Ti è capitato di aprire un sito e trovarti davanti a una pagina che chiede di attendere qualche secondo, di spuntare una casella con scritto Verifica di essere un essere umano o, peggio, di restare bloccato in un ciclo di verifiche che non finisce mai? È la pagina di verifica di Cloudflare, un sistema che molti siti usano per distinguere i visitatori reali dai bot automatici. Nella maggior parte dei casi si supera in un istante e senza fare nulla; a volte, però, qualcosa nel browser o nella rete impedisce di completarla, e il sito diventa irraggiungibile.
In questa guida vediamo che cos’è la pagina di verifica, perché compare, che cosa fare quando non si riesce a superarla e, per chi gestisce un sito, come configurarla senza ostacolare i visitatori e i motori di ricerca.
Cos’è la pagina di verifica di Cloudflare
Cloudflare è un servizio usato da milioni di siti per velocizzare il caricamento e proteggerli dagli attacchi. Tra le sue funzioni c’è la possibilità di sottoporre alcune visite a una verifica, chiamata in inglese challenge, prima di lasciarle arrivare al sito. Lo scopo è bloccare bot, scraper e attacchi automatizzati, lasciando passare le persone.
La verifica può assumere forme diverse. In molti casi è completamente automatica: il browser esegue in background alcuni controlli e, se tutto è in ordine, la pagina del sito si carica dopo un breve attesa. In altri casi compare una casella da spuntare, il widget chiamato Turnstile. Raramente, se i segnali sono sospetti, la verifica è più severa o l’accesso viene negato. Tutte queste verifiche si basano su informazioni raccolte dal browser, sull’esecuzione di codice JavaScript e sulla reputazione dell’indirizzo IP da cui ti colleghi.
Perché compare proprio a te
La verifica viene mostrata quando il sito l’ha impostata per tutti i visitatori, per esempio durante un attacco, oppure quando la tua visita presenta caratteristiche simili a quelle di un bot. I motivi più frequenti sono questi.
VPN, proxy e reti condivise. Gli indirizzi IP delle VPN sono usati da moltissime persone, e alcune di queste li usano per attività automatizzate. La reputazione di quegli indirizzi è quindi più bassa, e chi li usa riceve più verifiche.
Browser molto protetti. Estensioni che bloccano script e tracciamento, impostazioni di privacy molto rigide o browser configurati per non rivelare informazioni possono rendere la visita meno riconoscibile come umana.
Navigazione insolita. Molte pagine aperte in pochi secondi, ricariche continue o accessi a pagine sensibili come il login possono far scattare la verifica.
Il sito è sotto attacco. Durante un attacco, il gestore può attivare la verifica per tutti i visitatori: in quel caso la vedrai indipendentemente da come navighi.
Il messaggio “Sblocca challenges.cloudflare.com per continuare”
Uno dei casi più frequenti di verifica che non si completa è segnalato da un messaggio che chiede di sbloccare il dominio challenges.cloudflare.com. La verifica, infatti, ha bisogno di caricare risorse da quel dominio. Se qualcosa ne blocca il caricamento, la verifica non può partire e la pagina resta ferma.
I responsabili più comuni sono i blocchi pubblicitari e le estensioni per la privacy, che a volte includono quel dominio nelle proprie liste; i filtri DNS, come quelli impostati sul router, su servizi di blocco a livello di rete o nelle impostazioni di DNS privato dello smartphone; gli antivirus con protezione web; i firewall aziendali. La soluzione è aggiungere challenges.cloudflare.com alle eccezioni dello strumento che lo blocca, oppure disattivarlo temporaneamente per completare la verifica.
Come superare la verifica quando resta bloccata
Se la verifica non si completa o si ripete all’infinito, prova questi passaggi in ordine, ricaricando la pagina dopo ciascuno.
- Attendi qualche secondo. La verifica automatica può richiedere alcuni istanti, soprattutto su dispositivi lenti. Ricaricare continuamente la pagina la fa ricominciare da capo.
- Disattiva la VPN o il proxy. Cambiare indirizzo IP è spesso il modo più rapido per superare una verifica che non si completa.
- Disattiva le estensioni. Blocchi pubblicitari, estensioni per la privacy e per la gestione degli script sono la causa più comune. Una finestra in incognito, dove le estensioni sono di solito disattivate, permette di verificarlo subito.
- Verifica che JavaScript e i cookie siano attivi. La verifica ha bisogno di eseguire script e di salvare un cookie che ricorda che l’hai superata. Senza cookie, la verifica si ripresenta a ogni pagina.
- Controlla data e ora del dispositivo. Un orologio sbagliato può far considerare non valido il risultato della verifica.
- Aggiorna il browser. Le versioni molto vecchie possono non supportare le tecniche usate dalla verifica.
- Svuota cache e cookie del sito e riprova, oppure prova con un altro browser.
