่ความจริงคือ Cloudflare WAF เปิดให้ใช้ฟรีตั้งแต่ Plan แรก และตั้งค่าได้ในเวลาน้อยกว่า 1 ชั่วโมง
บทความนี้จะอธิบายว่า Cloudflare WAF คืออะไร ป้องกันการโจมตีแบบใดได้บ้าง วิธีตั้งค่าให้ครอบคลุม OWASP Top 10 และ DDoS รวมถึงเปรียบเทียบกับ AWS WAF และ Imperva เพื่อให้ PM และ Tech Lead เลือกได้ถูกต้องและคุ้มค่าที่สุด
Cloudflare WAF คืออะไร และทำงานอย่างไร
Cloudflare WAF คือ Web Application Firewall บน Edge Network ของ Cloudflare ที่กระจายอยู่กว่า 320 เมืองทั่วโลก ทำหน้าที่ตรวจ Request ก่อนถึง Origin Server และบล็อกการโจมตี เช่น SQL Injection, Cross-Site Scripting, Path Traversal, Command Injection และ Bot Attacks
หลักการทำงานคือทุก Request ที่เข้าสู่โดเมนของคุณจะผ่าน Cloudflare Edge ก่อน ระบบจะตรวจสอบ:
ถ้าตรงกับ Rule ที่ระบุไว้ จะทำหน้าที่ Block, Challenge, Log หรือ Skip ได้
| ระดับการป้องกัน | คำอธิบาย | ใช้กับ |
|----------------|----------|--------|
| Managed Rules | กฎที่ Cloudflare เขียนและอัปเดตให้ฟรี | ทุก Plan |
| OWASP Core Ruleset | Modsecurity OWASP CRS | Pro+ |
| Custom Rules | กฎที่เราเขียนเอง | ทุก Plan (จำกัดจำนวน) |
| Rate Limiting | จำกัด Request ต่อช่วงเวลา | ทุก Plan |
| Bot Management | AI ตรวจจับ Bot ขั้นสูง | Enterprise |
Cloudflare WAF ป้องกันอะไรได้บ้าง สำหรับ SME ไทย
ภัยคุกคามที่ SME เจอบ่อยและ Cloudflare WAF จัดการได้ทันทีหลังเปิดใช้
Cloudflare WAF Plan เปรียบเทียบ ต้องเลือกตัวไหนถึงคุ้ม
| Plan | ราคา/เดือน | Managed Rules | Custom Rules | Rate Limiting | DDoS L7 |
|------|-----------|---------------|--------------|---------------|---------|
| Free | 0 USD | บางส่วน | 5 rules | 10k req/10min | ไม่จำกัด |
| Pro | 25 USD | OWASP Core | 20 rules | 1M rate-limit/เดือน | ไม่จำกัด |
| Business | 250 USD | เต็มรูปแบบ | 50 rules | 10M rate-limit/เดือน | ไม่จำกัด |
| Enterprise | สอบถาม | Custom | ไม่จำกัด | ไม่จำกัด | ไม่จำกัด + Bot |
สำหรับ SME ส่วนใหญ่ Pro Plan ที่ราคาเริ่ม 25 USD ต่อเดือนคือจุดคุ้มทุน เพราะได้ OWASP Core Ruleset + Image Optimization + WAF Custom Rules 20 ข้อซึ่งเพียงพอสำหรับเว็บอีคอมเมิร์ซและเว็บบริษัททั่วไป
วิธีตั้งค่า Cloudflare WAF ใน 7 ขั้นตอน
ขั้นตอนนี้สำหรับทีมที่ใช้ Cloudflare DNS อยู่แล้ว และต้องการเปิดใช้ WAF ให้ครอบคลุม OWASP
Step 1: เปิด Proxy (Orange Cloud)
DNS Record ของโดเมนหลักต้อง Proxied (สีส้ม) ไม่ใช่ DNS-only (สีเทา) มิฉะนั้น Traffic จะไม่ผ่าน Cloudflare WAF
Step 2: เปิด Managed Rules
ไปที่ Security > WAF > Managed Rules แล้วเปิด:
Step 3: ตั้ง Custom Rule บล็อกประเทศที่ไม่ใช่ตลาด
```
(ip.geoip.country ne "TH" and ip.geoip.country ne "SG"
and http.request.uri.path contains "/admin")
Action: Block
```
ป้องกัน Brute Force หน้า admin จากต่างประเทศ
Step 4: เปิด Rate Limiting Rule สำหรับ Login
```
(http.request.uri.path eq "/login" and http.request.method eq "POST")
Threshold: 5 requests / 1 minute
Action: Block 10 minutes
```
Step 5: เปิด Bot Fight Mode
Security > Bots > Bot Fight Mode → ON
ระบบจะใช้ ML ตรวจจับ Bot ที่ผิดปกติและ Challenge อัตโนมัติ
Step 6: เปิด Leaked Credentials Detection
Security > Settings > Leaked Credentials → ON
จะเตือนเมื่อมีการ Login ด้วย Email/Password ที่หลุดในอินเทอร์เน็ต
Step 7: ตรวจ Logs และปรับ Rule
Security > Events จะมี Dashboard ดู:
ใช้ข้อมูลนี้ปรับ Rule ให้ Sensitive ขึ้นหรือ Whitelist Path ที่โดน False Positive
เปรียบเทียบ Cloudflare WAF vs AWS WAF vs Imperva
| คุณสมบัติ | Cloudflare | AWS WAF | Imperva |
|----------|-----------|---------|---------|
| ค่าใช้จ่ายเริ่มต้น | ฟรี | $5/เดือน + ค่า Request | $1,000+/เดือน |
| OWASP Ruleset | มีในตัว | ต้องสมัครเพิ่ม | มีในตัว |
| L7 DDoS | ไม่จำกัด | จำกัด/Shield | ไม่จำกัด |
| Setup Time | ~30 นาที | ~2 ชั่วโมง | ~1 สัปดาห์ |
| Edge Network | 320+ POP | 100+ POP | 50+ POP |
| เหมาะกับ | SME-Mid Market | AWS-Native Workloads | Enterprise |
ข้อควรระวังเมื่อใช้ Cloudflare WAF
ก่อนเปิดใช้ Production แนะนำให้ทำตามนี้
สรุปและขั้นตอนถัดไป
Cloudflare WAF คือคำตอบที่ลงตัวสำหรับ SME ไทยที่ต้องการป้องกัน OWASP Top 10, DDoS และ Bot โดยไม่ต้องลงทุน Hardware ราคาแพง สามารถเริ่มได้ฟรี หรืออัปเป็น Pro ที่ 25 USD/เดือน ก็ครอบคลุมความเสี่ยงส่วนใหญ่ของเว็บอีคอมเมิร์ซและเว็บบริษัท
ขั้นตอนต่อไปที่แนะนำ:
หากต้องการให้ทีม ADS FIT ออกแบบสถาปัตยกรรม Cloudflare + WAF + Origin Hardening ครบจบสำหรับ Laravel/Next.js ติดต่อทีมเราได้ที่ adsfit.co.th เพื่อรับคำปรึกษาและประเมินความเสี่ยงเชิง Compliance ฟรี