直接答案：2026 年云 WAF 的公开计价分成三种：Cloudflare 按套餐（Pro 20/月年付、25/月月付；Business 200/250），含 WAF 托管规则、20/100 条自定义规则和 CDN/DDoS，不按请求另收 WAF 费；AWS WAF 按 5/WebACL + 1/规则 + 0.60/百万请求，AWS 托管规则组 1/月/组；Azure WAF（Front Door classic）按 5/策略 + 1/自定义规则 + 0.60/百万请求，托管默认规则集 20/月 + 1/百万请求。按 20 条自定义规则、1 个托管规则集、10M/100M/1B 请求/月测算：Cloudflare Pro 20/20/20；Cloudflare Business 200/200/200；AWS WAF 32/86/626；Azure WAF 61/205/1,645（美元/月，只算 WAF，未含 CDN/ALB/Front Door/税）。结论：低中流量 Cloudflare Pro 最便宜；要 SLA 用 Business，约 290M 请求/月以上比 AWS 便宜、约 97M 以上比 Azure 便宜；AWS/Azure 适合已经在对应云上前端、需要按规则/请求细算的场景。
本文面向负责网站/API 安全、架构、SRE 与采购的团队。资料截止 2026-11-07；价格取 Cloudflare Plans、AWS WAF Pricing、Azure WAF Pricing 与 Cloudflare WAF 文档，按美元、未含税；所有 TCO 为编辑测算，不是厂商报价。三家的“套餐/规则/请求/托管规则集/SLA”边界不同，本文把官方事实、编辑假设和不可比项分开写。
Cloudflare 是“套餐价”：Pro 20/月（年付）含 WAF 托管规则、20 条自定义规则、CDN/DDoS，Pro 无 uptime SLA；Business 200/月含 100 条规则和 100% uptime SLA。AWS/Azure 是“基数+规则+请求”：AWS 5+1/规则+0.60/M，托管组 1/组；Azure 5+1/规则+0.60/M，托管默认规则集 20/月+1/M。20 条规则、10M 请求：Cloudflare 20、AWS 32、Azure 61；1B 请求：Cloudflare 20、AWS 626、Azure 1,645。
三种计价：套餐、每 ACL/规则/请求、每策略/规则/请求
Cloudflare：Free 0、Pro 20/月（年付；月付 25）、Business 200/月（年付；月付 250）、Contract 定制；WAF 所有套餐可用，托管规则 Free 只有 Free Managed Ruleset、Pro+ 含 Cloudflare Managed Ruleset 与 OWASP Core Ruleset；自定义规则 5/20/100/1,000 条（Free/Pro/Business/Enterprise），限速规则 Free 1 条、Pro+ 可用；Pro 无 uptime SLA，Business 100% uptime SLA。AWS WAF：5/WebACL/月、1/规则/月、0.60/百万请求；每个规则组或托管规则组 1/月；Bot Control 10/月/WebACL + 按请求；CAPTCHA/Challenge 按次；超过 1,500 WCU 每 500 WCU 加 0.20/百万请求；超过 16KB 请求体每 16KB 加 0.30/百万请求。Azure WAF（Front Door classic / Azure CDN classic）：5/策略/月、1/自定义规则/月、0.60/百万请求；托管默认规则集 20/月 + 1/百万请求；Front Door Premium 的 WAF 已含在 Front Door 价格内；Application Gateway / Containers 按容量单位另计。
| 平台/档位 | 固定费（美元/月） | 规则费 | 请求费 | 托管规则/SLA |
|---|---|---|---|---|
| Cloudflare Free | 0 | 5 条自定义规则 | 不另收 WAF 费 | Free Managed Ruleset；无 SLA |
| Cloudflare Pro | 20（年付）/25（月付） | 20 条自定义规则 | 不另收 WAF 费 | Managed + OWASP；无 uptime SLA |
