Une règle personnalisée d’autorisation Azure Front Door peut-elle contourner les règles managées ?

Définition : Oui. Lorsqu’une règle personnalisée du pare-feu d’applications web (Web Application Firewall, WAF) Azure Front Door correspond à une requête et utilise l’action Allow, le WAF autorise la requête, écrit une entrée dans ses journaux et arrête le traitement avant l’exécution des règles managées. Les conditions de la règle personnalisée doivent être remplies ; sa priorité détermine uniquement son ordre d’évaluation parmi les règles personnalisées.

Points clés

• Une règle WAF personnalisée comprend un numéro de priorité, un type de règle, des conditions de correspondance et une action, selon la référence des règles personnalisées de Microsoft.
• Une règle dont le numéro de priorité est plus petit est évaluée avant une règle dont le numéro est plus grand. Chaque règle personnalisée doit avoir un numéro de priorité unique.
• Microsoft indique que les règles personnalisées sont traitées avant les règles managées dans son guide de réglage du WAF Front Door.
• Allow laisse passer la requête, écrit une entrée dans les journaux et arrête le traitement. Log écrit une entrée et poursuit l’évaluation avec la règle suivante dans l’ordre de priorité.

Comment la priorité des règles personnalisées agit-elle sur leur évaluation ?

La priorité détermine l’ordre d’évaluation des règles WAF personnalisées. Microsoft la définit comme un entier unique et indique que les règles dont la valeur de priorité est plus petite sont évaluées avant celles dont la valeur est plus grande. Une règle de priorité 1 est donc évaluée avant une règle de priorité 2, à condition que les deux soient activées et appartiennent à la même stratégie.

L’action détermine si l’évaluation se poursuit. La référence des règles personnalisées indique que toute action autre que Log arrête l’évaluation. Log consigne la correspondance et poursuit l’évaluation avec la règle suivante dans l’ordre de priorité. Allow, Block et Redirect mettent chacune fin au traitement en cours après avoir produit le résultat documenté. La valeur de priorité sert uniquement à ordonner les règles ; les conditions déterminent la correspondance et l’action détermine le résultat.

Pourquoi Allow peut-il éviter l’exécution des règles managées ?

La documentation Azure sur le réglage du WAF précise que les règles personnalisées sont traitées avant les règles managées. Elle indique également que, lorsqu’une requête correspond à une règle personnalisée, le moteur WAF arrête de traiter cette requête. Le traitement s’arrête donc avant les règles managées et les règles personnalisées de priorité inférieure. La référence des règles personnalisées décrit par ailleurs Allow comme une action qui laisse la requête poursuivre son traitement, puis arrête l’évaluation. Ces deux éléments signifient qu’une règle personnalisée Allow dont les conditions sont remplies peut laisser passer la requête sans évaluation des règles managées.

Ce résultat dépend de la correspondance avec la règle et de son action ; la présence du mot Allow dans le nom de la règle ne suffit pas. Si les conditions ne sont pas remplies, la règle ne produit aucune autorisation. Si l’action est Log, l’évaluation des règles personnalisées se poursuit au niveau de priorité suivant : Log se distingue donc d’une action de contournement.

À quoi ressemble l’exemple de Microsoft ?

La référence des règles personnalisées de Microsoft fournit un exemple nommé AllowFromTrustedSites, de priorité 1. Il exige un en-tête Referer égal à www.mytrustedsites.com/referpage.html et une chaîne de requête ne contenant pas password.

{
  "name": "AllowFromTrustedSites",
  "priority": 1,
  "ruleType": "MatchRule",
  "matchConditions": [
    {
      "matchVariable": "RequestHeader",
      "selector": "Referer",
      "operator": "Equal",
      "negateCondition": false,
      "matchValue": [
        "www.mytrustedsites.com/referpage.html"
      ]
    },
    {
      "matchVariable": "QueryString",
      "operator": "Contains",
      "matchValue": [
        "password"
      ],
      "negateCondition": true
    }
  ],
  "action": "Allow"
}

L’exemple montre le rôle des conditions de correspondance. Une requête doit remplir les deux conditions de cette règle pour que son action Allow, qui met fin au traitement, soit exécutée. Microsoft précise aussi que les règles personnalisées peuvent être désactivées tout en conservant leur configuration : une exception prévue doit donc être activée dans la stratégie.

Termes associés

• Comment Azure Front Door modifie-t-il l’action d’une règle managée de protection contre les bots ?
• Comment définir le trafic d’un site web soumis aux limites de débit Azure Front Door ?
• Quels en-têtes de réponse les règles Azure Front Door ne peuvent-elles pas modifier ?

Questions fréquentes

La priorité 1 suffit-elle à contourner les règles managées ?

Non. La priorité 1 place une règle avant celles dont la valeur numérique est plus grande. Les conditions de correspondance de la règle doivent toujours être remplies et son action doit mettre fin au traitement.

Une règle personnalisée Log contourne-t-elle les règles managées ?

Non. La référence des règles personnalisées indique que Log poursuit l’évaluation avec la règle suivante dans l’ordre de priorité. Ce sont des actions comme Allow, Block et Redirect qui mettent fin au traitement.

Que se passe-t-il lorsqu’une requête correspond à une règle personnalisée Allow ?

Le WAF autorise le traitement de la requête, écrit une entrée dans ses journaux et arrête l’évaluation. Le guide de réglage de Microsoft indique que les règles managées sont ignorées lorsqu’une requête correspond à une règle personnalisée.

Sources

1. Microsoft Learn, « Custom rules for Azure Web Application Firewall on Azure Front Door », 25 février 2026
2. Microsoft Learn, « Tune Azure Web Application Firewall for Azure Front Door », 1er septembre 2026

---

Vérifiez comment une page se lit pour les moteurs de réponse. Ouvrir l’analyseur de score GEO