WAAP : l'avenir dans les architectures distribuées ?

Finies les appliances, place au offres cloud ? Gartner n'est pas si catégorique dans son Magic Quadrant du WAAP (protection des applications web et des API). Le cabinet américain a néanmoins exclu les premières de son évaluation, pour ne prendre encore que les secondes. Qui, constate-t-il, dominent désormais pour les nouveaux déploiements en Europe et en Amérique du Nord.

Une prévision vient compléter ce tableau : d'ici à 2024, 70 % des organisations qui exploiteront des web apps en multicloud préféreront les WAAP cloud aux appliances (et aux WAAP IaaS natifs).

La hiérarchie des offreurs n'évolue pas démesurément : les principaux fournisseurs d'appliances ont établi une « présence cloud » en s'appuyant sur les IaaS et les CDN. Aussi, le marché est globalement mature. Avec toutefois deux segments particulièrement dynamiques : la détection des bots et la protection des API. L'un et l'autre se caractérisent par une concurrence croissante de fournisseurs spécialisés.

Le machine learning, un levier à saturation ?

De manière générale, chez les acteurs du WAAP, la protection des API manque encore de profondeur, constate Gartner. En particulier pour ce qui est de contextualiser les alertes. Quant au machine learning, une certaine « lassitude » se dessine : pas d'améliorations notables d'une édition à l'autre du Magic Quadrant... et un certain repli dans la communication des offreurs.

Autre tendance émergente : le WAAP distribué. On commence à voir apparaître - et pas forcément chez les leaders du marché - des options de déploiement sous forme d'agents, de conteneurs ou de sidecars Kubernetes. Autant d'architectures qui permettent de se rapprocher des applications. Le tout au prix d'un défi : centraliser la gestion. Et décider quelles fonctionnalités implémenter sur quelle couche.

Qu'attendre d'une offre WAAP en 2022 ? Pour Gartner, le coeur fonctionnel d'une solution doit comprendre au moins WAF (pare-feu applicatif), protection DDoS, gestion des bots et protection des API. Il a considéré le reste comme « optionnel » : sécurité DNS, CDN, gestion des accès, analyse de vulnérabilités...

Photo d'illustration © Andrea Danti - Shutterstock