Edgium / Analytics e Logs do WAF
Analytics e Logs do WAF: como ler e o que fazer
O Analytics e os Logs do WAF mostram como o seu site está sendo entregue, se uma falha vem do seu servidor ou da CDN, o que o cache economiza e o que a proteção barrou. Esta página explica cada bloco e o que fazer com o que você vê.
Todas as imagens foram feitas em um ambiente de demonstração, com dados fictícios: domínios de exemplo, endereços de documentação e tráfego simulado. Os números servem para ilustrar a leitura e não representam nenhum cliente.
Neste guia
- Analytics: as quatro perguntas
- Período, filtros e atalhos
- Resumo: os cinco números
- Saúde da origem: é o seu servidor ou a CDN?
- Guia dos erros: o que significa e o que fazer
- Velocidade da origem e onde o tempo é gasto
- Cada origem (upstream)
- Caminhos com mais erros e mais lentos
- O que mais vai ao seu servidor
- Quem acessa: países, endereços e HTTPS
- Bloqueios de segurança
- Logs do WAF: como achar, ler e decidir
Outros guias do painel:
- Guia do painel: entrada, navegação e novo subdomínio
- Analytics e Logs do WAF: como ler e o que fazer (esta página)
- DNS: revisão, desfazer e histórico
Analytics: as quatro perguntas
O Analytics responde, na ordem em que aparecem na tela:
- Quanto o meu site foi acessado e como foi entregue? (Resumo)
- Se algo está lento ou com erro, o problema é o meu servidor ou a CDN? (Saúde da origem)
- O cache está ajudando? (Tráfego e cache)
- Quem está acessando? (Países, endereços, HTTP e HTTPS)
Dois conceitos ajudam na leitura. A origem (ou upstream) é o seu servidor, de onde a CDN busca o que ainda não está guardado em cache. O cache é a cópia que a CDN guarda para entregar mais rápido: quanto mais acessos saem do cache, menos trabalho o seu servidor tem.
Período, filtros e atalhos
No alto da tela você escolhe o período (6 horas, 24 horas, 7 dias ou 30 dias) e refina com + Filtro. Os filtros viram etiquetas removíveis, e o endereço da página guarda o que você escolheu: dá para copiar o link e mandar para um colega.
Filtros disponíveis: status (por exemplo 502, 5xx, 404 ou 4xx), caminho (parte do endereço da página), país e IP, entre outros. Clicar em um país, IP, caminho ou servidor dentro dos gráficos também aplica o filtro.
Os atalhos deixam a tela pronta para as perguntas mais comuns:
| Atalho | Para que serve |
|---|---|
| Só erros 5xx | Mostra só as requisições em que houve falha do lado do servidor. |
| Só lentas (1 s ou mais) | Mostra só o que demorou um segundo ou mais. Ótimo para achar a página que pesa. |
| Bloqueadas pelo WAF | Mostra só o que a proteção barrou. |
| IP com mais requisições | Mostra quem mais acessa, para separar visitante comum de robô. |
Só lentas: o atalho filtra as requisições de 1 segundo ou mais. O Resumo inteiro passa a falar só dessas requisições, então "Tempo de resposta" mostra o quanto elas demoram, não a média geral.
Bloqueadas pelo WAF: o mesmo vale aqui. Todos os números passam a descrever apenas o que foi bloqueado, o que ajuda a ver o volume e o tamanho desse tráfego.
Resumo: os cinco números
| Cartão | O que significa | Como interpretar |
|---|---|---|
| Requisições | Quantas vezes o seu site foi acessado. | Queda brusca costuma indicar problema de acesso ou de DNS. Alta repentina pode ser campanha ou robô. |
| Dados entregues | Volume enviado aos visitantes. | É o que pesa na sua franquia de tráfego. |
| Taxa de cache | Percentual dos dados que saiu do cache. | Quanto maior, menos carga no seu servidor e mais rápido para o visitante. |
| Erros 5xx | Percentual de requisições com falha do lado do servidor. | O ideal é perto de zero. |
| Tempo de resposta | Média das requisições que a CDN precisou buscar na sua origem. | Quem sai do cache é rápido e não entra nessa média. |
Cada cartão compara com o período anterior e traz uma linha "o que olhar".
