WAFの料金は、保護するWebサイト数やFQDN数、通信量・ピークトラフィックを基準とする月額料金に、初期設定費用と運用支援などのオプション料金を加えて構成されます。クラウド基盤が提供するWAFでは、ルール数やリクエスト数、データ処理量に応じた従量課金もあり、同じアクセス規模でも課金方式によって年間総額が変わります。
主要な課金モデル（基本料金・従量料金・初期費用の違い）
WAFの主な料金項目は、月額または年額の基本料金、通信量などに応じた従量料金、導入時の初期費用、運用機能を追加するオプション料金です。
課金項目 | 主な課金方法 | 主な特徴 |
|---|
基本料金 | 月額・年額の定額制 | 保護対象サイト数、FQDN数、通信量の上限などに応じてプランが分かれる |
初期費用 | 導入時に一括で支払い | DNS設定、環境構築、ポリシー設定などの作業費として発生する |
従量料金 | リクエスト数・通信量・処理量に応じて加算 | アクセス 増加や攻撃発生時に利用料金が変動する場合がある |
オプション料金 | 機能・作業ごとの月額または都度課金 | FQDN追加、専用ルール、有人監視、設定変更などが対象になる |
定額制には通信量やピークトラフィックごとにプランを選ぶ方式があり、クラウド基盤型にはWeb ACL、追加ルール、リクエスト数などを個別に課金する方式があります。契約時は表示された月額料金だけでなく、初期設定、アクセス増加時の従量料金、サイト追加、監視・運用支援を含めた年間総額を確認してください。
法人向けWAFでは無料プランは一般的ではなく、無料トライアルや低容量プランで導入前の検証を行う方法が中心です。無料プランが提供されていても、個人サイトや小規模なプロジェクトを想定し、機能、サポート、ルール設定、通信容量などが法人向け有料プランと異なる場合があります。検証時は、自社サイトの構成で正常な通信を遮断しないか、既存環境への設定方法、検知ログの確認範囲、トライアル終了後の移行条件を確認しましょう。
WAFの最低契約条件はサービスごとに異なり、1ヵ月単位で契約できるプランがある一方、年間契約や12ヵ月契約を前提とするサービスもあります。最低利用人数ではなく、1サイト・1FQDNや一定の通信容量を契約単位とする方式が中心です。複数サイトを保護する場合は、サイト追加の可否と料金、同一契約で管理できる範囲を確認してください。自動更新の有無、解約申請期限、契約途中で容量を下げられるかも見積もり時の確認事項です。
WAFの料金差は、保護対象の数、Webサイトの通信量、課金対象となる処理件数、監視・防御機能の範囲によって生じます。通常時の平均アクセスだけでなく、キャンペーンや障害発生時のピーク値を基準にすると、容量超過やプラン変更に伴う想定外の費用を防げます。
保護対象となるWebサイト、ドメイン、FQDN、固定IPアドレスの数は、WAFの基本料金を決める主な要因です。1サイトのみを含むプランでは、対象を追加できない場合や、追加ごとに月額料金・設定費用が発生する場合があります。コーポレートサイト、ECサイト、会員サイトを別々に運営している企業は、必要なFQDN数を事前に整理しましょう。開発・検証環境も保護する場合は、本番環境と同じ契約で管理できるか確認が必要です。
帯域幅、月間通信量、一定期間の平均帯域、ピーク時のトラフィックは、定額型WAFのプラン区分に使われます。通常時のアクセスが少なくても、セールや広告配信によって一時的に通信量が増えるサイトは上位プランの対象になる場合があります。上限を超えた際に通信制限がかかるのか、超過料金が発生するのか、次回更新時にプランが変更されるのかを確認してください。過去のアクセスログから繁忙期を含む最大値を把握することが重要です。
クラウド基盤型のWAFでは、受信したWebリクエスト数、作成するWeb ACL、設定するルール数、処理したデータ量などが料金に影響します。攻撃通信もリクエスト数として計上される料金体系では、大量アクセスを受けた月に費用が増える可能性があります。複数のアプリケーションやAPIを保護する企業は、必要なルール数と月間リクエスト数を見積もり、無料枠や段階料金の適用範囲、超過時の単価を確認しましょう。
