ModSecurity: investigar bloqueos y falsos positivos

ModSecurity es un firewall de aplicaciones web: aplica reglas sobre peticiones para detectar y bloquear determinados patrones de ataque. Su comportamiento depende del conjunto de reglas y configuración del servidor.

Un error 403 no demuestra que ModSecurity sea la causa. También puede venir de permisos, autenticación, la aplicación u otra protección. Antes de cambiar nada, relaciona el fallo con el evento correspondiente.

Qué datos facilitar

Anota el dominio, URL, hora con zona horaria, IP desde la que probaste y acción que falla. Si tienes el identificador de regla o evento, inclúyelo. Describe cómo reproducirlo con datos de prueba; no compartas contraseñas, tokens ni cuerpos de petición sensibles.

El registro de auditoría completo puede requerir acceso del administrador del servidor. Si no está visible en cPanel, consúltanos para contrastar el evento. No deduzcas la regla por un mensaje genérico del navegador.

Corregir un falso positivo

Cuando se confirma, conviene ajustar únicamente la regla y la ruta o parámetro afectados. Una excepción amplia puede dejar otras peticiones sin protección. Comprueba que la operación legítima vuelve a funcionar y que la excepción no abarca más de lo necesario.

No añadas exclusiones por aproximación ni desactives todo el WAF como solución permanente. La interfaz ModSecurity de cPanel permite activar o desactivar por dominio, según las funciones disponibles; no es el editor de excepciones concretas.

Si hace falta una prueba temporal

Coordina la prueba, limita el tráfico cuando sea posible y define de antemano cómo reactivar. Reproduce la operación una sola vez y vuelve a activar la protección inmediatamente, también si el fallo continúa. Verifica al terminar que el dominio queda protegido y conserva el resultado para investigar la causa real.