Erro HTTP 509: entender, diagnosticar e resolver

Procédure

O que é o erro 509?

O código de erro HTTP 509 significa que o site ultrapassa os limites de recursos previstos pela sua fórmula de hospedagem. O servidor então recusa temporariamente processar parte ou a totalidade das requisições relacionadas à fórmula de hospedagem.

Dois limites podem desencadear esse erro:

• Conexões simultâneas: número de conexões HTTP abertas no mesmo instante
• Volume de requisições: número de requisições em um período

Um limite, não um bloqueio

O erro 509 não é um bloqueio e, portanto, não pode ser removido manualmente, nem pelo cliente nem pelo suporte. Ele desaparece automaticamente assim que o consumo do site volta a ficar abaixo dos limites da sua fórmula.

Se o erro voltar regularmente, a causa do consumo excessivo continua presente: é preciso identificá-la e tratá-la (veja as seções seguintes).

Situações frequentes

Na prática, o erro 509 aparece mais frequentemente em um dos casos a seguir:

• Tráfego legítimo alto demais para a fórmula: o site recebe mais visitantes do que sua fórmula consegue suportar.
• Robôs de SEO e IA muito ativos: crawlers exploram o site de forma intensa, às vezes milhares de páginas por hora.
• Ataque DDoS: um grande número de requisições maliciosas tenta saturar o site.
• Recurso HTTP mal otimizado: uma URL é muito solicitada (campanha publicitária, viralidade orgânica ...) mas requer um grande volume de recursos para ser processada (sem cache de página, consulta SQL mal otimizada ...)
• Bug gerando um loop de requisições: por exemplo, um script AJAX que chama a mesma URL em loop.
• Site infectado ou invadido: hackers usam o site para hospedar landing pages de phishing ou de campanhas fraudulentas, que atraem tráfego importante.

Diagnosticar a origem do problema

O log de acesso do site é a principal fonte para entender quais requisições provocam o erro.

1. Na sua interface cPanel, recupere o log de acesso relacionado ao site em questão.
2. Identifique as URLs mais solicitadas: um mesmo recurso chamado em loop frequentemente indica um bug ou uma página visada.
3. Identifique os endereços IP e os user-agents mais frequentes: nomes como Googlebot, Bingbot, GPTBot, ClaudeBot ou AhrefsBot indicam robôs.
4. Compare com uma ferramenta de estatísticas do lado do navegador (Google Analytics ou equivalente).

A comparação da etapa 4 é निर्णisiva. Uma ferramenta como o Google Analytics funciona em JavaScript: ela conta apenas visitantes reais cujo navegador executa o script. Se o log de acesso mostrar muito mais requisições do que as visitas medidas pelo Analytics, a diferença provavelmente vem de robôs, de um ataque ou de chamadas automatizadas.

URLs desconhecidas ou suspeitas no log (páginas que você não criou, caminhos para arquivos PHP incomuns) devem fazer pensar em invasão.

As duas soluções possíveis

Para pôr fim de forma duradoura ao erro 509, existem duas opções:

• Migrar para um VPS: adequado quando o tráfego é legítimo e o site simplesmente ultrapassou as capacidades de uma hospedagem compartilhada. Um VPS oferece recursos dedicados, sem esses limites de conexões e requisições.
• Reduzir o consumo: adequado quando o consumo excessivo vem de robôs, ataques, um bug ou um cache mal aproveitado. As ferramentas descritas abaixo permitem diminuir o número de requisições e conexões HTTP.

Antes de considerar uma migração, recomenda-se verificar nos logs se o tráfego é realmente legítimo: migrar um site invadido ou bombardeado por robôs não resolve a causa.

Ferramentas para reduzir o consumo

Limitar a exploração com robots.txt

O arquivo robots.txt, colocado na raiz do site, indica aos robôs de SEO e IA quais páginas eles podem explorar. Você pode proibir nele diretórios inteiros ou certos robôs de IA dos quais não precisa. Você também pode definir um tempo mínimo de espera entre a exploração de duas páginas.

Exemplo:

User-agent: GPTBot
Disallow: /

User-agent: Claudebot
Crawl-Delay: 60

User-agent: *
Disallow: /panier/
Disallow: /*?filtre=

Isso é especialmente útil quando o seu site é sobrecarregado por robôs de exploração. De fato, desde o auge dos robôs de treinamento de IA, alguns robôs realizam a máxima exploração, às vezes desnecessária. Por exemplo, os robôs de IA são particularmente conhecidos por tentar todas as combinações possíveis de filtros e ordenação nas páginas de lista de produtos.

Além de desperdiçar sua banda larga com esse tipo de crawling, os robôs de SEO e IA podem considerar que o seu site tem páginas demais. Eles podem então interromper a exploração sem ter concluído a exploração de todo o seu site, o que prejudica o seu posicionamento. É do seu interesse limitar as páginas exploradas para que os robôs possam se concentrar nas páginas que trazem mais valor em termos de SEO e GEO.

Os robôs respeitosos seguem essas regras; os robôs maliciosos as ignoram, daí o interesse das ferramentas a seguir.

LWS Protect

O LWS Protect reúne três proteções úteis contra o erro 509:

• Rate limiting de robôs: limita a frequência das requisições de robôs de SEO e IA sem bloqueá-los totalmente.
• Anti-DDoS agressivo: submete os navegadores a um desafio JavaScript. Os visitantes reais passam, os scripts automatizados são interrompidos.
• Bloqueio de IPs com má reputação: filtra endereços conhecidos por spam, ataques ou scraping.

Consulte a documentação do LWS Protect para saber mais.

Fastest Cache

O sistema de cache Fastest Cache permite servir uma versão já gerada das páginas. O servidor não executa mais PHP / Node.js / Python nem as consultas ao banco de dados a cada visita, o que reduz os recursos consumidos e o tempo de carregamento. Isso é particularmente importante para uma página alvo de uma campanha publicitária.

Se a página em questão for dinâmica (contiver partes variáveis conforme o visitante conectado, o país conectado ...), você pode implementar cache parcial: você carrega primeiro a estrutura da página e o conteúdo estático que é idêntico para todos os visitantes, depois carrega o conteúdo dinâmico por requisição assíncrona em Javascript. Assim, você pode colocar em cache o conteúdo estático.

Para saber mais sobre o uso do Fastest Cache, consulte a documentação do produto.

Modo Under Attack da Cloudflare

Se o site passa pela Cloudflare, o modo « Under Attack » impõe uma verificação aos visitantes antes do acesso ao site. Ele é útil durante um ataque DDoS, mas deve ser desativado assim que o ataque terminar, pois ele retarda o primeiro acesso dos visitantes.