| Cloudflare Business | 200（年付）/250（月付） | 100 条自定义规则 | 不另收 WAF 费 | Managed + OWASP；100% uptime SLA |
| AWS WAF | 5/WebACL | 1/规则；托管组 1/组 | 0.60/百万 | Bot Control 10/月+按请求 |
| Azure WAF（FD classic） | 5/策略 | 1/自定义规则；托管默认 20 | 0.60/百万 + 托管 1/百万 | 按 Front Door/App Gateway 条款 |
来源：Cloudflare Plans 与 Cloudflare WAF 文档（custom rules 5/20/100/1,000，WAF Managed Rules 套餐可用性）、AWS WAF Pricing、Azure WAF Pricing（美国站/美元，访问 2026-11-07）。未含税、折扣、承诺、CDN/ALB/CloudFront/Front Door/Application Gateway、日志、Bot/CAPTCHA 超量、WCU/请求体超限、支持和迁移；Azure 的 5/1/0.60/20/1 适用于 Front Door classic 与 Azure CDN classic，Front Door Premium 已含 WAF。
TCO：10M、100M、1B 请求/月
按 20 条自定义规则、1 个托管规则集、1 个 WebACL/策略：10M 请求 Cloudflare Pro 20、Business 200、AWS 5+20+1+6=32、Azure 5+20+20+16=61；100M Cloudflare 20/200、AWS 5+20+1+60=86、Azure 5+20+20+160=205；1B Cloudflare 20/200、AWS 5+20+1+600=626、Azure 5+20+20+1,600=1,645。Cloudflare 的套餐价不随请求涨；AWS/Azure 的请求费在 1B 时分别占 96%/97%，成为绝对大头。Cloudflare Pro 在 1B 仍标 20/月，但 Pro 无 uptime SLA、且受套餐公平使用/功能边界约束；要 SLA 应看 Business 200。
| 请求/月 | Cloudflare Pro | Cloudflare Business | AWS WAF | Azure WAF（FD classic） |
|---|---|---|---|---|
| 10M | 20.00 | 200.00 | 32.00 | 61.00 |
| 100M | 20.00 | 200.00 | 86.00 | 205.00 |
| 1B | 20.00 | 200.00 | 626.00 | 1,645.00 |
编辑测算，不是报价。Cloudflare 用年付价；AWS = 5 + 20×1 + 1 个托管组 + 0.60×百万请求；Azure = 5 + 20×1 + 20 托管默认 + (0.60+1.00)×百万请求。未含税、CDN/ALB/CloudFront/Front Door/Application Gateway、日志、Bot/CAPTCHA、WCU/请求体超限、支持和迁移；Cloudflare Pro 无 uptime SLA，Business 有 100% uptime SLA；AWS/Azure 的 SLA 取决于前端服务。
盈亏点与 SLA：Pro、Business 怎么选
Cloudflare Pro 20 比 AWS 的固定基数 26 还低，所以只算 WAF、只看 list price，Pro 在 10M–1B 都比 AWS 低；但 Pro 无 uptime SLA，生产要 SLA 就看 Business。Business 200 与 AWS 26+0.60R 在约 290M 请求/月相等：低于 290M AWS 更便宜，高于 290M Business 更便宜。Business 200 与 Azure 45+1.60R 在约 97M 请求/月相等：低于 97M Azure 更便宜，高于 97M Business 更便宜。Pro 20 与 Azure 45+1.60R 没有正盈亏点，Azure 固定基数更高。换句话说：小流量 Pro 最省；中流量 AWS/Azure 可能更低；超大流量 Cloudflare 的扁平价重新占优。
| 对比 | 公式 | 盈亏点 | 结论 |
|---|---|---|---|