基本的な攻撃検知・遮断に加え、DDoS対策、マルウェア検査、API保護、個別シグネチャ、24時間365日の有人監視などを利用すると料金が上がります。自社でルール設定やログ分析を行える場合は標準プランでも運用できますが、専任担当者がいない企業ではマネージドサービスが適しています。費用を比較する際は、月次レポート、緊急時の対応、設定変更の回数、誤検知への調整が基本料金に含まれるかを確認してください。
WAFでは、初期設定、保護対象の追加、個別ルールの作成、監視・運用代行などが標準料金とは別に発生する場合があります。導入後の構成変更やアクセス増加も考慮し、初年度だけでなく次年度以降の更新費用まで含めて見積もる必要があります。
初期費用には、利用環境のヒアリング、DNSやネットワークの設定、ログ収集、WAFポリシーの作成、導入テストなどが含まれる場合があります。ただし、作業範囲はサービスによって異なり、複雑なネットワーク構成や複数サイトへの設定は個別見積もりになることがあります。見積書では、標準の初期費用に含まれるサイト数、設定作業、動作確認、導入後の調整期間を確認し、社内側で必要となる作業工数も予算に含めてください。
契約後にWebサイト、FQDN、固定IPアドレスを追加すると、月額料金に加えて設定変更の初期費用が発生する場合があります。事業部やブランドごとにサイトを増やす予定がある企業は、1件あたりの追加料金だけでなく、現行プランで追加できる上限も確認しましょう。追加できないプランでは、新規契約や上位プランへの変更が必要です。サイトの統廃合やドメイン変更時に、削除・再設定の作業費がかかるかも確認してください。
標準の防御ルールで対応できないアプリケーションでは、個別シグネチャや独自ポリシーの作成が必要になり、追加費用が発生することがあります。マルウェア検査、DDoS対策、API保護、ボット対策などもオプションとして提供される場合があります。契約前の診断やトライアルを通じて必要な機能を整理し、設定作業と継続利用のどちらに料金がかかるか確認しましょう。ルール更新や誤検知調整の費用も見積もりに含める必要があります。
24時間365日の監視、攻撃発生時の連絡、ログ分析、月次レポート、設定変更などを委託する場合は、マネージドサービスや有償サポートの料金が加算されます。標準プランに監視が含 まれていても、個別シグネチャの作成や緊急対応は対象外となる場合があります。対応時間、連絡方法、障害・攻撃時の初動範囲、設定変更の回数制限を確認してください。自社運用に必要な人件費と比較し、委託する作業を決めることが重要です。
WAFの費用対効果は、運用工数の削減だけでなく、不正アクセスによる情報漏洩、サイト停止、復旧作業、信用低下を防ぐ効果を含めて判断します。セキュリティ事故が発生しなかった場合の効果を正確に金額換算することは難しいため、料金の安さよりも自社サイトの重要度と必要な防御・運用水準を基準に選ぶことが重要です。
WAFの導入や運用代行の利用により、攻撃ログの確認、ルール更新、誤検知の調整、脆弱性情報の収集、異常発生時の初動対応にかかる時間を削減できます。導入前後の月間作業時間を記録し、導入後も残る確認、承認、社内報告の時間を差し引いてください。下記の式で月間の削減効果額を算出し、WAFの月額・年額料金や運用代行費と比較します。
削減効果額（月間）＝削減時間×担当者の人時単価（円）
WAFでは、運用工数の削減額だけでなく、情報漏洩、サイト停止、復旧作業、信用低下を防ぐ効果も重要です。これらは一律に金額換算できないため、防御対象の重要度、監視体制、事故発生時に事業へ及ぼす影響も含めて評価してください。
WAFの損益分岐点は、月額・年額料金と、社内で防御ルールの管理やログ監視を行う人件費、外部のセキュリティ運用費を比較して判断します。専任担当者を置けない企業では、監視や調整を含むプランの方が、個別に専門会社へ依頼するより総額を抑えられる場合があります。一方、クラウドやセキュリティの専門人材がいる企業では、従量課金型を自社運用する選択肢もあります。事故発生時の復旧費用や機会損失も判断材料に含めてください。
サイト数や通信量、リクエスト数が増えた場合は、現行プランの超過料金と上位プランの料金差を比較します。上位プランに移行すると、容量の拡大だけでなく、DDoS対策、API保護、監視支援などが追加され、運用負担を軽減できる場合があります。契約途中で変更できるか、料金を日割り・月割りで精算するか、設定や防御ルールを引き継げるかを確認してください。規模縮小時に下位プランへ戻せる時期や、最低利用期間にも注意が必要です。
