WAF e bloqueio de bots para lojas online

Um WAF (firewall de aplicações web) inspeciona os pedidos antes de chegarem ao PrestaShop e bloqueia os que parecem ataques: injeção SQL, envio de ficheiros maliciosos, varrimentos de vulnerabilidades, força bruta contra o login.

Onde pode estar

• Na CDN (Cloudflare e semelhantes): filtra antes de chegar ao seu servidor.
• No servidor (ModSecurity, Imunify, regras do alojamento).
• Em PHP: um ficheiro carregado antes do PrestaShop que decide por IP, agente ou URL.

Bots: bons e maus

• Bons: Googlebot, Bingbot, o bot do Google Merchant, os das suas integrações.
• Duvidosos: rastreadores de SEO e de IA que consomem recursos sem lhe trazer nada. Pode limitá-los.
• Maus: scanners de vulnerabilidades, robôs de força bruta, extratores de preços agressivos.

Como evitar bloquear quem não deve

• Lista branca para as suas integrações: ERP, gateways de pagamento (as notificações deles chegam dos seus IP), ferramentas de cópia de segurança.
• Atrás de uma CDN, o WAF em PHP vê o IP da CDN: configure o cabeçalho de IP real ou bloqueará todos ou ninguém.
• Reveja os registos de bloqueios na primeira semana depois de o ativar.

E nas suas cópias

Um WAF que decide por IP pode bloquear o seu ambiente de testes, onde todos os pedidos chegam a partir de um proxy interno. Nas cópias, desative-o.