Los firewalls de sitios web (o firewalls de capa de aplicación) utilizan una serie de políticas configuradas para determinar si bloquear o permitir las comunicaciones hacia, desde o por un sitio web.

Los firewalls tradicionales controlan el flujo de datos hacia y desde la CPU, examinando cada paquete a medida que pasa. El firewall de un sitio web lo lleva más allá al controlar la ejecución de archivos o códigos por aplicaciones específicas. De esta manera, incluso si un intruso ingresa a una red o servidor, no puede ejecutar código malicioso.

Los firewalls de sitios web pueden ser activos o pasivos.

Activos: los firewalls activos del sitio web inspeccionan activamente todas las solicitudes entrantes, incluido el mensaje real que se intercambia, contra vulnerabilidades conocidas como inyecciones SQL, manipulación de parámetros y cookies, y secuencias de comandos entre sitios. Solo las solicitudes consideradas "limpias" se pasan al sitio web.

Pasivos: los firewalls pasivos del sitio web actúan de manera similar a un sistema de detección de intrusos (IDS) en el sentido de que también inspeccionan todas las solicitudes entrantes en busca de vulnerabilidades conocidas, pero no rechazan o niegan activamente esas solicitudes si se descubre un posible ataque.

Los firewalls de los sitios web se actualizan de forma remota y automática, lo que les permite evitar vulnerabilidades recientemente descubiertas, casi en tiempo real. Frecuentemente están más actualizados que el código específico centrado en la seguridad incluido en las aplicaciones, debido a los ciclos de desarrollo y prueba más largos necesarios para incluir dicho código en las aplicaciones.