Errore 429 Too Many Requests: come risolverlo

L’errore 429 Too Many Requests significa che hai inviato troppe richieste a un server in un periodo di tempo troppo breve, e il server ha deciso di rallentarti. Non è un guasto ma una misura di protezione: limitare la frequenza delle richieste serve a difendere i siti da bot, attacchi e abusi, e a distribuire le risorse in modo equo tra tutti gli utenti. Il problema nasce quando il limite colpisce chi non dovrebbe, come un visitatore normale, il gestore del sito o Googlebot.

In questa guida vediamo come funziona il limite delle richieste, perché si attiva, come risolvere il 429 da utente e da gestore e quali attenzioni servono per non danneggiare la SEO.

Cosa significa errore 429

Il 429 fa parte degli errori 4xx. Il server lo restituisce quando un client, identificato di solito dal suo indirizzo IP, da una chiave API o da un account, supera il numero di richieste consentite in un intervallo di tempo. Questa tecnica si chiama rate limiting, cioè limitazione della frequenza.

Spesso il 429 è accompagnato dall’intestazione Retry-After, che indica dopo quanti secondi, o a partire da quale momento, è possibile riprovare:

HTTP/1.1 429 Too Many Requests
Retry-After: 60

Le API di servizi esterni aggiungono spesso intestazioni proprie che mostrano il limite totale, le richieste rimaste e il momento in cui il contatore si azzera.

Come si presenta

Per i visitatori il 429 compare come 429 Too Many Requests, HTTP Error 429, Rate limit exceeded o con pagine personalizzate che invitano a riprovare più tardi. Sui siti protetti da Cloudflare può apparire come pagina di blocco dedicata. Nelle applicazioni, nei plugin e negli strumenti che usano API esterne il 429 si trova invece nei log o nei messaggi di errore delle integrazioni: un plugin di traduzione che smette di tradurre, una sincronizzazione con un gestionale che si interrompe, uno strumento SEO che non riesce più a interrogare un servizio.

Perché si attiva il limite

Bot e scraper. Programmi automatici che scaricano pagine in massa, per copiare contenuti o raccogliere dati, sono il bersaglio principale del rate limiting.

Tentativi di accesso ripetuti. Molti plugin di sicurezza e firewall limitano le richieste alla pagina di login per contrastare gli attacchi a forza bruta. Chi sbaglia la password più volte di seguito, o un’app che prova ripetutamente credenziali vecchie, può ricevere un 429.

Uso intensivo di un’API. Ogni servizio esterno, dai sistemi di pagamento alle API di Google, ha limiti precisi sul numero di chiamate. Un’integrazione mal progettata, che interroga il servizio a ogni caricamento di pagina, li supera rapidamente.

Indirizzi IP condivisi. In uffici, scuole, reti mobili e VPN molte persone escono su Internet con lo stesso indirizzo IP. Per il server sembrano un unico utente molto attivo, e possono superare insieme un limite pensato per una persona sola.

Strumenti di analisi e crawler. Programmi di analisi SEO, controlli di uptime troppo frequenti o crawler configurati senza pause possono far scattare il limite anche sul tuo stesso sito.

Come risolvere se sei un visitatore o un utente

La soluzione più semplice è aspettare: il limite si azzera dopo un intervallo che va da pochi secondi a qualche ora. Se hai molte schede aperte sullo stesso sito o stai ricaricando la pagina in continuazione, smetti, perché ogni richiesta allunga l’attesa. Disattiva la VPN o cambia rete, per esempio passando alla connessione mobile: se il limite colpisce l’indirizzo IP condiviso, uscire con un indirizzo diverso risolve subito. Se l’errore compare sulla pagina di login, attendi prima di riprovare e verifica la password con calma, per non prolungare il blocco.

Come risolvere se il sito è tuo

1. Capisci chi impone il limite

Il 429 può arrivare da livelli diversi: il CDN, il firewall dell’hosting, il server web, un plugin di sicurezza o l’applicazione stessa. La pagina di errore e le intestazioni della risposta, visibili negli strumenti per sviluppatori del browser, aiutano a capire quale componente lo ha generato. Se la pagina ha l’aspetto di Cloudflare, la regola è lì; se è una pagina del tuo tema o un messaggio di un plugin, cerca nelle impostazioni di sicurezza del sito.

2. Guarda chi sta facendo tutte quelle richieste

L’access log del server mostra quali indirizzi IP fanno più richieste e su quali pagine. Se trovi un bot sconosciuto che scarica migliaia di pagine, il limite sta facendo il suo lavoro e conviene addirittura bloccarlo. Se invece il limite colpisce visitatori normali, va allentato. La guida ai log del server mostra il comando per contare le richieste per indirizzo.

