Aumentare SecRequestBodyLimit e Regolare i Buffer ModSecurity nei Page Builder

I page builder come Elementor, Divi e Bricks generano payload HTTP corposi. Questi editor inviano enormi stringhe JSON durante il salvataggio dei layout complessi.

Spesso i web server bloccano queste richieste tramite il Web Application Firewall. In questa guida vedremo perché è vitale aumentare SecRequestBodyLimit nei page builder moderni.

Se riscontri blocchi improvvisi durante il salvataggio, consulta il nostro articolo su come risolvere l’errore 403 forbidden nel salvataggio con Elementor.

1. Come Funziona l’Ispezione del Body in ModSecurity

ModSecurity è un firewall a livello applicativo molto potente. Esamina il traffico HTTP in ingresso prima che raggiunga il core di WordPress.

Il firewall analizza tutti i dati inviati tramite richieste POST. Questa analisi include parametri, intestazioni e file caricati.

Il problema dei grandi payload JSON

I moderni costruttori visivi memorizzano stili e codice complessi. Ogni volta che salvi una pagina, l’editor spedisce decine di blocchi nidificati.

Questi pacchetti di dati superano facilmente i limiti predefiniti del firewall. Di conseguenza, il server rigetta la chiamata HTTP con un codice di errore 403.

La differenza tra memoria RAM e disco temporaneo

ModSecurity elabora i dati ricevuti sfruttando due livelli fisici. Utilizza la memoria volatile per i dati piccoli e il disco fisso per i file pesanti.

Se il buffer in RAM si satura, il server scrive su disco. Questo passaggio continuo da memoria a disco genera un grave collo di bottiglia prestazionale.

Pertanto, decidere di aumentare SecRequestBodyLimit nei page builder previene blocchi improvvisi dei contenuti.

2. I Parametri Chiave di ModSecurity per i Buffer

Esistono tre direttive fondamentali per gestire il flusso dei dati in ingresso. Ognuna controlla un aspetto specifico del payload HTTP.

Comprendere il loro funzionamento evita configurazioni errate e sprechi di risorse hardware.

SecRequestBodyLimit: il tetto massimo assoluto

Questa direttiva definisce la dimensione massima consentita per l’intero corpo della richiesta POST. Include sia i campi testuali sia gli allegati binari.

Il valore predefinito nei template standard è spesso impostato su 12.5 Megabyte o 13107200 byte. Risulta spesso insufficiente per siti aziendali ricchi di media.

SecRequestBodyNoFilesLimit: il limite per i dati testuali

Questo parametro limita le richieste prive di file binari multipart. Controlla direttamente le chiamate AJAX e REST API dei costruttori di pagine.

Spesso il valore standard è bloccato a circa 128 o 256 Kilobyte. Un layout complesso supera facilmente tale soglia minima.

SecRequestBodyInMemoryLimit: il buffer rapido

Determina quanti dati ModSecurity conserva nella memoria RAM durante la fase di scansione. Se il payload supera questa quota, interviene lo swap su disco.

Mantenere un valore troppo basso aumenta il consumo di I/O del disco. Un valore equilibrato velocizza il salvataggio senza saturare la RAM dell’istanza.

Avviso di sicurezza: Non impostare mai valori illimitati per i buffer. Limiti troppo elevati espongono il server ad attacchi DoS tramite esaurimento della memoria.

3. Procedura Passo-Passo per Modificare i Parametri

La modifica di questi valori richiede l’accesso con privilegi amministrativi al server web. Puoi intervenire tramite interfaccia di controllo o terminale SSH.

Verifica sempre la configurazione prima di riavviare il servizio Apache o Nginx.

Passo 1: Individuare il file di configurazione principale

Sui server con cPanel o WHM, apri la sezione ModSecurity Configuration. Troverai i campi per modificare direttamente i buffer globali.

Su server Linux Ubuntu o Debian con Apache, modifica il file di testo posizionato nel percorso standard:

• Apri il terminale del server con permessi root.
• Digita il comando: sudo nano /etc/modsecurity/modsecurity.conf.
• Cerca le righe relative ai limiti di ricezione del body.

Passo 2: Inserire i nuovi valori ottimali

Aggiorna le direttive con valori adatti all’uso intensivo dei visual editor. Questa configurazione serve proprio per aumentare SecRequestBodyLimit nei page builder senza compromettere la sicurezza.

1. Imposta SecRequestBodyLimit 67108864 per consentire fino a 64 Megabyte totali.
2. Imposta SecRequestBodyNoFilesLimit 5242880 per garantire 5 Megabyte alle chiamate POST prive di allegati.
3. Configura SecRequestBodyInMemoryLimit 2097152 per allocare 2 Megabyte veloci in RAM.

Passo 3: Testare la sintassi e ricaricare il web server

Un errore di battitura può mandare in blocco l’intero server web. Verifica la validità dei file prima di applicare le modifiche.

• Su Apache esegui il controllo tramite: apachectl configtest.
• Su Nginx lancia il comando: nginx -t.
• Se l’esito è positivo, riavvia il servizio web con: systemctl reload apache2.

4. Ridurre l’Overhead del Server ed Evitare il Disco di Swap

L’elaborazione dei buffer non risolve da sola tutti i rallentamenti del server. Le regole di sicurezza devono essere ottimizzate con precisione chirurgica.

Scansionare inutilmente pacchetti enormi consuma cicli di calcolo preziosi sulla CPU.

Disabilitare l’ispezione su endpoint sicuri e fidati

Non tutte le chiamate POST richiedono un’ispezione rigorosa e profonda da parte del firewall. Le sessioni autenticate degli amministratori possono seguire percorsi più leggeri.

Puoi creare regole di esclusione basate sui percorsi di WordPress. Gli endpoint critici sono solitamente wp-admin/admin-ajax.php e /wp-json/.

Esempio di whitelist mirata per l’editor

Aggiungi una regola condizionale nel tuo file di configurazione locale. Questa direttiva disattiva il motore di scansione solo per gli utenti connessi:

• Verifica la presenza del cookie di autenticazione di WordPress.
• Disattiva l’ispezione del body per le chiamate provenienti dall’editor.
• Mantieni attive tutte le protezioni sulle pagine visibili al pubblico.

In questo modo riduci drasticamente il carico della CPU sul processore. Il salvataggio delle pagine tornerà immediato e fluido.

5. Domande Frequenti su ModSecurity e Limiti Buffer

Quali rischi comporta alzare eccessivamente questi valori?

Limiti sproporzionati permettono a utenti malintenzionati di inviare richieste POST gigantesche. Il server potrebbe esaurire la memoria fisica disponibile sotto attacco coordinato. Mantieni sempre valori commisurati al traffico reale del tuo sito.

Posso modificare queste impostazioni tramite il file .htaccess?

Dipende dalla configurazione specifica del provider hosting utilizzato. Molti server condivisi bloccano la modifica delle direttive ModSecurity via .htaccess per motivi di isolamento. In questi scenari è necessario chiedere supporto all’assistenza tecnica dell’hosting.

Come verifico se ModSecurity sta bloccando il mio salvataggio?

Devi ispezionare il file dei log di errore del firewall applicativo. Cerca il file denominato solitamente modsec_audit.log sul tuo server. Ricorda che scegliere di aumentare SecRequestBodyLimit nei page builder è sicuro se mantieni attive le regole OWASP standard.