Errore 400 Bad Request: cause e soluzioni

In breve: L’errore 400 Bad Request indica che il server ha ricevuto una richiesta che considera non valida e non può elaborarla.

Errore 400 Bad Request

Questa guida approfondisce errore 400 Bad Request con controlli progressivi, modifiche reversibili e verifiche finali. Non inviare password, cookie, token, chiavi private o codici 2FA nei ticket.

Che cosa significa

Ripetere la stessa richiesta senza modificarla normalmente produce lo stesso risultato. Prima di intervenire sul server bisogna capire se l’errore riguarda un singolo browser, una sola URL o tutte le richieste del sito.

Una pagina 400 generata da Cloudflare, LiteSpeed, un plugin o una API può avere aspetto e intestazioni differenti. Identificare il livello che risponde riduce molto il campo di ricerca.

Come riconoscere il problema

• Il sito funziona in finestra anonima ma non nella sessione normale.
• Una URL lunga o con caratteri particolari restituisce 400.
• L’errore compare durante login, upload, API o salvataggio.
• Solo una rete, un proxy o una CDN mostra il problema.
• Il registro segnala request header too large o malformed request.

Cause più frequenti

1. Cookie corrotti o troppo grandi

Cookie vecchi, duplicati o creati da plugin possono rendere eccessiva o incoerente la richiesta. Confronta questa ipotesi con il messaggio completo e con i log dell’orario interessato, evitando conclusioni basate soltanto sulla pagina mostrata dal browser.

2. URL o query string non valida

Caratteri non codificati, parametri troncati o link costruiti male possono essere rifiutati.

3. Header HTTP eccessivi

Cookie, token e intestazioni personalizzate possono superare i limiti del web server o del proxy.

4. Richiesta malformata

Un client, bot o plugin può inviare sintassi HTTP non conforme.

5. Proxy, CDN o WAF

Il livello frontale può normalizzare o rifiutare richieste che l’origine accetterebbe.

6. Plugin o integrazione WordPress

Form, REST API o autenticazione possono generare parametri non previsti.

Diagnosi passo per passo

1. Prova una finestra anonima. Confronta la stessa URL senza i cookie della sessione. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
2. Controlla il codice e le intestazioni. Usa gli strumenti sviluppatore o curl per identificare server e risposta. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
3. Riduci la URL. Rimuovi parametri uno alla volta e verifica caratteri speciali e codifica. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
4. Controlla error_log e access log. Cerca malformed request, header too large, invalid URI e rule id. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
5. Confronta origine e CDN. Verifica se il 400 è generato prima di raggiungere il server. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
6. Disattiva il componente sospetto in staging. Riproduci il form o la chiamata API senza il plugin recente. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.
7. Controlla dimensione di cookie e header. Individua nomi duplicati, token molto lunghi e domini cookie errati. Salva il risultato prima di passare al controllo seguente, così potrai identificare il punto preciso in cui il comportamento cambia.

Procedura di risoluzione

1. Elimina i cookie del dominio. Rimuovi soltanto i dati del sito e ripeti il login. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
2. Correggi URL e parametri. Codifica correttamente i valori e limita lunghezza e duplicazioni. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
3. Riduci gli header. Correggi plugin o autenticazione che generano cookie e token eccessivi. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
4. Aggiorna client e plugin. Versioni recenti possono correggere richieste non conformi. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
5. Correggi la regola WAF. Applica una esclusione mirata soltanto dopo aver identificato la regola. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
6. Allinea proxy e origine. Verifica hostname, protocollo e trasformazioni delle intestazioni. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.
7. Ripeti il test controllato. Usa lo stesso browser e la stessa richiesta dopo una sola modifica. Dopo la modifica ripeti il test originale e verifica che non siano comparsi nuovi errori o regressioni.

Domande frequenti

Guide Xlogic correlate

• Errore 431 Request Header Fields Too Large
• Errore 408 Request Timeout: cause e soluzioni
• Errore 429 Too Many Requests: cause e soluzioni

Fonti tecniche

• MDN: 400 Bad Request