# Analytics e Logs do WAF da CDN: como ler e o que fazer | Edgium

> Guia do Analytics e dos Logs do WAF da Edgium: saúde da origem, erros 502, 503, 504, 499 e 4xx explicados, filtros, mapa de acessos e como decidir entre ataque e uso legítimo.

Fonte: https://edgium.net/painel-analytics

Read this page in English: https://edgium.net/en/dashboard-analytics

---

[Edgium](https://edgium.net/) / Analytics e Logs do WAF

# Analytics e Logs do WAF: como ler e o que fazer

O Analytics e os Logs do WAF mostram como o seu site está sendo entregue, se uma falha vem do seu servidor ou da CDN, o que o cache economiza e o que a proteção barrou. Esta página explica cada bloco e o que fazer com o que você vê.

Todas as imagens foram feitas em um ambiente de demonstração, com dados fictícios: domínios de exemplo, endereços de documentação e tráfego simulado. Os números servem para ilustrar a leitura e não representam nenhum cliente.

## Neste guia

- Analytics: as quatro perguntas
- Período, filtros e atalhos
- Resumo: os cinco números
- Saúde da origem: é o seu servidor ou a CDN?
- Guia dos erros: o que significa e o que fazer
- Velocidade da origem e onde o tempo é gasto
- Cada origem (upstream)
- Caminhos com mais erros e mais lentos
- O que mais vai ao seu servidor
- Quem acessa: países, endereços e HTTPS
- Bloqueios de segurança
- Logs do WAF: como achar, ler e decidir

Outros guias do painel:

- [Guia do painel: entrada, navegação e novo subdomínio](https://edgium.net/painel)
- **Analytics e Logs do WAF: como ler e o que fazer** (esta página)
- [DNS: revisão, desfazer e histórico](https://edgium.net/painel-dns)

## Analytics: as quatro perguntas

O Analytics responde, na ordem em que aparecem na tela:

1. **Quanto o meu site foi acessado e como foi entregue?** (Resumo)
2. **Se algo está lento ou com erro, o problema é o meu servidor ou a CDN?** (Saúde da origem)
3. **O cache está ajudando?** (Tráfego e cache)
4. **Quem está acessando?** (Países, endereços, HTTP e HTTPS)

Dois conceitos ajudam na leitura. A **origem** (ou upstream) é o *seu* servidor, de onde a CDN busca o que ainda não está guardado em cache. O **cache** é a cópia que a CDN guarda para entregar mais rápido: quanto mais acessos saem do cache, menos trabalho o seu servidor tem.

## Período, filtros e atalhos

No alto da tela você escolhe o período (**6 horas, 24 horas, 7 dias ou 30 dias**) e refina com **+ Filtro**. Os filtros viram etiquetas removíveis, e o endereço da página guarda o que você escolheu: dá para copiar o link e mandar para um colega.

Filtros disponíveis: **status** (por exemplo `502`, `5xx`, `404` ou `4xx`), **caminho** (parte do endereço da página), **país** e **IP**, entre outros. Clicar em um país, IP, caminho ou servidor dentro dos gráficos também aplica o filtro.

Os **atalhos** deixam a tela pronta para as perguntas mais comuns:

| Atalho | Para que serve |
| --- | --- |
| Só erros 5xx | Mostra só as requisições em que houve falha do lado do servidor. |
| Só lentas (1 s ou mais) | Mostra só o que demorou um segundo ou mais. Ótimo para achar a página que pesa. |
| Bloqueadas pelo WAF | Mostra só o que a proteção barrou. |
| IP com mais requisições | Mostra quem mais acessa, para separar visitante comum de robô. |

![Tela do Analytics com período, atalhos, os cinco cartões do Resumo, a seção Saúde da origem e o gráfico de erros ao longo do tempo](https://edgium.net/assets/img/painel/03-analytics-resumo-e-saude.webp)

Resumo, atalhos e saúde da origem.

**Só lentas:** o atalho filtra as requisições de 1 segundo ou mais. O Resumo inteiro passa a falar só dessas requisições, então "Tempo de resposta" mostra o quanto elas demoram, não a média geral.

![Analytics com o atalho Só lentas aplicado](https://edgium.net/assets/img/painel/06-analytics-so-lentas.webp)

Atalho Só lentas aplicado.

**Bloqueadas pelo WAF:** o mesmo vale aqui. Todos os números passam a descrever apenas o que foi bloqueado, o que ajuda a ver o volume e o tamanho desse tráfego.

![Analytics com o atalho Bloqueadas pelo WAF aplicado](https://edgium.net/assets/img/painel/07-analytics-bloqueadas-pelo-waf.webp)

Atalho Bloqueadas pelo WAF aplicado.

