Errore HTTP 509: comprendere, diagnosticare e risolvere

Procédure

Che cos’è l’errore 509?

Il codice di errore HTTP 509 significa che il sito supera i limiti di risorse previsti dal proprio piano di hosting. Il server rifiuta quindi temporaneamente di elaborare una parte o l’insieme delle richieste legate al piano di hosting.

Due limiti possono attivare questo errore:

• Connessioni simultanee: numero di connessioni HTTP aperte nello stesso momento
• Volume di richieste: numero di richieste in un periodo

Un limite, non un blocco

L’errore 509 non è un blocco e quindi non può essere rimosso manualmente, né dal cliente né dall’assistenza. Scompare automaticamente non appena il consumo del sito torna al di sotto dei limiti del suo piano.

Se l’errore si ripresenta regolarmente, la causa del sovraconsumo è sempre presente: occorre identificarla e trattarla (vedi le sezioni seguenti).

Situazioni frequenti

Nella pratica, l’errore 509 compare più spesso in uno dei casi seguenti:

• Traffico legittimo troppo elevato per il piano: il sito riceve più visitatori di quanti il suo piano possa assorbire.
• Bot SEO e IA troppo attivi: dei crawler esplorano il sito in modo intensivo, a volte migliaia di pagine all’ora.
• Attacco DDoS: un gran numero di richieste malevole cerca di saturare il sito.
• Risorsa HTTP mal ottimizzata: un URL è molto sollecitato (campagna pubblicitaria, viralità organica ...) ma richiede un volume importante di risorse per essere elaborato (nessuna cache della pagina, query SQL mal ottimizzata ...)
• Bug che genera un ciclo di richieste: ad esempio uno script AJAX che chiama lo stesso URL in loop.
• Sito infetto o compromesso: degli hacker utilizzano il sito per ospitare landing page di phishing o campagne fraudolente, che attirano un traffico importante.

Diagnosticare l’origine del problema

Il log di accesso del sito web è la fonte principale per capire quali richieste provocano l’errore.

1. Dal vostro pannello cPanel, recuperate il log di accesso relativo al sito web interessato.
2. Individuate gli URL più richiesti: una stessa risorsa chiamata in loop indica spesso un bug o una pagina bersaglio.
3. Individuate gli indirizzi IP e gli user-agent più frequenti: nomi come Googlebot, Bingbot, GPTBot, ClaudeBot o AhrefsBot segnalano dei bot.
4. Confrontate con uno strumento di statistiche lato browser (Google Analytics o equivalente).

Il confronto del punto 4 è decisivo. Uno strumento come Google Analytics funziona in JavaScript: conta solo i veri visitatori il cui browser esegue lo script. Se il log di accesso mostra molte più richieste delle visite misurate da Analytics, la differenza proviene molto probabilmente da bot, da un attacco o da chiamate automatizzate.

URL sconosciuti o sospetti nel log (pagine che non avete creato, percorsi verso file PHP insoliti) devono far pensare a una compromissione.

Le due soluzioni possibili

Per porre fine in modo duraturo all’errore 509, esistono due opzioni:

• Migrare verso un VPS: adatto quando il traffico è legittimo e il sito ha semplicemente superato le capacità di un hosting condiviso. Un VPS offre risorse dedicate, senza questi limiti di connessioni e richieste.
• Ridurre il consumo: adatto quando il sovraconsumo deriva da bot, attacchi, un bug o una cache mal sfruttata. Gli strumenti descritti qui sotto permettono di diminuire il numero di richieste e di connessioni HTTP.

Prima di prendere in considerazione una migrazione, si raccomanda di verificare nei log che il traffico sia effettivamente legittimo: migrare un sito compromesso o bombardato da bot non risolve la causa.

Strumenti per ridurre il consumo

Limitare l’esplorazione con robots.txt

Il file robots.txt, posizionato alla radice del sito, indica ai bot SEO e IA quali pagine possono esplorare. Potete vietare intere directory o alcuni bot IA di cui non avete bisogno. Potete anche definire un tempo minimo di attesa tra l’esplorazione di due pagine.

Esempio:

User-agent: GPTBot
Disallow: /

User-agent: Claudebot
Crawl-Delay: 60

User-agent: *
Disallow: /panier/
Disallow: /*?filtre=

Questo è particolarmente utile quando il vostro sito web è sommerso da bot di esplorazione. Infatti, con l’ascesa dei bot di addestramento IA, alcuni bot effettuano il massimo dell’esplorazione, a volte inutile. Per esempio, i bot IA sono particolarmente noti per provare tutte le combinazioni possibili di filtri e ordinamenti sulle pagine elenco prodotti.

Al di là della banda passante sprecata per questo tipo di crawling, i bot SEO e IA possono ritenere che il vostro sito web abbia troppe pagine. Possono quindi interrompere l’esplorazione senza aver finito di scandire l’intero sito web, il che vi penalizza nel posizionamento. È nel vostro interesse limitare le pagine esplorate affinché i bot possano concentrarsi sulle pagine che apportano il maggior valore in termini di posizionamento SEO e GEO.

I bot rispettosi seguono queste regole; i bot malevoli le ignorano, da qui l’interesse dei seguenti strumenti.

LWS Protect

LWS Protect riunisce tre protezioni utili contro l’errore 509:

• Rate limiting dei bot: limita la frequenza delle richieste dei bot SEO e IA senza bloccarli completamente.
• Anti-DDoS aggressivo: sottopone i browser a una sfida JavaScript. I veri visitatori passano, gli script automatizzati vengono fermati.
• Blocco degli IP con cattiva reputazione: filtra gli indirizzi noti per spam, attacchi o scraping.

Consultate la documentazione di LWS Protect per saperne di più.

Fastest Cache

Il sistema di cache Fastest Cache permette di servire una versione già generata delle pagine. Il server non esegue più PHP / Node.js / Python né le query al database per ogni visita, il che riduce le risorse consumate e il tempo di caricamento. Questo è particolarmente importante per una pagina bersaglio di una campagna pubblicitaria.

Se la pagina interessata è dinamica (contiene parti variabili in base al visitatore connesso, al paese connesso ...), potete mettere in atto una cache parziale: caricate prima la struttura della pagina e il contenuto statico che è identico per tutti i visitatori, poi caricate il contenuto dinamico tramite richiesta asincrona JavaScript. Potete così mettere in cache il contenuto statico.

Per saperne di più sull’utilizzo di Fastest Cache, consultate la documentazione del prodotto.

Modalità Under Attack di Cloudflare

Se il sito passa tramite Cloudflare, la modalità « Under Attack » impone una verifica ai visitatori prima dell’accesso al sito. È utile durante un attacco DDoS, ma va disattivata una volta terminato l’attacco perché rallenta il primo accesso dei visitatori.