Quando Cloudflare ti scambia per un bot
Cloudflare offre protezione anti-bot integrata. Talvolta però rileva utenti umani come bot e mostra una pagina 403 con messaggio "Access Denied" o "The owner of this website has blocked you". Questo articolo guida nel capire il motivo del blocco e come gestirlo lato sito.
Identificare il tipo di blocco
La pagina 403 mostra un Cloudflare Ray ID. Nel dashboard Cloudflare vai su Security > Events e cerca il Ray ID. Vedrai esattamente quale regola ha bloccato la richiesta: Bot Fight Mode, regola WAF custom, IP reputation, rate limit, country block.
Bot Fight Mode
Cloudflare Bot Fight Mode è aggressivo: blocca tutti i client che sembrano bot anche se sono legittimi (es. Postman, curl, scripted tests). Disabilitalo per ambienti di sviluppo o configura allowlist. In produzione, sostituiscilo con la più raffinata Super Bot Fight Mode (piano Pro) che distingue meglio bot legittimi (Google, Bing) da malevoli.
User agent vuoto o sospetto
Cloudflare blocca richieste senza user agent o con user agent associati a bot noti (sqlmap, nikto, masscan). Se sviluppi un'integrazione, usa sempre un'user agent identificabile: curl -A "MyApp/1.0 (gianluca@tuosito.it)" https://tuosito.it/api. Così in caso di problemi il proprietario del sito sa chi sei.
IP reputation
Cloudflare assegna a ogni IP una reputation score basata su attività passate. IP precedentemente usati per spam, DDoS o scraping hanno reputation bassa e vengono bloccati più facilmente. Se sei utente legittimo bloccato da un'IP residenziale dinamico, riavvia il router per ottenere un nuovo IP dall'ISP.
Whitelist di IP fidati
Se gestisci un sito e vuoi che determinati IP non siano mai bloccati (uffici, sviluppatori, API partner), aggiungili in Security > WAF > Tools > IP Access Rules con Action = Allow. Le regole Allow hanno priorità su tutte le altre regole Cloudflare.
Bypass per crawler legittimi
Per non penalizzare SEO, Cloudflare permette di whitelistare automaticamente Googlebot, Bingbot, ecc. Vai in Security > Bots > configura "Verified Bots". Cloudflare verifica l'identità del crawler tramite reverse DNS lookup. Bot che fingono di essere Googlebot vengono comunque bloccati.
JS challenge e Captcha
Invece di bloccare bot sospetti con 403, configura Cloudflare per mostrare un challenge JavaScript o un Turnstile (captcha di Cloudflare). Gli utenti reali passano facilmente, i bot semplici no. È un'equilibrio migliore tra sicurezza e usabilità rispetto al blocco totale. Nel pannello: Security > WAF > cambia Action da Block a Managed Challenge.
Hai bisogno di aiuto?
Se il tuo sito ha problemi di accesso, il team di G Tech Group può aiutarti. Contattaci tramite il modulo di contatto.