Le taux de faux positifs est l'un des problèmes les plus persistants des Web Application Firewalls. Un WAF trop sensible bloque du trafic légitime, perturbe l'expérience utilisateur, et génère une fatigue d'alerte chez les équipes de sécurité. F5 a annoncé en 2026 que trois de ses clients pilotes ont réduit leurs faux positifs de 50 % grâce au nouveau moteur de détection piloté par l'IA intégré dans BIG-IP Advanced WAF. Voici comment ce résultat a été atteint et ce qu'il signifie concrètement pour la gestion des WAF en entreprise.
Le problème historique des faux positifs WAF
Un WAF traditionnel applique des règles de détection basées sur des signatures et des patterns. La règle "bloquer toute requête contenant la chaîne OR 1=1" est simple mais générera des faux positifs dès qu'un utilisateur légitime soumet un formulaire avec ce texte (un développeur testant une API, un formulaire de support technique). Les règles OWASP CRS, la référence industrielle des règles WAF, contiennent des centaines de signatures qui, prises individuellement, sont raisonnables mais qui, en combinaison, produisent des taux de faux positifs parfois supérieurs à 5 % sur des applications complexes.
Le résultat pratique est que les équipes de sécurité passent en mode "détection only" sur de nombreuses règles pour éviter de bloquer des utilisateurs légitimes. Un WAF en mode détection sans blocage ne protège pas réellement l'application : il génère juste des logs que personne ne lit. C'est le paradoxe central du WAF mal configuré : plus on l'active, plus il gêne ; moins on l'active, moins il protège.
L'approche IA de F5 : apprentissage du comportement normal
Le moteur IA de F5 BIG-IP Advanced WAF prend une approche comportementale plutôt que signature. Pendant une phase d'apprentissage (typiquement 2 à 4 semaines), il analyse le trafic légitime de l'application pour construire un modèle de ce qui est "normal" : quels endpoints reçoivent quels types de paramètres, quelles sont les valeurs typiques des headers, quel est le comportement habituel des sessions utilisateur.
Une fois ce profil comportemental établi, le moteur peut distinguer une attaque réelle (un pattern qui s'écarte significativement du comportement normal) d'un faux positif (un pattern inhabituel mais cohérent avec un comportement utilisateur légitime). Par exemple, un formulaire de commentaire d'un blog de sécurité informatique recevra régulièrement des textes contenant des commandes SQL, des payloads d'injection, et du code : le moteur apprend que c'est normal pour cette application et ne le bloque pas.
Les trois cas clients F5 : contextes et résultats
Le premier client est une banque française avec 47 applications web exposées sur internet. Avant déploiement du moteur IA, le taux de faux positifs moyen était de 4,2 % avec les règles OWASP CRS en mode blocage. Après 3 semaines d'apprentissage et activation du moteur IA, le taux est tombé à 1,9 %, une réduction de 55 %. Le cas bancaire est particulièrement intéressant parce que les applications financières génèrent naturellement des patterns qui ressemblent à des attaques : numéros de carte de crédit dans les formulaires, IBAN avec des formats complexes, montants avec des formats décimaux variables.
Le deuxième client est un éditeur de logiciels B2B dont les clients utilisent une API REST pour l'intégration avec leurs systèmes internes. Ces intégrations machine-to-machine génèrent beaucoup de faux positifs car les agents d'intégration envoyent parfois des payloads non conventionnels. La réduction de faux positifs a été de 48 %, permettant à l'équipe de passer de nombreuses règles du mode détection au mode blocage réel.
Le troisième cas est une plateforme e-commerce avec des problèmes spécifiques sur les moteurs de recherche internes. Les recherches complexes (opérateurs booléens, caractères spéciaux pour les références produit) déclenchaient fréquemment des règles anti-injection. Le moteur IA a appris que ces patterns étaient normaux pour ce moteur de recherche spécifique. Résultat : 52 % de réduction des faux positifs sur le périmètre search.
Limites et nuances à connaître
La réduction de 50 % est impressionnante, mais elle ne signifie pas que les faux positifs sont éliminés. Un taux initial de 4 % tombant à 2 % reste problématique pour les applications à fort trafic. Si votre application reçoit 10 millions de requêtes par jour, un taux de 2 % représente encore 200 000 blocages légitimes quotidiens.
La phase d'apprentissage est également une période de vulnérabilité : le moteur ne peut pas bloquer ce qu'il n'a pas encore appris. Il faut maintenir les règles de sécurité basiques pendant cette phase. Et si l'application change significativement (nouveau feature, refonte du frontend), une nouvelle phase d'apprentissage partielle est nécessaire.
Comparaison avec d'autres approches du marché
Cloudflare WAF, AWS WAF, et Akamai Kona Site Defender proposent tous des mécanismes d'apprentissage IA comparables. La différence avec l'approche F5 réside dans la granularité du profiling comportemental : F5, déployé on-premise ou en appliance dédiée, peut analyser le trafic à un niveau plus fin que les WAF cloud qui mutualisent leur analyse sur des millions de clients. Le modèle comportemental de F5 est spécifique à votre application, pas généralisé sur un benchmark de trafic global.
Pour les organisations avec des contraintes de souveraineté des données ou des applications très spécifiques (fintech réglementée, défense, santé), le WAF on-premise avec apprentissage local présente des avantages réels par rapport aux solutions cloud. Le modèle IA ne quitte jamais votre infrastructure.
Comment évaluer si cette technologie est pertinente pour vous
Si votre taux de faux positifs actuel est inférieur à 1 % et que vous êtes déjà en mode blocage sur la majorité de vos règles, l'apport marginal sera limité. Si en revanche vous avez de nombreuses règles en mode détection uniquement parce que le blocage casse trop d'usage légitime, ou si votre équipe passe plus de 5 heures par semaine à analyser des faux positifs WAF, alors l'investissement dans un moteur IA mérite sérieusement d'être évalué.
Le ROI peut être mesuré directement : comparez le temps équipe consacré à la gestion des faux positifs (analyse, whitelisting, ajustement de règles) avant et après déploiement. Pour les trois clients F5, cet indicateur a montré une réduction de 60 à 70 % du temps opérationnel lié aux faux positifs : un bénéfice parfois plus concret que les métriques de détection pure.
