I bot stanno colpendo il tuo sito proprio adesso. Fermali alla porta.

L'attaccoBotnet riprovano milioni di coppie utente/password trapelate, o tirano a indovinare, contro gli endpoint di login e reset password a migliaia di tentativi al minuto. Basta una password riutilizzata per prendere il controllo di un account.

Come lo ferma WAPAggiungi una regola di rate limit sul percorso sensibile, ad esempio /login a 10 richieste al minuto per IP client. Ogni tentativo oltre il limite riceve 429 sull'edge, così il backend di autenticazione e il database non lo vedono mai.

L'attaccoI flood di livello 7 inviano richieste HTTP economiche per chi le manda ma costose per te: ricerche, generazione di report, operazioni sul carrello. Gli scraper aggressivi fanno lo stesso per copiare prezzi e contenuti. Entrambi esauriscono CPU, connessioni al database e banda.

Come lo ferma WAPUn tetto di richieste al minuto per IP su tutto il sito limita ogni visitatore. Le reti responsabili si bloccano per CIDR, e le modifiche arrivano nella memoria di ogni nodo edge in pochi secondi. Il DDoS volumetrico L3/L4 richiede uno scrubbing di rete a monte di WAP.

L'attaccoGli scanner automatici richiedono percorsi noti su ogni sito che trovano: /.env con le password del database, /.git/config, /wp-admin, /phpmyadmin, /actuator, /server-status. Un solo file dimenticato può far trapelare credenziali o codice sorgente.

Come lo ferma WAPRegole di blocco su prefisso, percorso esatto o sottostringa fermano queste richieste con 403 prima che raggiungano l'origin. Per lasciare un pannello di amministrazione raggiungibile solo dall'ufficio, aggiungi una regola di allow per il range IP dell'ufficio e una di blocco per il percorso.

L'attaccoSequenze ../ nell'URL escono dalla web root per leggere file come /etc/passwd o le configurazioni dell'applicazione. Gli attaccanti le codificano (%2e%2e%2f), le codificano due volte (%252e) o usano backslash per eludere filtri ingenui.

Come lo ferma WAPWAP decodifica ogni percorso ripetutamente, così la codifica doppia e tripla viene sciolta, e tratta i backslash come separatori. Ogni richiesta il cui percorso contiene ancora un segmento .. viene rifiutata. I browser reali risolvono questi segmenti prima dell'invio, quindi il traffico legittimo non fa mai scattare il controllo.

L'attaccoI filtri sui percorsi si aggirano spesso scrivendo lo stesso URL in modo diverso: /%61dmin, //admin, /ADMIN, /public/../admin o \admin. Il server di origine normalizza il percorso e serve comunque la pagina protetta.

Come lo ferma WAPPrima di applicare le regole, WAP normalizza ogni percorso: decodifica, comprime gli slash doppi, risolve i segmenti con punto, converte i backslash e ignora maiuscole e minuscole. Una sola regola /admin copre ogni variante, mentre l'URL originale viene comunque inoltrato invariato all'origin.

L'attaccoStrumenti come sqlmap, nikto, nuclei e masscan mappano la tua applicazione e cercano CVE note, spesso poche ore dopo la pubblicazione di una vulnerabilità. Le loro richieste riempiono anche i log di rumore.

Come lo ferma WAPLe regole sullo User-Agent bloccano gli strumenti noti, quelle su IP/CIDR bloccano le reti ostili. Poiché lo User-Agent lo sceglie il client, combina queste regole con i rate limit. Le richieste bloccate vengono contate per sito e per giorno nella dashboard.

L'attaccoGli attaccanti inviano i propri header X-Forwarded-For o X-Real-IP per sembrare un indirizzo in allow-list, per sfuggire ai rate limit per IP o per piantare un IP falso nei log e nell'audit trail.

Come lo ferma WAPWAP scarta ogni header di inoltro inviato dal client e scrive X-Forwarded-For e X-Real-IP a partire dalla connessione TCP reale. Rate limit e regole IP usano lo stesso indirizzo verificato.

L'attaccoSe gli attaccanti trovano il vero IP del tuo origin, tramite vecchi record DNS, log dei certificati o un header di posta, possono aggirare qualsiasi proxy e attaccare direttamente il server.

Come lo ferma WAPOgni richiesta inoltrata da WAP porta l'header di riconoscimento X-WAP: secure. Consenti solo l'edge di WAP nel firewall dell'origin e rifiuta le richieste prive dell'header. Gli accessi diretti falliscono anche se l'IP è trapelato.

L'attaccoUn framing ambiguo, come Content-Length e Transfer-Encoding nella stessa richiesta, fa sì che proxy e origin non siano d'accordo su dove finisce una richiesta. Una seconda richiesta nascosta viene contrabbandata oltre i controlli di sicurezza o nella connessione di un altro utente.

Come lo ferma WAPWAP analizza completamente ogni richiesta e la ri-incapsula per la connessione verso l'origin. Se è presente Transfer-Encoding, Content-Length viene eliminato, e gli header hop-by-hop, compresi quelli elencati in Connection, vengono rimossi. L'origin riceve solo il framing generato da WAP.

L'attaccoTRACE restituisce l'intera richiesta, il che può esporre cookie e header di autorizzazione (cross-site tracing). PUT, DELETE o PATCH lasciati attivi per errore possono permettere agli attaccanti di modificare contenuti.

Come lo ferma WAPTRACE e TRACK sono bloccati per ogni sito. Le regole sui metodi possono bloccare qualsiasi altro verbo che la tua applicazione non usa, ad esempio DELETE su un sito marketing.

L'attaccoCorpi di richiesta molto grandi riempiono memoria e disco sugli handler di upload. Un origin che si blocca tiene occupate le connessioni finché non ne resta nessuna per gli utenti reali.

Come lo ferma WAPI corpi oltre il limite della piattaforma (25 MB di default) vengono rifiutati con 413. Il limite viene verificato sul Content-Length dichiarato e di nuovo durante lo streaming del corpo. I timeout di connessione e risposta verso l'origin chiudono le connessioni bloccate con 504.

L'attaccoHeader Host o X-Forwarded-Host falsificati avvelenano le cache e i link di reset password. Gli attaccanti provano anche a usare i reverse proxy come relay aperti verso siti arbitrari.

Come lo ferma WAPVengono inoltrati solo hostname esatti e registrati, verso l'origin configurato dal proprietario. Ogni altro host riceve 401 e non viene mai inoltrato. X-Forwarded-Host è sempre impostato da WAP, mai preso dal client.