- Cambia rete. Se nulla funziona, prova dalla connessione mobile: se lì la verifica passa, la causa è un filtro o la reputazione dell’indirizzo IP della tua rete.
Se la verifica continua a fallire su tutte le reti e tutti i browser, il blocco è probabilmente dovuto a una regola troppo severa impostata dal sito. In quel caso puoi solo contattare il gestore, indicando l’identificativo che compare in fondo alla pagina di verifica.
Se il sito è tuo: come configurare le verifiche
Per chi gestisce un sito con Cloudflare, le verifiche sono uno strumento prezioso, ma vanno dosate. Una configurazione troppo aggressiva allontana i visitatori e può ostacolare i motori di ricerca; una troppo permissiva lascia passare bot e attacchi.
Usa le verifiche in modo mirato. Invece di sottoporre a verifica tutti i visitatori, applicala alle pagine sensibili, come login, registrazione e moduli, o al traffico con caratteristiche sospette. Le regole personalizzate del firewall di Cloudflare permettono di farlo con precisione.
Preferisci le verifiche gestite. Le verifiche gestite, chiamate Managed Challenge, scelgono automaticamente il tipo di controllo più leggero adatto alla situazione, e nella maggior parte dei casi i visitatori reali non devono fare nulla.
Riserva la modalità di attacco ai momenti di emergenza. La modalità che sottopone a verifica tutti i visitatori è utile durante un attacco in corso, ma lasciata attiva in modo permanente peggiora l’esperienza di tutti e può interferire con servizi che devono accedere al sito, come i controlli di uptime o le integrazioni.
Non bloccare i crawler dei motori di ricerca. Cloudflare riconosce i bot verificati dei principali motori di ricerca e li gestisce separatamente. Se crei regole personalizzate, assicurati di non includere questi bot: Googlebot non può superare una verifica pensata per gli esseri umani, e le pagine che non riesce a scansionare finiscono per uscire dall’indice.
Proteggi i moduli con Turnstile. Per i moduli di contatto e di registrazione, il widget Turnstile può sostituire i classici captcha: verifica i visitatori senza chiedere di riconoscere immagini e senza interrompere la navigazione del resto del sito.
Attenzione alle false pagine di verifica
La diffusione delle pagine di verifica ha attirato anche i truffatori. Esistono pagine che imitano l’aspetto della verifica di Cloudflare e, invece di una casella da spuntare, chiedono di premere una combinazione di tasti, aprire una finestra di comando e incollare un testo copiato automaticamente. Quel testo è un comando che scarica e installa software malevolo sul computer. Una verifica autentica non chiede mai nulla del genere: si completa nel browser, al massimo con un clic su una casella. Se ti trovi davanti a una richiesta di questo tipo, chiudi la pagina e, se hai già eseguito il comando, scollega il computer dalla rete e fai un controllo completo con l’antivirus. Se il sito che mostrava la falsa verifica è il tuo, è il segnale che è stato compromesso.
Verifiche e SEO
Dal punto di vista della SEO, il rischio principale è che i motori di ricerca ricevano la pagina di verifica al posto del contenuto. Se ti accorgi di un calo improvviso di pagine indicizzate dopo aver modificato le regole di sicurezza, usa lo strumento di controllo degli URL di Search Console per vedere che cosa riceve Google. Se vede la pagina di verifica invece del contenuto, la regola va corretta. Allo stesso modo, verifica che le regole non blocchino i servizi di anteprima dei social network, che altrimenti mostrerebbero link senza titolo né immagine quando qualcuno condivide le tue pagine.
Una verifica lenta o ripetuta incide anche sull’esperienza degli utenti: chi deve aspettare o spuntare caselle a ogni visita abbandona più facilmente il sito. Le statistiche del firewall di Cloudflare mostrano quante verifiche vengono emesse e quante superate: se la percentuale di verifiche fallite da visitatori normali è alta, la configurazione è troppo severa.
Domande frequenti
La verifica di Cloudflare è un virus o una truffa?
La verifica autentica di Cloudflare non chiede mai di scaricare file, di copiare comandi da incollare nel computer o di inserire dati personali. Esistono però truffe che imitano queste pagine per indurre a eseguire comandi: se una presunta verifica ti chiede qualcosa del genere, chiudi la pagina.
Perché devo rifare la verifica a ogni pagina?
Probabilmente il browser non salva i cookie per quel sito, o un’estensione li cancella. Senza il cookie che ricorda la verifica superata, Cloudflare ti chiede di ripeterla.
Il problema è del sito o di Cloudflare?
Di solito non è né dell’uno né dell’altro, ma del browser o della rete del visitatore. Se però la verifica blocca tutti, la regola impostata dal sito è troppo severa. Per gli altri errori legati a Cloudflare, come il 522 o il 520, consulta le guide dedicate.