| Pro vs AWS | 20 vs 26+0.60R | 无正交点 | Pro 始终低（但无 SLA） |
| Business vs AWS | 200 vs 26+0.60R | 约 290M 请求/月 | 低于 290M AWS 低；高于 Business 低 |
| Business vs Azure | 200 vs 45+1.60R | 约 97M 请求/月 | 低于 97M Azure 低；高于 Business 低 |
| Pro vs Azure | 20 vs 45+1.60R | 无正交点 | Pro 始终低（但无 SLA） |
编辑测算，只算 WAF 月费+规则+请求，不含税/前端/日志/附加项；R 为百万请求/月。Cloudflare Pro 无 uptime SLA、Business 100% uptime SLA；AWS/Azure 的 SLA 取决于 CloudFront/ALB/Front Door/Application Gateway 等服务。
规则与附加项：Bot、CAPTCHA、WCU、托管规则
规则数决定“基数”，请求量决定“斜率”，附加项决定“尾部”：Cloudflare Pro 含 20 条自定义规则，超出要升级 Business（100 条）或 Enterprise（1,000 条）；托管的 Cloudflare Managed Ruleset/OWASP 在 Pro+ 已含，不按规则另收。AWS 每条规则 1/月，托管规则组 1/组/月；Bot Control 10/月/WebACL + 按请求；CAPTCHA/Challenge 按次；WCU 超过 1,500 每 500 加 0.20/百万请求；请求体超过 16KB 每 16KB 加 0.30/百万请求。Azure 自定义规则 1/条/月，托管默认规则集 20/月 + 1/百万请求；Bot/DDoS 等能力随 Front Door 档位。三家都可能把“WAF 费”和“前端/CDN/日志”分开收，报价时要一起算。
| 项目 | Cloudflare | AWS WAF | Azure WAF（FD classic） |
|---|---|---|---|
| 自定义规则 | 5/20/100/1,000 条（含在套餐） | 1/规则/月 | 1/规则/月 |
| 托管规则 | Pro+ 含 Managed + OWASP | 1/组/月（AWS 托管组） | 默认规则集 20/月 + 1/百万 |
| 请求费 | 不另收 WAF 费 | 0.60/百万 | 0.60/百万 + 托管 1/百万 |
| Bot/CAPTCHA | Bot Fight Mode；高级 Bot 按档 | Bot Control 10/月+按请求；CAPTCHA 按次 | 随 Front Door 档位 |
| 超限 | 套餐公平使用/规则上限 | WCU、请求体、区域 | 策略/规则/请求 |
| SLA | Business 100%；Pro 无 | 取决于前端服务 | 取决于 Front Door/App Gateway |
| CDN/DDoS | 含在套餐 | CloudFront/ALB 另计 | Front Door 另计 |
来源：Cloudflare Plans/WAF 文档、AWS WAF Pricing、Azure WAF Pricing（访问 2026-11-07）。表中为公开计价概览；具体规则上限、Bot/CAPTCHA 单价、WCU/请求体超限、SLA、日志和支持按档位/合同确认。
什么场景选哪种？
小团队/预算优先/要 CDN+WAF+DDoS 一体：Cloudflare Pro 20（年付），20 条自定义规则通常够用；生产要 SLA、规则多、要优先支持：Cloudflare Business 200；已在 AWS/CloudFront/ALB、要按规则/请求细算、用 AWS 托管组：AWS WAF；已在 Azure/Front Door classic、要微软威胁情报/策略：Azure WAF；请求量超过约 290M/月、要扁平价：Cloudflare Business 往往比 AWS 低；超过约 97M/月、比 Azure 低；企业合规/自定义合同：Cloudflare Contract、Azure Front Door Premium、AWS Enterprise/合同。不要只比“WAF 月费”，把前端/CDN、日志、Bot 和请求费一起算。
| 场景 | 首选 | WAF 月费 | 先核对 |
|---|---|---|---|
