Error HTTP 509: comprender, diagnosticar y resolver

Procédure

¿Qué es el error 509?

El código de error HTTP 509 significa que el sitio supera los límites de recursos previstos por su plan de alojamiento. El servidor rechaza entonces temporalmente procesar una parte o el conjunto de las solicitudes vinculadas al plan de alojamiento.

Dos límites pueden desencadenar este error:

• Conexiones simultáneas: número de conexiones HTTP abiertas en el mismo instante
• Volumen de solicitudes: número de solicitudes en un periodo

Un límite, no un bloqueo

El error 509 no es un bloqueo y, por lo tanto, no puede levantarse manualmente, ni por el cliente ni por el soporte. Desaparece automáticamente en cuanto el consumo del sitio vuelve a estar por debajo de los límites de su plan.

Si el error reaparece con regularidad, la causa del sobreconsumo sigue presente: hay que identificarla y tratarla (véanse las secciones siguientes).

Situaciones frecuentes

En la práctica, el error 509 aparece con mayor frecuencia en uno de los siguientes casos:

• Tráfico legítimo demasiado importante para el plan: el sitio recibe más visitantes de los que su plan puede absorber.
• Robots SEO e IA demasiado activos: unos crawlers exploran el sitio de forma intensiva, a veces miles de páginas por hora.
• Ataque DDoS: un gran número de solicitudes maliciosas intenta saturar el sitio.
• Recurso HTTP mal optimizado: una URL es muy solicitada (campaña publicitaria, viralidad orgánica ...) pero requiere un volumen importante de recursos para ser procesada (sin caché de página, consulta SQL mal optimizada ...)
• Error que genera un bucle de solicitudes: por ejemplo, un script AJAX que llama a la misma URL en bucle.
• Sitio infectado o pirateado: los piratas utilizan el sitio para alojar landing pages de phishing o campañas fraudulentas, que atraen un tráfico importante.

Diagnosticar el origen del problema

El log de acceso del sitio web es la fuente principal para comprender qué solicitudes provocan el error.

1. Desde su interfaz cPanel, recupere el log de acceso vinculado al sitio web afectado.
2. Identifique las URL más solicitadas: un mismo recurso llamado en bucle suele indicar un error o una página objetivo.
3. Identifique las direcciones IP y los user-agents más frecuentes: nombres como Googlebot, Bingbot, GPTBot, ClaudeBot o AhrefsBot señalan robots.
4. Compare con una herramienta de estadísticas del lado del navegador (Google Analytics o equivalente).

La comparación del paso 4 es decisiva. Una herramienta como Google Analytics funciona en JavaScript: solo cuenta a los visitantes reales cuyo navegador ejecuta el script. Si el log de acceso muestra muchas más solicitudes que las visitas medidas por Analytics, la diferencia probablemente proviene de robots, de un ataque o de llamadas automatizadas.

Las URL desconocidas o sospechosas en el log (páginas que no ha creado, rutas hacia archivos PHP inusuales) deben hacer pensar en un pirateo.

Las dos soluciones posibles

Para poner fin de forma duradera al error 509, existen dos opciones:

• Migrar a un VPS: adecuado cuando el tráfico es legítimo y el sitio simplemente ha superado las capacidades de un hosting compartido. Un VPS ofrece recursos dedicados, sin estos límites de conexiones y solicitudes.
• Reducir el consumo: adecuado cuando el sobreconsumo proviene de robots, ataques, un error o una caché mal aprovechada. Las herramientas descritas a continuación permiten disminuir el número de solicitudes y de conexiones HTTP.

Antes de plantear una migración, se recomienda verificar en los logs que el tráfico sea realmente legítimo: migrar un sitio pirateado o bombardeado por robots no soluciona la causa.

Herramientas para reducir el consumo

Limitar la exploración con robots.txt

El archivo robots.txt, situado en la raíz del sitio, indica a los robots SEO e IA qué páginas pueden explorar. Puede prohibirles directorios enteros o ciertos robots IA que no necesite. También puede definir un tiempo de espera mínimo entre la exploración de dos páginas.

Ejemplo:

User-agent: GPTBot
Disallow: /

User-agent: Claudebot
Crawl-Delay: 60

User-agent: *
Disallow: /panier/
Disallow: /*?filtre=

Esto es particularmente útil cuando su sitio web se ve desbordado por robots de exploración. En efecto, desde el auge de los robots de entrenamiento IA, algunos robots realizan la máxima exploración, a veces inútil. Por ejemplo, los robots IA son especialmente conocidos por intentar todas las combinaciones de filtros y de ordenación posibles en las páginas de lista de productos.

Más allá del ancho de banda desperdiciado para este tipo de crawling, los robots SEO e IA pueden considerar que su sitio web tiene demasiadas páginas. Así pueden detener la exploración sin haber terminado de recorrer todo su sitio web, lo que le perjudica en su posicionamiento. Le interesa limitar las páginas exploradas para que los robots puedan concentrarse en las páginas que aportan más valor en términos de posicionamiento SEO y GEO.

Los robots respetuosos siguen estas reglas; los robots maliciosos las ignoran, de ahí el interés de las herramientas siguientes.

LWS Protect

LWS Protect reúne tres protecciones útiles contra el error 509:

• Rate limiting de robots: limita la frecuencia de las solicitudes de robots SEO e IA sin bloquearlos por completo.
• Anti-DDoS agresivo: somete a los navegadores a un challenge JavaScript. Los visitantes reales pasan, los scripts automatizados se detienen.
• Bloqueo de IP con mala reputación: filtra las direcciones conocidas por spam, ataques o scraping.

Consulte la documentación de LWS Protect para saber más.

Fastest Cache

El sistema de caché Fastest Cache permite servir una versión ya generada de las páginas. El servidor ya no ejecuta PHP / Node.js / Python ni las consultas a la base de datos para cada visita, lo que reduce los recursos consumidos y el tiempo de carga. Es especialmente importante para una página objetivo de una campaña publicitaria.

Si la página afectada es dinámica (contiene partes variables según el visitante conectado, el país conectado ...), puede implementar una caché parcial: primero carga la estructura de la página y el contenido estático que es idéntico para todos los visitantes, luego carga el contenido dinámico mediante una solicitud asíncrona de Javascript. Así puede poner en caché el contenido estático.

Para saber más sobre el uso de Fastest Cache, consulte la documentación del producto.

Modo Under Attack de Cloudflare

Si el sitio pasa por Cloudflare, el modo « Under Attack » impone una verificación a los visitantes antes del acceso al sitio. Es útil durante un ataque DDoS, pero hay que desactivarlo una vez terminado el ataque porque ralentiza el primer acceso de los visitantes.