ModSecurity: investigar bloqueios e falsos positivos

O ModSecurity é uma firewall de aplicações web: aplica regras aos pedidos para detetar e bloquear determinados padrões de ataque. O seu comportamento depende do conjunto de regras e da configuração do servidor.

Um erro 403 não demonstra que o ModSecurity seja a causa. Também pode resultar de permissões, autenticação, da aplicação ou de outra proteção. Antes de alterar seja o que for, relacione a falha com o evento correspondente.

Que dados fornecer

Anote o domínio, o URL, a hora com o fuso horário, o IP a partir do qual testou e a ação que falha. Se tiver o identificador da regra ou do evento, inclua-o. Descreva como reproduzir a falha com dados de teste; não partilhe palavras-passe, tokens nem corpos de pedido sensíveis.

O registo de auditoria completo pode exigir acesso do administrador do servidor. Se não estiver visível no cPanel, contacte-nos para confrontar o evento. Não deduza a regra a partir de uma mensagem genérica do navegador.

Corrigir um falso positivo

Quando se confirma, convém ajustar apenas a regra e o caminho ou parâmetro afetados. Uma exceção ampla pode deixar outros pedidos sem proteção. Confirme que a operação legítima volta a funcionar e que a exceção não abrange mais do que o necessário.

Não acrescente exclusões por aproximação nem desative toda a WAF como solução permanente. A interface ModSecurity do cPanel permite ativar ou desativar por domínio, conforme as funções disponíveis; não é o editor de exceções concretas.

Se for preciso um teste temporário

Coordene o teste, limite o tráfego sempre que possível e defina de antemão como reativar. Reproduza a operação uma única vez e volte a ativar a proteção de imediato, também se a falha continuar. No fim, verifique que o domínio fica protegido e guarde o resultado para investigar a causa real.