Abres el sitio web y carga. El monitor dice que está caído y el motivo que registró es HTTP 403. Ambas cosas son ciertas. El sitio funciona para ti y rechaza al monitor.

Un 403 es el servidor diciendo que entendió la solicitud y que no la va a cumplir. A diferencia de un 503 o de un tiempo de espera agotado, no es señal de que el sitio tenga dificultades. Algo decidió que esta solicitud no debía pasar.

Por qué se bloquea a un monitor

Un monitor es un robot. Pide una página según un calendario, desde servidores que no están en el país del visitante y sin ningún navegador detrás. Muchas protecciones están diseñadas precisamente para frenar ese tipo de tráfico:

Qué lo bloquea Cómo se manifiesta
Protección contra bots o un desafío gestionado en una CDN o servicio de cortafuegos (Cloudflare es el ejemplo común) Un desafío o una página de «comprobando tu navegador» en lugar de tu página; una respuesta 403
Una regla por país o por red Bloquea las solicitudes que vienen de centros de datos o de ciertos países
Un límite de frecuencia Empieza a rechazar tras un número de solicitudes desde una misma dirección
Un módulo de seguridad en el servidor web o en el panel de alojamiento Bloquea las solicitudes que parecen automáticas, o la falta de identificación de navegador
Una lista de bloqueo de direcciones, por ejemplo una mantenida por una herramienta de prevención de intrusiones Bloquea la dirección del monitor después de que se marcara
Autenticación Un 401 o 403 en una página que necesita inicio de sesión. El monitor no inicia sesión

Nada de esto significa que tu sitio esté roto. Significa que la protección funciona un poco demasiado bien para un monitor legítimo.

Confirma la causa

No cambies reglas del cortafuegos a ciegas. Mira primero.

1. Lee lo que recibió el monitor

Si tu monitor muestra la respuesta, revisa el cuerpo. Una página que habla de una comprobación de seguridad, de un desafío o de una solicitud bloqueada apunta a un cortafuegos. Un simple «Forbidden» del servidor web apunta a una regla del servidor. Una página de inicio de sesión apunta a la autenticación.

2. Compara desde tu propio terminal

curl -sS -o /dev/null -D - https://example.com/

Si esto también devuelve 403 mientras tu navegador funciona, el bloqueo depende de cómo se ve la solicitud, no de dónde estás. Entonces envía una solicitud que parezca de un navegador:

curl -sS -o /dev/null -D - -A "Mozilla/5.0" https://example.com/

Si la segunda pasa y la primera no, una regla está mirando la identificación que envía el cliente. Mira también las cabeceras de la respuesta. Una cabecera o una cookie que nombre una CDN o un servicio de cortafuegos te dice qué capa está respondiendo.

3. Lee el registro del propio cortafuegos

Es el paso más fiable. Los servicios de este tipo guardan un registro de las solicitudes bloqueadas y sometidas a desafío, con la regla que se activó. Busca la hora de las comprobaciones fallidas del monitor y mira qué regla coincidió. El nombre de la regla te dice qué cambiar.

4. Prueba en el otro sentido

Permite al monitor mediante una regla estrecha (ver más abajo), ejecuta la comprobación de nuevo y mira si pasa. Si pasa, el bloqueo estaba en el lado del cortafuegos. Si sigue fallando, mira la capa siguiente: las reglas del propio servidor y luego la aplicación.

Arréglalo sin debilitar el sitio

El objetivo es dejar pasar a un visitante conocido, no desactivar la protección.

  • Permite las direcciones del monitor. La mayoría de los servicios de monitorización publican las direcciones desde las que se hacen sus comprobaciones. Añádelas a una regla de permiso, o indica al cortafuegos que se salte la protección que bloquea al monitor, solo para esas direcciones. Si tu servicio no publica una lista, pregunta a su soporte. UptimeWire publica su lista y los pasos para los servicios más comunes: consulta Cómo dejar pasar las comprobaciones de UptimeWire por tu cortafuegos.
  • No te fíes solo de la cadena de identificación. Una regla que permite cualquier cosa que se llame a sí misma el monitor puede ser usada por cualquiera. Una regla sobre el rango de direcciones es mucho más difícil de falsificar.
  • Acota el alcance. Permite que el monitor llegue a una sola dirección pública, como la página de inicio o una página de estado, no a todo el sitio.
  • Usa una dirección de estado dedicada. Una pequeña página pública que responda 200 y no contenga datos privados es lo más sencillo de permitir y lo más barato de comprobar.
  • Cuidado con los límites de frecuencia. Si compruebas a menudo desde varias ubicaciones, las solicitudes combinadas pueden activar un límite de frecuencia. Permite también ahí las direcciones del monitor.
  • Anota el cambio. Una regla de permiso que nadie recuerda es difícil de auditar después.

Warning

No desactives la protección contra bots ni el cortafuegos de todo el sitio para que un monitor pase. Es un riesgo mayor que un monitor que informa de un 403.

Cuando el 403 es real

A veces el monitor tiene razón. Un despliegue que cambió los permisos de archivos, un módulo de seguridad que se activó o una dirección bloqueada a propósito producen un 403 que también ven los visitantes. Si tus propias comprobaciones desde un terminal y desde otra red también fallan, trátalo como un problema real y revisa las reglas y los permisos del servidor.

Qué puede y qué no puede hacer un monitor aquí

UptimeWire solicita una dirección pública desde fuera y lee la respuesta. Una respuesta final de 200 a 399 cuenta como correcta. Cualquier otra cuenta como un fallo, y eso incluye 401 y 403. Una comprobación fallida se repite y se abre un incidente tras tres comprobaciones fallidas seguidas. Se registra el motivo, así que puedes ver «HTTP 403» y cuándo empezó.

No inicia sesión, no responde a un desafío ni esquiva un cortafuegos. Monitorizar una página detrás de un inicio de sesión requiere otro enfoque, o una dirección de estado pública que haga sus veces.

Lista de comprobación

  • ¿La página se abre en un navegador y con curl?
  • ¿Qué dice el cuerpo de la respuesta: un desafío, un simple Forbidden o un inicio de sesión?
  • ¿Qué regla se activó, según el registro del cortafuegos?
  • ¿Están permitidas las direcciones del monitor, y solo para la dirección que monitorizas?
  • ¿Permitiste al monitor sin desactivar la protección?
  • Tras el cambio, ¿pasa el monitor durante un día completo, incluidas las horas punta?