Erro 1020 / 1015 da Cloudflare: acesso negado e limite de requisições

O que este erro significa e como reconhecê-lo

• Uma página de erro com a marca Cloudflare aparece no lugar do site ou recurso solicitado.
• A página mostra explicitamente Error 1020: Access denied ou Error 1015: You are being rate limited.
• A resposta geralmente inclui um Cloudflare Ray ID, um horário aproximado e o hostname afetado.
• O Erro 1020 pode afetar um endereço IP específico, um caminho, um padrão de requisição ou uma condição de regra de segurança, enquanto outros visitantes continuam conseguindo se conectar.
• O Erro 1015 pode desaparecer quando o volume de requisições diminui, voltar durante picos ou afetar usuários que compartilham um único IP público por meio de NAT, proxy ou gateway corporativo.
• A requisição pode ter sido interrompida na borda da Cloudflare antes de ser processada pela aplicação de origem. Compare o erro com os logs da origem em vez de presumir que toda falha semelhante tem a mesma causa.

Causas principais, por probabilidade

Causas mais prováveis

1. Uma regra de firewall, WAF ou segurança da Cloudflare correspondeu à requisição (1020). A regra pode avaliar o IP de origem, o país, o caminho da URI, o método HTTP, os headers, o user agent ou outro atributo da requisição.
2. Um limite configurado de requisições foi excedido (1015). Carregamentos repetidos de páginas, consultas periódicas a uma API, crawlers, downloads paralelos, tentativas de login ou muitos usuários atrás de um único endereço compartilhado podem acionar a política.
3. Uma política de segurança é mais abrangente do que deveria. Uma regra criada para um caminho administrativo ou tráfego abusivo também pode corresponder a um visitante legítimo, serviço de monitoramento, rede corporativa ou cliente de API.
4. Um padrão de IP de origem compartilhado ou incomum causou a correspondência. VPNs, proxies, NAT de operadora e gateways corporativos podem fazer usuários não relacionados parecerem vir de um único endereço.
5. Uma alteração recente na configuração da Cloudflare introduziu o bloqueio. Isso é especialmente provável quando o erro começou imediatamente após uma alteração no firewall, WAF, bot ou limite de requisições.

Esses erros, por si só, não são evidência de que o servidor de origem está fora do ar. Uma requisição bloqueada pode nunca chegar à origem, enquanto um problema separado na origem pode produzir uma resposta diferente.

Como corrigir

Se você é um visitante

1. Registre a página de erro completa. Observe se ela informa 1020 ou 1015, o Ray ID, o horário, o fuso horário, o hostname e a URL ou ação que falhou. Não compartilhe senhas, tokens ou outros dados confidenciais da requisição.
2. Interrompa novas tentativas rápidas. Se o erro for 1015, aguarde antes de tentar novamente. Atualizações repetidas, várias abas e novas tentativas automatizadas podem prolongar ou acionar repetidamente o limite de requisições.
3. Pause fontes de requisições evitáveis. Interrompa gerenciadores de download, extensões agressivas do navegador, scripts, consultas periódicas à API, crawlers ou outras ferramentas que estejam solicitando repetidamente o mesmo site. Se for apropriado, tente uma única requisição normal pelo navegador, sem VPN ou proxy, mas não contorne um controle de acesso que você não tem autorização para contornar.
4. Verifique se o problema é restrito ou afeta todo o site. Um único caminho, ação de conta ou rede pode estar bloqueado enquanto outras páginas funcionam. Uma requisição bem-sucedida a partir de outra rede não prova que o site está saudável para todos.
5. Entre em contato com o responsável pelo site. Forneça o número do erro, o Ray ID, o horário, a URL afetada, uma descrição do que você estava fazendo e seu endereço IP público somente se o responsável solicitar e for apropriado compartilhá-lo.

Se você administra a zona da Cloudflare

1. Confirme a camada que gerou a resposta. Verifique a marca Cloudflare, o número do erro, o Ray ID e o horário. Compare o evento com os logs de acesso da origem; se não houver uma requisição correspondente na origem, o bloqueio provavelmente ocorreu na borda da Cloudflare.
2. Para o Erro 1020, inspecione os eventos de segurança e as regras correspondentes. Use o Ray ID, o horário, o IP de origem e o caminho da requisição para identificar a regra de firewall, WAF ou regra personalizada, política de acesso ou outro controle que negou a requisição. Revise a expressão da regra em vez de desativar todos os controles de segurança.
3. Para o Erro 1015, inspecione as análises e a configuração do limite de requisições. Identifique o hostname, caminho, método, identidade do cliente e limite correspondentes. Verifique se muitos usuários legítimos compartilham um endereço por meio de NAT, proxy ou gateway corporativo.
4. Compare requisições bloqueadas e permitidas. Verifique o caminho, a query string, o método, os headers, a rede de origem e a frequência das requisições. Isso ajuda a diferenciar um falso positivo de tráfego realmente excessivo ou malicioso.
5. Faça a menor alteração autorizada possível. Restrinja a expressão da regra, corrija uma condição não intencional, crie uma exceção com escopo restrito ou ajuste a política de limite de requisições para o endpoint afetado. Mantenha controles mais rigorosos em caminhos de autenticação e administrativos, salvo aprovação do responsável pela segurança.
6. Teste com segurança e monitore. Use uma requisição de teste autorizada que represente o tráfego afetado. Confirme que o acesso legítimo funciona e que a proteção pretendida continua sendo acionada para o tráfego que deveria controlar. Revise os eventos da Cloudflare e os logs da origem após a alteração.
7. Escale o caso com evidências se a correspondência não estiver clara. Mantenha o Ray ID, o horário e o fuso horário, o identificador da regra ou nome da política, o hostname, o caminho, o contexto da rede de origem e os detalhes relevantes do evento. Evite alterar regras repetidamente sem registrar cada resultado.

Prevenção e como verificar a correção

• Mantenha as expressões do firewall e do WAF tão restritas quanto possível, especialmente para páginas públicas, APIs e redes compartilhadas.
• Defina os limites de requisições usando a combinação adequada de caminho, método, identidade do cliente e padrão de tráfego, em vez de depender de um limite global abrangente.
• Considere endereços de saída de NAT, VPN, proxy e redes corporativas como identidades compartilhadas ao avaliar tráfego legítimo.
• Revise os eventos de segurança após implantar ou alterar regras, incluindo tráfego de usuários comuns, sistemas de monitoramento e clientes de API.
• Dê às equipes de suporte um processo padrão para coletar o Ray ID, o horário, o hostname e o caminho afetado, em vez de repetir tentativas continuamente.
• Documente a diferença entre bloqueios na borda da Cloudflare e erros da origem para que os responsáveis consultem primeiro os logs corretos.
• Registre exceções aprovadas com escopo restrito e revise-as periodicamente; evite allowlists amplas e permanentes que enfraqueçam a proteção.