「用了 Shield Advanced 就不必單獨付 WAF 費」這句話對，但有四條邊界：只覆蓋受保護資源、只覆蓋標準功能、有請求量上限。Bot Control、CAPTCHA、WCU 超 1500 的 WebACL 都仍然單獨收費。
官方文件裡有一句話流傳很廣：「如果你使用 AWS Shield Advanced，則不必單獨為 AWS WAF 付費。」
這句話是對的——但它有邊界。安全服務的成本之所以容易被誤判，就是因為這類「看起來省錢」的規則，實際都帶著條件。這篇把那四條邊界講清楚。
安全相關的基線配置另有一篇（面向整體架構），這篇只講錢：什麼被覆蓋、什麼仍然收費。
先分清：Shield 有兩檔，其中一檔一直免費
| Shield Standard | Shield Advanced | |
|---|---|---|
| 費用 | 免費 | 月費 + 按資料傳出的使用費 |
| 怎麼開通 | 自動啟用，無需配置 | 需要訂閱（1 年承諾） |
| 保護範圍 | 常見的網路層與傳輸層 DDoS | 更強的防護 + 應用層防護 + 響應團隊 |
第一行值得單獨記住：Shield Standard 是隨服務自動啟用的、對所有客戶免費的基礎防護——你不需要為它付費，也不需要做任何配置。所以「要不要上 DDoS 防護」這個問題，預設答案已經是「有了」；Shield Advanced 是另一件更貴、也更重的事。
Shield Advanced 覆蓋哪些 WAF 費用
按官方文件的表述，訂閱 Shield Advanced 之後，它對受保護資源的「標準」WAF 費用是覆蓋的。被覆蓋的部分很具體：
- 每個保護包（WebACL）的費用。
- 每條規則的費用。
- 每百萬請求的基礎檢查費。
但覆蓋帶著兩個量化上限：
- 容量上限 1500 WCU（WebACL 容量單位）。
- 預設 body size（請求體檢查的預設大小）。
另外還有一條請求量上限：訂閱包含每月最多 500 億次對受保護 WAF 資源的請求；超出部分按定價頁計費。
有個細節值得注意：官方明確說，被 Shield Advanced 判定為 DDoS 的請求不計入這 500 億。這個設計是合理的——遭遇攻擊不會讓你額外付費，否則「防護」反而變成懲罰。
四條它不覆蓋的邊界
這四條是「不必單獨付 WAF 費」這句話的限定條件，也是成本誤判的主要來源：
- 只覆蓋「受 Shield Advanced 保護」的資源。 你賬戶裡的其他資源的 WAF 使用仍然照常收費。也就是說：訂閱不是「整個賬戶的 WAF 免費」，而是「你點名保護的那幾個資源的 WAF 免費」。
- 只覆蓋「標準」功能。 例如機器人控制（Bot Control）、CAPTCHA 規則動作這類屬於非標準功能，仍然單獨收費。
- WCU 超過 1500 的 WebACL 不覆蓋。 官方把它明確列為「非標準成本」之一。
- 檢查超出預設 body size 的請求體，不覆蓋。 需要檢查更大的請求體時，這部分是額外費用。
⛔ 把這四條合起來看，就能得出一個更準確的結論：「Shield Advanced 讓 WAF 免費」是一個有條件成立的說法——它對受保護的資源、標準功能、限額以內的部分免費。所以如果你本來就在用 Bot Control 或需要檢查大請求體，這部分錢不會因為訂閱而消失。 以官方 WAF 定價頁的完整清單為準。
一個容易踩的組合坑：自動緩解會佔你的 WCU 預算
把官方文件裡的兩條事實放在一起，會出現一個不太直觀的後果：
- 事實一：啟用 Shield Advanced 的自動應用層 DDoS 緩解，會往你的保護包裡新增一個使用 150 WCU 的規則組。
- 事實二：WCU 超過 1500 的 WebACL 不屬於免費覆蓋範圍。
⛔ 推論：如果你的 WebACL 本來就接近 1500 WCU，開啟自動緩解可能把它推過閾值——於是原本被覆蓋的那部分，會有一部分變成收費。也就是說：這個「自動防護」功能本身可能帶來額外成本，取決於你當前的 WCU 用量還剩多少餘量。 啟用前值得先看一眼現在的 WCU 數字。