## Resumo: os cinco números

| Cartão | O que significa | Como interpretar |
| --- | --- | --- |
| Requisições | Quantas vezes o seu site foi acessado. | Queda brusca costuma indicar problema de acesso ou de DNS. Alta repentina pode ser campanha ou robô. |
| Dados entregues | Volume enviado aos visitantes. | É o que pesa na sua franquia de tráfego. |
| Taxa de cache | Percentual dos dados que saiu do cache. | Quanto maior, menos carga no seu servidor e mais rápido para o visitante. |
| Erros 5xx | Percentual de requisições com falha do lado do servidor. | O ideal é perto de zero. |
| Tempo de resposta | Média das requisições que a CDN precisou buscar na sua origem. | Quem sai do cache é rápido e não entra nessa média. |

Cada cartão compara com o **período anterior** e traz uma linha "o que olhar".

## Saúde da origem: é o seu servidor ou a CDN?

É a parte mais útil quando algo parece errado. No topo da seção há uma **frase de diagnóstico** dos últimos 60 minutos, por exemplo:

"Nos últimos 60 min, 1,8% das requisições (11 de 616) retornaram erro 5xx, acima do limite de 1%. Isso costuma indicar problema na sua origem; verifique o servidor."

Como lemos esses números: a janela é de 60 minutos; só avaliamos quando há **pelo menos 100 requisições**, para a conta não enganar com poucos acessos; alertamos quando os erros 5xx passam de **1%**; e apontamos uma origem específica quando ela concentra **80% ou mais** dos erros. Os critérios aparecem na própria tela.

Abaixo da frase há botões úteis: **Abrir a aba Upstreams**, **Falar com o suporte** e **Ver erros de origem nos Logs do WAF**.

### Erros ao longo do tempo: 502, 503, 504 e 499

O gráfico mostra uma linha por tipo de erro. **Leia assim:** se uma linha sobe e fica alta, o problema costuma estar no servidor de origem, não na CDN. Picos que se repetem no mesmo horário apontam para uma tarefa agendada, um backup ou um pico de acesso que o servidor não aguenta. Clique em **"O que significam 502, 504, 503 e 499 e o que fazer"** para abrir a explicação dentro da própria tela.

![Gráfico de erros da origem com a explicação aberta de cada código: 502, 503, 504 e 499](https://edgium.net/assets/img/painel/04-analytics-erros-e-o-que-fazer.webp)

Gráfico de erros da origem com a explicação de cada código.

## Guia dos erros: o que significa e o que fazer

### Erros 5xx: falha do lado do servidor

Sempre merecem atenção.

| Código | O que aconteceu | O que fazer |
| --- | --- | --- |
| 502 | A CDN tentou falar com o seu servidor e ele recusou, fechou a conexão ou devolveu uma resposta inválida. | Confira se o servidor e o serviço do site estão no ar, se a porta está liberada no firewall do servidor para a Edgium e se a aplicação não reinicia sob carga. |
| 503 | O servidor está indisponível ou sobrecarregado, ou a CDN não encontrou nenhuma origem ativa para atender. | Abra a aba Upstreams e veja se há origem ativa. Verifique também manutenção em andamento ou limite de conexões atingido. |
| 504 | O servidor demorou demais para responder. | Procure consultas lentas, rotinas pesadas ou falta de recursos (memória, processador). Use "Caminhos mais lentos" para achar a página responsável. |

### 499: o visitante desistiu

Não é erro do servidor nem da CDN: a pessoa fechou a página, trocou de tela ou perdeu a conexão antes de receber a resposta. Alguns são normais. **Muitos 499** indicam lentidão: o visitante cansou de esperar. Olhe o tempo de resposta e os caminhos mais lentos.

### Erros 4xx: o pedido tem algum problema

Em geral não indicam servidor fora do ar, e sim o que foi pedido. Para investigar, use o filtro **Status** com `4xx` (ou um código específico) e veja os caminhos e a lista de requisições recentes.

| Código | Significado comum | O que fazer |
| --- | --- | --- |
| 400 | Pedido malformado. | Se for muito frequente e vier de um único IP, pode ser robô. Se vier de visitantes, verifique formulários e integrações. |
| 401 e 403 | Acesso não autorizado ou proibido. | Confira se a página exige login e se algum bloqueio no seu site ou no WAF está barrando quem não deveria (veja os Logs do WAF). |
| 404 | Página não encontrada. | Muitos 404 em páginas que deveriam existir indicam links quebrados ou mudança de endereço sem redirecionamento. Muitos 404 em caminhos estranhos costumam ser robôs procurando falhas, o que em geral é inofensivo. |
| 429 | Muitas requisições em pouco tempo. | Costuma ser o limite de taxa do seu próprio site ou de uma integração que insiste demais. |

**Dica:** compare 4xx e 5xx. Se os 5xx sobem junto com a lentidão, o foco é o servidor. Se só os 4xx sobem, o foco é o que está sendo pedido: links, robôs, integrações.