Saúde da origem: é o seu servidor ou a CDN?
É a parte mais útil quando algo parece errado. No topo da seção há uma frase de diagnóstico dos últimos 60 minutos, por exemplo:
"Nos últimos 60 min, 1,8% das requisições (11 de 616) retornaram erro 5xx, acima do limite de 1%. Isso costuma indicar problema na sua origem; verifique o servidor."
Como lemos esses números: a janela é de 60 minutos; só avaliamos quando há pelo menos 100 requisições, para a conta não enganar com poucos acessos; alertamos quando os erros 5xx passam de 1%; e apontamos uma origem específica quando ela concentra 80% ou mais dos erros. Os critérios aparecem na própria tela.
Abaixo da frase há botões úteis: Abrir a aba Upstreams, Falar com o suporte e Ver erros de origem nos Logs do WAF.
Erros ao longo do tempo: 502, 503, 504 e 499
O gráfico mostra uma linha por tipo de erro. Leia assim: se uma linha sobe e fica alta, o problema costuma estar no servidor de origem, não na CDN. Picos que se repetem no mesmo horário apontam para uma tarefa agendada, um backup ou um pico de acesso que o servidor não aguenta. Clique em "O que significam 502, 504, 503 e 499 e o que fazer" para abrir a explicação dentro da própria tela.
Guia dos erros: o que significa e o que fazer
Erros 5xx: falha do lado do servidor
Sempre merecem atenção.
| Código | O que aconteceu | O que fazer |
|---|---|---|
| 502 | A CDN tentou falar com o seu servidor e ele recusou, fechou a conexão ou devolveu uma resposta inválida. | Confira se o servidor e o serviço do site estão no ar, se a porta está liberada no firewall do servidor para a Edgium e se a aplicação não reinicia sob carga. |
| 503 | O servidor está indisponível ou sobrecarregado, ou a CDN não encontrou nenhuma origem ativa para atender. | Abra a aba Upstreams e veja se há origem ativa. Verifique também manutenção em andamento ou limite de conexões atingido. |
| 504 | O servidor demorou demais para responder. | Procure consultas lentas, rotinas pesadas ou falta de recursos (memória, processador). Use "Caminhos mais lentos" para achar a página responsável. |
499: o visitante desistiu
Não é erro do servidor nem da CDN: a pessoa fechou a página, trocou de tela ou perdeu a conexão antes de receber a resposta. Alguns são normais. Muitos 499 indicam lentidão: o visitante cansou de esperar. Olhe o tempo de resposta e os caminhos mais lentos.
Erros 4xx: o pedido tem algum problema
Em geral não indicam servidor fora do ar, e sim o que foi pedido. Para investigar, use o filtro Status com 4xx (ou um código específico) e veja os caminhos e a lista de requisições recentes.
| Código | Significado comum | O que fazer |
|---|---|---|
| 400 | Pedido malformado. | Se for muito frequente e vier de um único IP, pode ser robô. Se vier de visitantes, verifique formulários e integrações. |
| 401 e 403 | Acesso não autorizado ou proibido. | Confira se a página exige login e se algum bloqueio no seu site ou no WAF está barrando quem não deveria (veja os Logs do WAF). |
| 404 | Página não encontrada. | Muitos 404 em páginas que deveriam existir indicam links quebrados ou mudança de endereço sem redirecionamento. Muitos 404 em caminhos estranhos costumam ser robôs procurando falhas, o que em geral é inofensivo. |
| 429 | Muitas requisições em pouco tempo. | Costuma ser o limite de taxa do seu próprio site ou de uma integração que insiste demais. |
Dica: compare 4xx e 5xx. Se os 5xx sobem junto com a lentidão, o foco é o servidor. Se só os 4xx sobem, o foco é o que está sendo pedido: links, robôs, integrações.