3. Regola i limiti in modo mirato

I limiti efficaci sono specifici: severi sulla pagina di login, sui moduli e sulle ricerche interne, molto più larghi sulle pagine di contenuto e sui file statici. Su un server Nginx, per esempio, si definisce una zona di limitazione e la si applica solo agli indirizzi sensibili:

limit_req_zone $binary_remote_addr zone=login:10m rate=5r/m;

location = /wp-login.php {
    limit_req zone=login burst=3 nodelay;
    limit_req_status 429;
    # ... configurazione PHP del sito
}

In questo esempio ogni indirizzo IP può fare circa cinque richieste al minuto alla pagina di login, con una piccola tolleranza per i picchi, mentre il resto del sito non è limitato. Su un hosting condiviso queste regole si impostano dal plugin di sicurezza o dal CDN.

4. Riduci le chiamate alle API esterne

Se il 429 arriva da un servizio esterno usato dal sito, la soluzione è ridurre le chiamate: memorizzare i risultati per un certo tempo invece di richiederli a ogni visita, raggruppare più operazioni in un’unica chiamata, distribuire le sincronizzazioni nel tempo. Quando l’API indica un tempo di attesa con Retry-After, il codice dovrebbe rispettarlo invece di riprovare subito.

5. Inserisci nella lista bianca i servizi fidati

Il tuo indirizzo IP di lavoro, il servizio di monitoraggio e gli strumenti che usi regolarmente possono essere esclusi dai limiti. Fai attenzione però a non escludere interi intervalli di indirizzi o servizi di cui non conosci il comportamento.

Errore 429 su WordPress

Su WordPress il 429 compare in alcune situazioni ricorrenti. La più comune è la protezione del login: i plugin di sicurezza limitano i tentativi di accesso, e chi gestisce più siti o usa un’app che salva le credenziali può ritrovarsi bloccato. Se capita a te, aspetta la scadenza del blocco o sblocca il tuo indirizzo dal pannello del plugin, se riesci ad accedere da un’altra rete.

La seconda riguarda XML-RPC, un’interfaccia storica di WordPress usata da alcune app e servizi esterni, ma anche bersaglio frequente di attacchi automatici. Molti hosting la limitano in modo severo; se non la usi, disattivarla del tutto è la scelta più sicura.

La terza riguarda i plugin che dipendono da servizi esterni, come quelli per la traduzione automatica, l’ottimizzazione delle immagini, la sincronizzazione con gestionali o i feed dei social. Quando superano i limiti del piano che usi presso quel servizio, smettono di funzionare e registrano errori 429. In questi casi la soluzione è nelle impostazioni del plugin, riducendo la frequenza delle operazioni, oppure in un piano superiore del servizio esterno.

Per tutti gli altri problemi tipici della piattaforma, consulta la guida agli errori di WordPress.

Errore 429 e SEO: attenzione a Googlebot

Il 429 merita un’attenzione particolare per la SEO. Google interpreta le risposte 429, così come gli errori 5xx, come un segnale che il server è sovraccarico: di conseguenza rallenta la scansione del sito. Se le risposte 429 a Googlebot sono occasionali, l’effetto è temporaneo; se sono frequenti, nuovi contenuti e aggiornamenti verranno scoperti più lentamente, e le pagine che restituiscono 429 a lungo possono essere rimosse dall’indice.

Per questo i limiti non dovrebbero mai colpire i crawler dei motori di ricerca verificati. I CDN più diffusi riconoscono i bot legittimi e li gestiscono separatamente; se configuri regole a mano, verifica che non includano Googlebot. Il rapporto sulle statistiche di scansione di Search Console mostra se Google riceve risposte 429 o rallenta la scansione del tuo sito.

429 e 503: quale usare

Entrambi indicano al client di riprovare più tardi, ma con un significato diverso. Il 429 dice “stai facendo troppe richieste tu”: riguarda un singolo client. Il 503 dice “il servizio non è disponibile per nessuno in questo momento”: riguarda il server nel suo complesso, per esempio durante una manutenzione. Usare il codice giusto aiuta sia gli utenti sia i motori di ricerca a capire che cosa sta succedendo.

Domande frequenti

Quanto dura il blocco per errore 429?

Dipende da come è configurato il limite. Può essere di pochi secondi, di qualche minuto o, per i blocchi di sicurezza più severi, di diverse ore. Se il server invia l’intestazione Retry-After, è lì che trovi il tempo di attesa.

Perché ricevo un 429 se ho fatto poche richieste?

Probabilmente condividi l’indirizzo IP con altre persone, come succede in ufficio, con le VPN o con alcune reti mobili. Per il server le richieste di tutti sembrano arrivare da un unico utente.

Il 429 è un attacco al mio sito?

No, è la risposta del sito a un possibile abuso. Se però vedi molti 429 nei log, vale la pena capire chi sta facendo tutte quelle richieste: potrebbe essere un bot da bloccare o un limite troppo severo da allentare.