這是個典型的「兩個正確的事實組合出一個不直觀的結論」——單獨看每一條都不會發現問題，所以值得專門提醒。
Shield Advanced 自己的費用結構
訂閱本身的計費由三部分組成，理解了才知道它為什麼只適合特定場景：
| 組成 | 說明 |
|---|---|
| 月費 | 按組織計費（官方 FAQ 口徑給出的量級是每月數千美元級） |
| 資料傳出使用費 | 按受保護資源傳出的資料量計費（CloudFront / 負載均衡 / EC2 / 全球加速） |
| 承諾期 | 要求 1 年訂閱承諾，且自動續訂 |
關於自動續訂，官方給了明確的時間窗：至少提前 30 天通知續訂，你可以在續訂日前 30 天到 5 天之間聯絡 AWS 取消續訂。
兩處與「多渠道 / 多賬戶」相關的細節（對透過渠道管理的團隊有實際影響）：① 合併賬單下的多賬戶只要付一次月費——前提是付款賬戶擁有這些賬戶及其資源；② 但 AWS 渠道轉售商需要為每個成員賬戶分別支付月費。同樣一件事，在兩種賬戶結構下成本完全不同。
什麼情況下它才划算
綜合上面的費用結構，判斷邏輯其實很清楚——它是一份「針對重要資產的保險」，而不是通用的省錢手段：
- 值得考慮：有面向公網的關鍵業務、且停機或攻擊造成的損失遠高於訂閱費；業務本身處於易被 DDoS 的行業或階段。
- 不太值得：內部系統、非關鍵業務、或流量極小（每月請求量離限額差得很遠）。這類場景下 Shield Standard 加上按需開啟的標準 WAF 規則通常已經夠用，成本也低得多。
- 先算一筆賬：把你現在的 WAF 費用、以及自動緩解可能帶來的 WCU 變化一起算進去，看訂閱能省下多少、又新增多少——而不是隻看「WAF 免費了」。
還有一條常被忽略的依賴：要聯絡 DDoS 響應團隊（DRT）獲得人工緩解支援，需要 Enterprise 或 Business 級別的支援計劃。所以如果你買 Shield Advanced 的目的正是「出事時有人幫我」，那支援計劃也是這份成本的一部分——兩者要一起評估，見 AWS 支援計劃怎麼選。
常見問題
Shield Standard 要付費嗎？
不要，而且不需要開啟。 官方明確：Shield Standard 對所有客戶免費、自動配置到你的應用上。它防的是常見的網路層與傳輸層 DDoS。所以「基礎防護」這一層，你已經在用了。
買了 Shield Advanced，賬戶裡所有 WAF 費用都免嗎？
不免。 覆蓋範圍是你指定由 Shield Advanced 保護的那些資源的標準 WAF 功能。未受保護的資源的 WAF 使用照常收費，非標準功能（如 Bot Control、CAPTCHA）也仍然單獨收費。
遭遇 DDoS 攻擊會產生額外費用嗎？
被 Shield Advanced 判定為 DDoS 的請求不計入每月 500 億的額度——也就是說攻擊流量本身不會消耗你的額度。另外官方還提供 DDoS 成本保護：受保護資源在攻擊期間因擴容產生的費用可以申請抵扣（該權益受 1 年訂閱承諾約束）。
我透過渠道購買的 AWS，Shield Advanced 的月費怎麼算？
這裡有一條結構性的差別：官方定價頁說明，AWS 渠道轉售商需要為每個成員賬戶分別支付 Shield Advanced 月費；而普通的合併賬單多賬戶結構下只需付一次（前提是付款賬戶擁有這些賬戶及資源）。所以「你的賬戶是什麼結構」會直接改變這項成本——具體以官方定價頁與你與渠道的約定為準。
安全服務的費用能靠折扣覆蓋嗎？
要看是哪一類折扣。跨服務的整體折扣（私有定價那類）覆蓋範圍較廣，可能包含安全服務；而只覆蓋計算類的承諾折扣不涉及它。這兩層的區別見 AWS 私有定價怎麼談；完整的優惠分層見 AWS 優惠全覽。另外渠道折扣降的是實際支付金額，與官方折扣作用在不同位置，可疊加——見 AWS 折扣與代理定價，五家廠商的機制差異見 五家雲廠商折扣機制對比。