Errore 400 Bad Request: cause e soluzioni

L’errore 400 Bad Request indica che il server ha ricevuto una richiesta che considera non valida e non può elaborarla.

Errore 400 Bad Request

Questa guida approfondisce errore 400 Bad Request con controlli progressivi, modifiche reversibili e verifiche finali. Non inviare password, cookie, token, chiavi private o codici 2FA nei ticket.

Che cosa significa

Ripetere la stessa richiesta senza modificarla normalmente produce lo stesso risultato. Prima di intervenire sul server bisogna capire se l’errore riguarda un singolo browser, una sola URL o tutte le richieste del sito.

Una pagina 400 generata da Cloudflare, LiteSpeed, un plugin o una API può avere aspetto e intestazioni differenti. Identificare il livello che risponde riduce molto il campo di ricerca.

Come riconoscere il problema

• Il sito funziona in finestra anonima ma non nella sessione normale.
• Una URL lunga o con caratteri particolari restituisce 400.
• L’errore compare durante login, upload, API o salvataggio.
• Solo una rete, un proxy o una CDN mostra il problema.
• Il registro segnala request header too large o malformed request.

Cause più frequenti

1. Cookie corrotti o troppo grandi

Cookie vecchi, duplicati o creati da plugin possono rendere eccessiva o incoerente la richiesta. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla pagina mostrata dal browser.

2. URL o query string non valida

Caratteri non codificati, parametri troncati o link costruiti male possono essere rifiutati.

3. Header HTTP eccessivi

Cookie, token e intestazioni personalizzate possono superare i limiti del web server o del proxy.

4. Richiesta malformata

Un client, bot o plugin può inviare sintassi HTTP non conforme.

5. Proxy, CDN o WAF

Il livello frontale può normalizzare o rifiutare richieste che l’origine accetterebbe.

6. Plugin o integrazione WordPress

Form, REST API o autenticazione possono generare parametri non previsti.

Diagnosi passo per passo

Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.

1. Prova una finestra anonima. Confronta la stessa URL senza i cookie della sessione.
2. Controlla il codice e le intestazioni. Usa gli strumenti sviluppatore o curl per identificare server e risposta.
3. Riduci la URL. Rimuovi parametri uno alla volta e verifica caratteri speciali e codifica.
4. Controlla error_log e access log. Cerca malformed request, header too large, invalid URI e rule id.
5. Confronta origine e CDN. Verifica se il 400 è generato prima di raggiungere il server.
6. Disattiva il componente sospetto in staging. Riproduci il form o la chiamata API senza il plugin recente.
7. Controlla dimensione di cookie e header. Individua nomi duplicati, token molto lunghi e domini cookie errati.

Procedura di risoluzione

Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.

1. Elimina i cookie del dominio. Rimuovi soltanto i dati del sito e ripeti il login.
2. Correggi URL e parametri. Codifica correttamente i valori e limita lunghezza e duplicazioni.
3. Riduci gli header. Correggi plugin o autenticazione che generano cookie e token eccessivi.
4. Aggiorna client e plugin. Versioni recenti possono correggere richieste non conformi.
5. Correggi la regola WAF. Applica una esclusione mirata soltanto dopo aver identificato la regola.
6. Allinea proxy e origine. Verifica hostname, protocollo e trasformazioni delle intestazioni.
7. Ripeti il test controllato. Usa lo stesso browser e la stessa richiesta dopo una sola modifica.

Domande frequenti

Guide Xlogic correlate

• Errore 431 Request Header Fields Too Large
• Errore 408 Request Timeout: cause e soluzioni
• Errore 429 Too Many Requests: cause e soluzioni

Fonti tecniche

• MDN: 400 Bad Request