Velocidade da origem e onde o tempo é gasto
- Velocidade da origem mostra três medidas: p50 (o tempo típico: metade das requisições é mais rápida que isso), p95 (95% das requisições são mais rápidas que isso) e p99 (os casos mais lentos). Se o p95 e o p99 sobem enquanto o p50 fica estável, poucos acessos estão lentos, em geral uma página ou consulta específica.
- Onde o tempo é gasto divide a espera em conexão com a origem, processamento e envio da resposta. Conexão alta aponta para rede ou servidor saturado. Processamento alto aponta para a aplicação. Envio alto aparece em respostas grandes ou banda limitada.
Cada origem (upstream)
A tabela compara as suas origens lado a lado: requisições, erros 5xx, 502, 503, 504, 499, taxa de erro, retentativas e tempos p50, p95 e p99. Leia assim: uma origem com taxa de erro alta enquanto as outras estão limpas é a que precisa de atenção. Retentativas indicam que a CDN precisou tentar outra origem para completar o pedido.
Logo abaixo, Conexões derrubadas pela origem resume as falhas ao conversar com o seu servidor: conexão recusada, fechada no meio, reiniciada, tempo esgotado ou nenhuma origem ativa. Costumam indicar servidor reiniciando, sem processos livres ou bloqueio de firewall.
Caminhos com mais erros e caminhos mais lentos
- Caminhos com mais erros 5xx: comece por aqui. Costuma ser uma página, uma rota de API ou uma consulta específica. Clique para filtrar.
- Caminhos mais lentos: ordenados pelo tempo p95. São bons candidatos para otimizar no servidor ou para colocar em cache.
Os caminhos são agrupados para facilitar a leitura: por exemplo, /produtos/:n representa todas as páginas de produto.
O que mais vai ao seu servidor
A lista mostra as páginas e arquivos que não saíram do cache e foram buscados no seu servidor. É uma das formas mais rápidas de ganhar desempenho: se aparecem imagens, scripts ou páginas que poderiam ser guardados, ajuste os cabeçalhos de cache do seu site (ou o tempo de cache na aba Cache) para que a CDN passe a guardá-los.
Quem acessa: países, endereços e HTTPS
- De onde vêm os acessos: países em ordem de requisições, com o mapa ao lado. Muito acesso de um país onde você não atende pode ser robô. Clique em um país para filtrar.
- IPs que mais acessam: um IP com volume muito acima dos demais pode ser robô, integração ou ataque. A lista mostra também o número aproximado de visitantes únicos.
- HTTP e HTTPS: o ideal é todo o acesso por HTTPS. O HTTP aparece quando o visitante digita o endereço sem
httpsantes do redirecionamento.
Bloqueios de segurança dentro do Analytics
O bloco Bloqueios de segurança conta quantos acessos o WAF barrou, quantos eventos apenas foram registrados em modo de aprendizado (sem bloquear) e quantas conexões foram encerradas sem resposta (444). Se há um pico fora do padrão, pode ser ataque. Para entender o que foi barrado, abra os Logs do WAF pelo botão ao lado.
Logs do WAF: como achar, ler e decidir
O WAF é a proteção que analisa cada pedido ao seu site e barra o que parece ataque, como tentativas de injetar comandos em formulários. Os Logs do WAF mostram o que foi barrado e por quê. Para chegar lá, use o botão de logs do WAF na tela inicial da CDN ou, dentro do Analytics, o botão Abrir Logs do WAF.
Como achar um bloqueio
Há duas abas: Bloqueios do WAF (o que a proteção barrou) e Erros de origem (5xx) (falhas do seu servidor, separadas para não se misturarem aos bloqueios). Os filtros levam ao que importa:
- Período: de algumas horas a alguns dias.
- Subdomínio: um específico ou todos.
- Regra: o número da regra.
