In breve: Cloudflare 1020 Access Denied significa che una regola di sicurezza Cloudflare ha bloccato la richiesta prima che raggiungesse il sito Xlogic. Salva Ray ID, orario e IP del visitatore; cerca l’evento in Security Events e correggi la regola con un’eccezione mirata. Svuotare la cache o modificare WordPress non risolve il blocco.
Indice dei contenuti
Che cosa significa il 1020
La richiesta raggiunge Cloudflare e viene negata da una regola associata alla zona. L’origine Xlogic può essere perfettamente online e non ricevere affatto la richiesta bloccata.
La pagina mostra normalmente un Ray ID e un orario. L’aspetto può essere personalizzato, quindi fai riferimento al codice e ai dettagli, non soltanto al testo della pagina.
Raccogliere Ray ID e dati della richiesta
Chiedi al visitatore:
- screenshot completo dell’errore;
- URL richiesto;
- Ray ID;
- data e ora con fuso orario;
- IP pubblico, se può fornirlo;
- browser, rete e azione eseguita;
- se il blocco riguarda tutti gli URL o soltanto login, API, checkout o form.
Non chiedere password, cookie o dati inseriti nel modulo. Il Ray ID aiuta a correlare la singola richiesta, anche se non va considerato un identificatore globalmente unico in ogni situazione.
Trovare la regola in Security Events
- Accedi alla zona Cloudflare.
- Apri Security → Analytics → Events oppure la voce Security Events disponibile nel pannello.
- Imposta un intervallo breve attorno all’orario, convertendolo correttamente in UTC se necessario.
- Filtra per Ray ID o IP client.
- Apri l’evento e annota azione, servizio, regola, hostname, percorso, metodo e user agent.
- Confronta la richiesta bloccata con una richiesta lecita che funziona.
I dati possono essere campionati. Se non trovi l’evento, riduci l’intervallo e prova anche IP, hostname e percorso.
Cause più comuni
- regola custom con espressione troppo ampia;
- IP, ASN o Paese presenti in una regola di blocco;
- WAF o Bot Management che classifica la richiesta come sospetta;
- rate limiting dopo troppe richieste;
- metodo HTTP, header o user agent insoliti;
- API o webhook privi dell’eccezione prevista;
- ordine delle regole che applica il blocco prima dell’allow mirato.
Un 1020 non dimostra che Imunify360 o il firewall Xlogic abbiano bloccato il visitatore: la decisione è stata presa all’edge Cloudflare.
Correggere senza disattivare la sicurezza
- Identifica la regola e la condizione che ha coinciso.
- Verifica che la richiesta sia davvero legittima.
- Restringi l’espressione per hostname, percorso, metodo o altra caratteristica stabile.
- Se serve, crea un’eccezione limitata al prodotto/regola che genera il falso positivo.
- Evita allow globali per interi Paesi, ASN o reti se non necessari.
- Ripeti esattamente lo stesso flusso.
- Controlla che richieste malevole simili restino bloccate.
Se il blocco è causato da frequenza o comportamento del client, può essere più corretto correggere il client e ridurre le richieste invece di allentare il firewall.
Se sei soltanto un visitatore
Non puoi modificare le regole Cloudflare del sito. Disattiva eventuali VPN/proxy soltanto per una prova, verifica data/ora del dispositivo e prova una rete diversa. Se il blocco resta, invia al proprietario screenshot, URL, Ray ID e orario. Non serve contattare direttamente Xlogic se non gestisci il dominio o l’account Cloudflare.
Quando contattare l’assistenza Xlogic
Contatta prima chi gestisce la zona Cloudflare. Apri un ticket Xlogic se, dopo aver escluso il 1020, compare anche un blocco dell’origine o ti serve confrontare i log server. Invia dominio, URL, Ray ID, orario UTC, IP visitatore, regola Cloudflare identificata e risultato della prova con proxy attivo. Non inviare token API.
Guide Xlogic correlate
Domande frequenti
Che cosa indica Cloudflare 1020?
Indica che una regola di sicurezza Cloudflare ha negato la richiesta all’edge, prima che raggiungesse il server origine.
Svuotare la cache risolve l’errore 1020?
No. Il 1020 è una decisione di sicurezza. Devi identificare la regola in Security Events e correggere la condizione o il client.
Perché serve il Ray ID?
Permette di cercare la richiesta nei Security Events insieme a IP, percorso, regola e azione. Invia anche orario e URL per restringere la ricerca.
Devo disattivare il WAF?
No. Identifica il falso positivo e crea una correzione o eccezione mirata. Disattivare globalmente il WAF espone anche le richieste che devono restare bloccate.