## Velocidade da origem e onde o tempo é gasto

- **Velocidade da origem** mostra três medidas: **p50** (o tempo típico: metade das requisições é mais rápida que isso), **p95** (95% das requisições são mais rápidas que isso) e **p99** (os casos mais lentos). Se o p95 e o p99 sobem enquanto o p50 fica estável, poucos acessos estão lentos, em geral uma página ou consulta específica.
- **Onde o tempo é gasto** divide a espera em **conexão com a origem**, **processamento** e **envio da resposta**. Conexão alta aponta para rede ou servidor saturado. Processamento alto aponta para a aplicação. Envio alto aparece em respostas grandes ou banda limitada.

## Cada origem (upstream)

A tabela compara as suas origens lado a lado: requisições, erros 5xx, 502, 503, 504, 499, **taxa de erro**, **retentativas** e tempos p50, p95 e p99. **Leia assim:** uma origem com taxa de erro alta enquanto as outras estão limpas é a que precisa de atenção. **Retentativas** indicam que a CDN precisou tentar outra origem para completar o pedido.

![Tabela de saúde por origem com requisições, erros, taxa de erro, retentativas e tempos p50, p95 e p99](https://edgium.net/assets/img/painel/05-analytics-por-upstream.webp)

Saúde por origem (upstream).

Logo abaixo, **Conexões derrubadas pela origem** resume as falhas ao conversar com o seu servidor: conexão recusada, fechada no meio, reiniciada, tempo esgotado ou nenhuma origem ativa. Costumam indicar servidor reiniciando, sem processos livres ou bloqueio de firewall.

## Caminhos com mais erros e caminhos mais lentos

- **Caminhos com mais erros 5xx:** comece por aqui. Costuma ser uma página, uma rota de API ou uma consulta específica. Clique para filtrar.
- **Caminhos mais lentos:** ordenados pelo tempo p95. São bons candidatos para otimizar no servidor ou para colocar em cache.

Os caminhos são agrupados para facilitar a leitura: por exemplo, `/produtos/:n` representa todas as páginas de produto.

## O que mais vai ao seu servidor

A lista mostra as páginas e arquivos que **não saíram do cache** e foram buscados no seu servidor. É uma das formas mais rápidas de ganhar desempenho: se aparecem imagens, scripts ou páginas que poderiam ser guardados, ajuste os cabeçalhos de cache do seu site (ou o tempo de cache na aba Cache) para que a CDN passe a guardá-los.

![Lista das páginas e arquivos que mais são buscados na origem por não estarem em cache](https://edgium.net/assets/img/painel/08-analytics-o-que-mais-vai-a-origem.webp)

Páginas e arquivos que mais vão à origem.

## Quem acessa: países, endereços e HTTPS

- **De onde vêm os acessos:** países em ordem de requisições, com o mapa ao lado. Muito acesso de um país onde você não atende pode ser robô. Clique em um país para filtrar.
- **IPs que mais acessam:** um IP com volume muito acima dos demais pode ser robô, integração ou ataque. A lista mostra também o número aproximado de visitantes únicos.
- **HTTP e HTTPS:** o ideal é todo o acesso por HTTPS. O HTTP aparece quando o visitante digita o endereço sem `https` antes do redirecionamento.

![Mapa de acessos por país, lista dos IPs que mais acessam e divisão entre HTTP e HTTPS](https://edgium.net/assets/img/painel/09-analytics-mapa-e-ips.webp)

Mapa de acessos, IPs que mais acessam e HTTP/HTTPS.

## Bloqueios de segurança dentro do Analytics

O bloco **Bloqueios de segurança** conta quantos acessos o WAF barrou, quantos eventos apenas foram registrados em modo de aprendizado (sem bloquear) e quantas conexões foram **encerradas sem resposta (444)**. Se há um pico fora do padrão, pode ser ataque. Para entender o que foi barrado, abra os Logs do WAF pelo botão ao lado.

## Logs do WAF: como achar, ler e decidir

O **WAF** é a proteção que analisa cada pedido ao seu site e barra o que parece ataque, como tentativas de injetar comandos em formulários. Os **Logs do WAF** mostram o que foi barrado e por quê. Para chegar lá, use o botão de logs do WAF na tela inicial da CDN ou, dentro do Analytics, o botão **Abrir Logs do WAF**.

