WAF e blocco dei bot per negozi online

Un WAF (firewall per applicazioni web) ispeziona le richieste prima che arrivino a PrestaShop e blocca quelle che sembrano attacchi: SQL injection, caricamento di file malevoli, scansioni di vulnerabilità, attacchi di forza bruta al login.

Dove può trovarsi

• Nella CDN (Cloudflare e simili): filtra prima che il traffico arrivi al tuo server.
• Sul server (ModSecurity, Imunify, regole dell'hosting).
• In PHP: un file caricato prima di PrestaShop che decide per IP, user agent o URL.

Bot: buoni e cattivi

• Buoni: Googlebot, Bingbot, il bot di Google Merchant, quelli delle tue integrazioni.
• Dubbi: crawler SEO e di IA che consumano risorse senza darti nulla. Puoi limitarli.
• Cattivi: scanner di vulnerabilità, robot di forza bruta, scraper di prezzi aggressivi.

Come evitare di bloccare chi non devi

• Whitelist per le tue integrazioni: ERP, gateway di pagamento (le loro notifiche arrivano dai loro IP), strumenti di backup.
• Dietro una CDN, il WAF in PHP vede l'IP della CDN: configura l'intestazione dell'IP reale, o bloccherai tutti o nessuno.
• Controlla i log dei blocchi nella prima settimana dopo l'attivazione.

E nelle tue copie

Un WAF che decide per IP può bloccare il tuo ambiente di test, dove tutte le richieste arrivano da un proxy interno. Nelle copie, disattivalo.