- URL contém e IP: para quando você já sabe qual página ou qual visitante procura.
- Só com motivo registrado: mostra apenas os registros com detalhe.
No alto há um resumo com os bloqueios no período, quantos têm motivo registrado e quantos não têm. Em seguida vêm os rankings Por regra, Por URL e Por subdomínio: se uma regra ou página domina o ranking, é por ela que se começa. Dá para exportar a lista em CSV.
Como ler o motivo e a regra
Cada linha traz hora, subdomínio, endereço pedido, motivo (a categoria da regra) e o IP completo do visitante. Clique em uma linha para ver o detalhe:
- Número e nome da regra (por exemplo, "1001 double quote"): identifica o que foi detectado.
- O que detecta: explicação em português do padrão que disparou a regra.
- Exemplo: um trecho típico do que a regra procura.
- Mais abaixo, o painel orienta o que verificar no seu site.
O botão O que significa cada regra abre o catálogo completo das regras, em português. As categorias mais comuns:
| Categoria | O que a regra procura |
|---|---|
| SQL | Trechos típicos de tentativa de mexer no banco de dados do seu site por formulários e endereços. |
| XSS | Tentativas de injetar scripts nas suas páginas. |
| TRAVERSAL | Tentativas de sair da pasta do site para ler outros arquivos, por exemplo com sequências ../. |
| WAF (geral) | Pedidos malformados ou fora do padrão, como formato de dados desconhecido e caracteres inválidos. |
Como decidir: ataque ou uso legítimo?
Faça três perguntas diante de um bloqueio:
- A URL é do meu site? Caminhos que você não reconhece, como
/xmlrpc.phpem um site que não usa essa tecnologia ou/.git/config, são varreduras de robôs. O bloqueio está correto e não há nada a fazer. - O pedido vem de uma funcionalidade real do meu site? Se o endereço é seu e o bloqueio atinge um formulário, um editor de texto ou uma integração que você usa, anote a URL, a regra e o IP e fale com a gente. A equipe ajusta a regra com segurança.
- Quantos IPs e com que frequência? Muitas tentativas de um mesmo IP em sequência são varredura. Um único bloqueio isolado em um endereço seu, de um visitante real, merece análise.
Modo aprendizado: na aba WAF do subdomínio, o modo aprendizado registra o que seria bloqueado sem bloquear nada. É uma forma segura de testar antes de proteger. Os eventos desse modo aparecem no Analytics separados dos bloqueios.
Perguntas frequentes
O que significa o erro 502 no Analytics?
A CDN tentou falar com o seu servidor e ele recusou, fechou a conexão ou devolveu uma resposta inválida. Confira se o servidor e o serviço do site estão no ar, se a porta está liberada no firewall para a Edgium e se a aplicação não reinicia sob carga.
O que significa o erro 504?
O seu servidor demorou demais para responder. Procure consultas lentas, rotinas pesadas ou falta de recursos e use a lista de caminhos mais lentos para achar a página responsável.
O que significa o erro 503?
O servidor está indisponível ou sobrecarregado, ou a CDN não encontrou nenhuma origem ativa. Abra a aba Upstreams e veja se há origem ativa.
O que é o 499?
O visitante desistiu: fechou a página, trocou de tela ou perdeu a conexão antes de receber a resposta. Muitos 499 indicam lentidão.
Como sei se o problema é do meu servidor ou da CDN?
A seção Saúde da origem do Analytics avalia os últimos 60 minutos e avisa quando os erros 5xx passam de 1%, apontando a origem que concentra a maior parte deles.
Como saber se um bloqueio do WAF foi ataque?
Veja se a URL é do seu site, se o pedido vem de uma funcionalidade real e quantos IPs e com que frequência. Caminhos que você não reconhece e muitas tentativas de um mesmo IP são varredura de robôs.
Ainda não tem conta no painel?
As contas são criadas pela equipe da Edgium. Conte o seu domínio e a gente prepara o acesso e um teste com o seu site.