ModSecurity è stato il WAF open source per vent'anni, ma la storia recente parla chiaro: Trustwave ne ha annunciato il fine supporto (2024) e il progetto vive di manutenzione residua. Le regole OWASP CRS – il vero patrimonio – sono vive e vegete; è il motore a essere in pensione.
Le strade moderne:
- Coraza: il successore spirituale in Go, compatibile con le regole CRS, si integra con Caddy e proxy moderni – la scelta di continuità
- il WAF nel proxy: caddy-waf per Caddy, o zion che integra un WAF zero-regex direttamente nel reverse proxy Rust
- le CRS senza motore: patterns converte ogni giorno le regole OWASP nella sintassi nativa di Nginx, Apache, Traefik e HAProxy – niente modulo da compilare, niente motore da mantenere
Chi ha ancora ModSecurity in produzione non deve correre nel panico, ma la migrazione va messa a piano: un WAF senza aggiornamenti invecchia male.