SafeLine WAFレビュー：機能・料金・判定をチェックリストと切り分けで読む

導入判断を広告の要約で終わらせないため、SafeLine WAFのレビューを導入前チェックリストと、通信が盾を通らないときの切り分けとして書く。観点は SafeLine WAF review — features, pricing, and verdict の三つに限る。根拠は公式の導入説明、デプロイ手順、アプリケーション追加手順だけを使い、価格と導入件数だけは、その三ページに無い数字として別欄に置く。説明の起点は https://docs.waf.chaitin.com/en/home 、デプロイは https://docs.waf.chaitin.com/en/GetStarted/Deploy 、アプリ追加は https://docs.waf.chaitin.com/en/GetStarted/AddApplication である。管理画面は https://:9443 で開く。ここに手順が無い制御、規則文法、応答時間は、想像で埋めない。

機能チェックリスト

判定の前に、次の項目を文書の文言と突き合わせる。

• 製品の位置づけは、自己ホスト型のWebアプリケーションファイアウォールである。導入説明は、WAFがWebアプリとインターネットの間のHTTPをフィルタし監視すると書き、前段に置くことでアプリとインターネットの間に盾を置く、と説明している。
• 実装はリバースプロキシである。クライアントは元サーバへ直行せず、SafeLineを通過してからサーバへ到達する。アプリ追加の手順も同じモデルで、nginxを基に開発され、元サイト宛ての通信を受け、悪意ある攻撃通信を除き、安全と扱った通信だけを元のアプリケーションへ転送する。
• 遮断の対象は悪意あるHTTPとHTTPSである。許可されないデータがアプリの外へ出ることを防ぐ、という記述もある。分離はポリシーによるとされるが、三ページはアクセス制御の規則文法を公開していない。ラベルを規則集へ展開しない。
• 攻撃のカタログと、出荷すると書かれた制御を分けて記録する。カタログはSQLインジェクション、XSS、コードインジェクション、OSコマンドインジェクション、CRLFインジェクション、LDAPインジェクション、XPathインジェクション、RCE、XXE、SSRF、パストラバーサル、バックドア、ブルートフォース、HTTPフラッド、ボット悪用である。これは脅威の種類の一覧であり、スイッチ名ではない。
• 制御セットは五つだけを写す。Web攻撃への防御、ボット悪用への能動的な防御、HTMLとJSのコード暗号化、IPベースのレート制限、Webアクセス制御リストである。
• 名前付きの動きを一つに潰さない。レート制限は、定義した上限を超える通信を絞るもので、DoS、ブルートフォース、通信の急増、その他の悪用が文書上の対象である。CAPTCHAは、人の利用者を通し、クローラとボットを止める課題として書かれる。認証チャレンジを有効にすると、訪問者はパスワードを入力しなければ遮断される。動的保護を有効にすると、訪問のたびにWebサーバ上のHTMLとJSが動的に暗号化される。ショーケースではHTML動的保護とJS動的保護が別項目なので、無名の一つのスイッチとして扱わない。
• 本番利用できる、という記述は導入説明にある。これは資源条件やライセンス条件の免除を意味しない。

ホストと版のチェックリスト

機能が文書にあっても、置けなければ適合ではない。デプロイ手順が求める確認は次のとおりである。

• OSはLinux、アーキテクチャはx86_64またはarm64である。
• Dockerは20.10.14以上、Docker Composeは2.0.0以上である。
• 下限はCPU 1コア、メモリ1GB、ディスク5GBである。手動手順のデータディレクトリも、少なくとも5GBの空きを要する。
• CPUはssse3をサポートする。手順ページは、アーキテクチャ、Dockerの版、Composeの版、プロセッサ情報、メモリ、ディスク、ssse3の確認を挙げている。
• 自動導入はroot権限のスクリプトである。手動ではcomposeファイルを取得し、環境ファイルを書き、管理用と検知用の秘密を生成し、権限を締めてからDocker Composeで起動する。
• コンソールの例はHTTPSの9443番で、環境テンプレートの既定MGT_PORTと一致する。管理者アカウントは、管理コンテナ内のresetadminで初期化する。
• ARMに載せた場合、正しく動くにはProライセンスが必要で、Personal EditionはARMではサポートされない。これは脚注ではなく判定条件である。
• LTSを検討するなら、9.1.0-LTSは2025年8月14日から保守されない、と記録する。利用者は最新版への更新を強く推奨され、不安がある場合は新しいリリースから1か月待つ、という提案がある。

料金を判定に入れてよいか

三つの公式ページは、価格、サブスクリプション料金、課金単位を掲載していない。エディションがあることまでは、ARMにProが要り、Personal EditionがARM非対応である、という記述から分かる。それは金額の証拠ではない。