| 小团队/预算优先/一体化 | Cloudflare Pro | 20（年付） | 20 条规则/无 SLA |
| 生产 SLA/规则多/支持 | Cloudflare Business | 200（年付） | 100 条规则/100% SLA |
| 已在 AWS/CloudFront/ALB | AWS WAF | 5+1/规则+0.60/M | WCU/请求体/Bot |
| 已在 Azure/Front Door classic | Azure WAF | 5+1/规则+0.60/M+20 | Front Door 版本/SLA |
| 超大请求/扁平价 | Cloudflare Business | 200 固定 | 290M/97M 盈亏点 |
| 企业合规/自定义合同 | Cloudflare Contract / FD Premium / AWS 合同 | 定制 | 合规/审计/支持 |
来源：三家官方定价页/文档（访问 2026-11-07）。表为编辑决策矩阵，不是厂商建议；未验证拦截率、误杀率、延迟、日志完整性、SLA 赔付和迁移成本。
采购与验收要写清什么？
至少写清十件事：月请求/峰值、规则数/托管规则、Bot/CAPTCHA、请求体/WCU、前端/CDN、日志/保留、SLA/赔付、合规/数据驻留、迁移/回滚、合同/续费。POC 用 2–4 周真实流量记录拦截/误杀、延迟、日志、Bot、请求费和账单；不要只比“WAF 月费”。
- 请求：月总量/峰值、攻击峰值、按量/包年。
- 规则：自定义条数、托管组、例外/白名单、变更流程。
- Bot：Bot 管理/验证码/挑战；是否另购、按次/按请求。
- 请求体/WCU：检查上限、超限单价、大文件/API。
- 前端：CloudFront/ALB/API Gateway/Front Door/App Gateway 的费用。
- 日志：保留期、导出、SIEM、采样、费用。
- SLA：uptime、赔付倍数、支持响应。
- 合规：PCI、数据驻留、审计、隐私。
- 迁移：规则迁移、回滚、双跑、DNS/证书。
- 合同：年付/月付、续费涨幅、超量、退出。
常见问题
哪家 WAF 最便宜？
只算 WAF、20 条规则、10M–1B 请求：Cloudflare Pro 20/月最低；但要 SLA 就看 Business 200。AWS 10M 是 32、100M 86、1B 626；Azure 是 61/205/1,645。中流量 AWS/Azure 可能接近或低于 Business，超大流量 Cloudflare 扁平价更低。
Cloudflare Pro 20 和 25 有什么区别？
20 是年付折算、25 是月付；功能相同（WAF 托管规则、20 条自定义规则等）。Business 是 200 年付/250 月付，含 100 条规则和 100% uptime SLA。
AWS WAF 怎么算？
5/WebACL/月 + 1/规则/月 + 0.60/百万请求；AWS 托管规则组 1/组/月；Bot Control 10/月/WebACL + 按请求；CAPTCHA/Challenge 按次；超过 1,500 WCU 每 500 加 0.20/百万请求；请求体超过 16KB 每 16KB 加 0.30/百万请求。
Azure WAF 怎么算？
Front Door classic/Azure CDN classic：5/策略/月 + 1/自定义规则/月 + 0.60/百万请求；托管默认规则集 20/月 + 1/百万请求。Front Door Premium 的 WAF 已含在 Front Door 价格内；Application Gateway/Containers 按容量单位另计。
为什么 Cloudflare 不按请求收费？
它把 WAF、CDN、DDoS 打包成套餐价，按套餐功能/规则数/支持/SLA 分档，不按 WAF 请求量单列。套餐有公平使用和规则上限，超高流量/企业需求走 Business/Contract。
什么时候 Cloudflare Business 比 AWS/Azure 便宜？
与 AWS 26+0.60R 比，约 290M 请求/月以上 Business 更低；与 Azure 45+1.60R 比，约 97M 以上 Business 更低。低于这些点，AWS/Azure 的按量费更低，但还要加前端/CDN/日志。
还有哪些隐藏成本？
CDN/CloudFront/ALB/Front Door/App Gateway、日志/保留/SIEM、Bot/CAPTCHA、WCU/请求体超限、规则迁移、证书/DNS、支持/SLA、税和合同续费。WAF 月费只是安全栈的一部分。