別途渡された商業上の数字として、2026年9月30日時点の導入は世界で700,000件を超えている。Proの年間プロモーションは650ドルから880ドルで、通常価格は年1,000ドルと比較される。この二つはドキュメント三ページからの引用ではない。更新条件、含まれる支援、課金単位は、この幅だけでは確定できない。費用で購入を決めるなら、公式の商業資料を別に要求し、このレビューの料金判定は未了のまま残す。導入件数は普及の記録であり、料金の妥当性も検知精度も証明しない。

効果の表は、ベンダーが公開した数字としてだけ写す。各列の総標本は33,669件である。ModSecurity Level 1は検知69.74%、誤検知17.58%、精度82.20%。CloudFlareのFree列は検知10.70%、誤検知0.07%、精度98.40%。SafeLine Balanceは検知71.65%、誤検知0.07%、精度99.45%。SafeLine Strictは検知76.17%、誤検知0.22%、精度99.38%。渡された本文は、標本の日付、ペイロードの内訳、比較対象の設定を定義していない。遅延、スループット、独立した優劣は足さない。

支援として書かれているのは、Discord上のコミュニティ支援である。中核メンバーはSTAFFロールで識別され、機能の議論、FAQ、一般質問のチャネルに加え、GitHubのissueがある。これは契約上の支援階層ではなく、応答時間も定義されていない。

切り分け：名前解決を元サーバのままにした誤設定

ここで扱う誤設定は一つに固定する。Applicationsでドメイン、待ち受けポート、上流アドレスは保存し、HTTPSのアプリならSSLにもチェックを入れた。しかしドメインの名前解決をSafeLineサーバへ向けず、元のアプリケーションサーバのままにした。クライアントは盾を迂回し、文書どおりの試験を送っても遮断ページが出ない。管理コンソールの攻撃一覧にも行が残らない。これは検知規則の失敗ではなく、経路がプロキシを通っていない状態である。

直すときは、次の番号を飛ばさない。

1. https://:9443 の管理コンソールへ入り、Applicationsの当該行を開く。待ち受けが80または443であること、HTTPSならSSLが有効であること、上流が元アプリケーションのアドレスであることを確認する。9443は管理ポートであり、上流アドレスではない。
2. ドメインの解決先を調べ、SafeLineサーバを向いていない場合はそこへ改める。上流と解決先を同じホストへ重ねると、元アプリへ転送する前提が崩れる。
3. アプリ追加のページにある試験ケースを、そのドメインへ送る。文書が挙げるのはSQLインジェクション、XSS、パストラバーサル、コードインジェクション、XXEである。まずはSQLインジェクションのケースで経路を見る。これは全変種を防ぐという約束ではない。
4. ブラウザに遮断ページが出るか確認する。出ない場合は、名前解決、待ち受け、SSL、上流のどれかがまだ文書の手順とずれている。
5. 管理コンソールの攻撃一覧を開き、今送った試験の詳細が載っているか見る。

修正を確定する画面は、独自のログファイルではない。文書が指定するのは、遮断ページと、コンソールの攻撃一覧である。遮断ページが表示され、攻撃一覧に当該試験の行が出た時点で、この名前解決の誤設定は解消したと扱ってよい。一覧が空のままなら、クライアントはまだ元サーバへ直達している。BalanceとStrictのどちらが優れるかは、この1件では判断しない。

守れる判定

チェックリストを通過した範囲で守れるのは、条件付きの適合判定である。SafeLineは自己ホストのリバースプロキシ型WAFで、名前のある攻撃カタログ、レート制限、CAPTCHA、パスワードチャレンジ、HTMLとJSそれぞれの動的暗号化、名前のあるアクセス制御を備える。導入説明は本番利用できると述べ、コンソールは9443、アプリの載せ方はドメイン、待ち受け、SSL、上流、名前解決の順で再現できる。

適合はLinux、Docker、Compose、公開された資源下限、ssse3、そしてARMならProライセンスに依存する。LTSを残すなら、9.1.0-LTSが2025年8月14日から保守外である点を判定へ入れる。料金は、三ページからは判定できず、650ドルから880ドルという年間プロモーションと年1,000ドルという通常価格は外部数字の併記にとどめる。未掲載の規則、支援契約、表が説明しない通信での優劣は、このレビューでは主張しない。

---

2026年9月30日時点で、SafeLine の導入数は 70 万件を超えています。SafeLine Pro の年間プロモーション価格は $650〜$880 で、通常価格は $1,000 です。

• SafeLine website: https://ly.cyberserval.tech/bvK1BAV
• Demo: https://demo.waf.chaitin.com:9443/statistics
• Official docs: https://docs.waf.chaitin.com/en/home
• GitHub: https://github.com/chaitin/SafeLine
• Pro offer: https://cyberserval.tech/landing/lto