怎么选、怎么验收？
预算优先/一体化选 Cloudflare Pro；要 SLA/规则多选 Business；已在 AWS/Azure 选对应 WAF；超大流量用 Business 的扁平价。POC 用 2–4 周真实流量记录拦截/误杀、延迟、日志、Bot、请求费和账单，再签约。
研究方法与局限
本文把“官方事实”和“编辑测算”分开：Cloudflare 的 Pro 20/25、Business 200/250、WAF 全套餐可用、托管规则 Pro+ 含 Managed+OWASP、自定义规则 5/20/100/1,000、Business 100% uptime SLA 来自 Cloudflare Plans 与 Cloudflare WAF 文档；AWS 的 5/1/0.60、托管组 1/组、Bot Control 10/月、WCU/请求体超限来自 AWS WAF Pricing；Azure 的 5/1/0.60/20/1 来自 Azure WAF Pricing（Front Door classic/Azure CDN classic）。TCO 是按 20 条规则、1 个托管组、10M/100M/1B 请求做的算术，不是任何一家报价。
局限有八个：① 只取美国站公开 list price，未含税、折扣、承诺、企业合同和地区差异；② 只算 WAF 月费+规则+请求，未含 CDN/CloudFront/ALB/API Gateway/Front Door/App Gateway、日志/保留/SIEM、Bot/CAPTCHA、WCU/请求体超限、证书/DNS、支持和迁移；③ Cloudflare Pro 无 uptime SLA，Business 有 100% SLA，但功能/公平使用/规则上限与 AWS/Azure 不完全等价；④ Azure 的 5/1/0.60/20/1 只适用于 Front Door classic/Azure CDN classic，Front Door Premium 已含 WAF、App Gateway/Containers 按 CU 另计；⑤ 未验证拦截率、误杀率、延迟、日志完整性、SLA 赔付和迁移成本；⑥ 未纳入 Fastly、Akamai、Imperva、F5 等替代；⑦ 未计规则迁移、改造、培训和双跑成本；⑧ 价格与条款可能随合同、区域、汇率变化。采购决策应把本文当“计价换算模板”，用 2–4 周真实流量 POC 替换假设。
数据来源与口径
- Cloudflare, Plans：cloudflare.com/plans。Free 0、Pro 20/月（年付）/25（月付）、Business 200/月（年付）/250（月付）、Contract 定制；Business 100% uptime SLA、Pro 无。访问 2026-11-07。
- Cloudflare, WAF 文档：developers.cloudflare.com/waf。WAF 所有套餐可用；WAF Managed Rules Free 仅 Free Managed Ruleset、Pro+ 含 Cloudflare Managed Ruleset 与 OWASP Core Ruleset；自定义规则 5/20/100/1,000（Free/Pro/Business/Enterprise）；限速规则 Free 1 条、Pro+ 可用。访问 2026-11-07。
- AWS, WAF Pricing：aws.amazon.com/waf/pricing。5/WebACL/月、1/规则/月、0.60/百万请求；规则组/托管组 1/月；Bot Control 10/月/WebACL + 按请求；CAPTCHA/Challenge 按次；WCU/请求体超限另计。访问 2026-11-07。
- Microsoft, Azure WAF Pricing：azure.microsoft.com/pricing/details/web-application-firewall。Front Door classic/Azure CDN classic：5/策略/月、1/自定义规则/月、0.60/百万请求；托管默认规则集 20/月 + 1/百万请求；Front Door Premium 已含 WAF；App Gateway/Containers 按 CU。访问 2026-11-07。
资料截止 2026-11-07；价格为公开 list price，未含税；所有 TCO 均为编辑测算。本文不构成采购建议。