![Logs do WAF com contadores de bloqueios, filtros e rankings por regra, por URL e por subdomínio](https://edgium.net/assets/img/painel/10-waf-logs-resumo.webp)

Logs do WAF: contadores, regras, endereços e subdomínios.

### Como achar um bloqueio

Há duas abas: **Bloqueios do WAF** (o que a proteção barrou) e **Erros de origem (5xx)** (falhas do seu servidor, separadas para não se misturarem aos bloqueios). Os filtros levam ao que importa:

- **Período:** de algumas horas a alguns dias.
- **Subdomínio:** um específico ou todos.
- **Regra:** o número da regra.
- **URL contém** e **IP:** para quando você já sabe qual página ou qual visitante procura.
- **Só com motivo registrado:** mostra apenas os registros com detalhe.

No alto há um resumo com os **bloqueios no período**, quantos têm **motivo registrado** e quantos não têm. Em seguida vêm os rankings **Por regra**, **Por URL** e **Por subdomínio**: se uma regra ou página domina o ranking, é por ela que se começa. Dá para exportar a lista em **CSV**.

### Como ler o motivo e a regra

Cada linha traz hora, subdomínio, endereço pedido, **motivo** (a categoria da regra) e o IP completo do visitante. Clique em uma linha para ver o detalhe:

![Detalhe de um bloqueio do WAF com o número e o nome da regra, o que ela detecta e um exemplo](https://edgium.net/assets/img/painel/11-waf-detalhe-da-regra.webp)

Detalhe de um bloqueio: o que a regra detecta e um exemplo.

- **Número e nome da regra** (por exemplo, "1001 double quote"): identifica o que foi detectado.
- **O que detecta:** explicação em português do padrão que disparou a regra.
- **Exemplo:** um trecho típico do que a regra procura.
- Mais abaixo, o painel orienta o que verificar no seu site.

O botão **O que significa cada regra** abre o catálogo completo das regras, em português. As categorias mais comuns:

| Categoria | O que a regra procura |
| --- | --- |
| SQL | Trechos típicos de tentativa de mexer no banco de dados do seu site por formulários e endereços. |
| XSS | Tentativas de injetar scripts nas suas páginas. |
| TRAVERSAL | Tentativas de sair da pasta do site para ler outros arquivos, por exemplo com sequências `../`. |
| WAF (geral) | Pedidos malformados ou fora do padrão, como formato de dados desconhecido e caracteres inválidos. |

### Como decidir: ataque ou uso legítimo?

Faça três perguntas diante de um bloqueio:

1. **A URL é do meu site?** Caminhos que você não reconhece, como `/xmlrpc.php` em um site que não usa essa tecnologia ou `/.git/config`, são varreduras de robôs. O bloqueio está correto e não há nada a fazer.
2. **O pedido vem de uma funcionalidade real do meu site?** Se o endereço é seu e o bloqueio atinge um formulário, um editor de texto ou uma integração que você usa, anote a **URL**, a **regra** e o **IP** e fale com a gente. A equipe ajusta a regra com segurança.
3. **Quantos IPs e com que frequência?** Muitas tentativas de um mesmo IP em sequência são varredura. Um único bloqueio isolado em um endereço seu, de um visitante real, merece análise.

**Modo aprendizado:** na aba WAF do subdomínio, o modo aprendizado registra o que *seria* bloqueado sem bloquear nada. É uma forma segura de testar antes de proteger. Os eventos desse modo aparecem no Analytics separados dos bloqueios.

## Perguntas frequentes

### O que significa o erro 502 no Analytics?

A CDN tentou falar com o seu servidor e ele recusou, fechou a conexão ou devolveu uma resposta inválida. Confira se o servidor e o serviço do site estão no ar, se a porta está liberada no firewall para a Edgium e se a aplicação não reinicia sob carga.

### O que significa o erro 504?

O seu servidor demorou demais para responder. Procure consultas lentas, rotinas pesadas ou falta de recursos e use a lista de caminhos mais lentos para achar a página responsável.

### O que significa o erro 503?

O servidor está indisponível ou sobrecarregado, ou a CDN não encontrou nenhuma origem ativa. Abra a aba Upstreams e veja se há origem ativa.

### O que é o 499?

O visitante desistiu: fechou a página, trocou de tela ou perdeu a conexão antes de receber a resposta. Muitos 499 indicam lentidão.

### Como sei se o problema é do meu servidor ou da CDN?

A seção Saúde da origem do Analytics avalia os últimos 60 minutos e avisa quando os erros 5xx passam de 1%, apontando a origem que concentra a maior parte deles.

### Como saber se um bloqueio do WAF foi ataque?

Veja se a URL é do seu site, se o pedido vem de uma funcionalidade real e quantos IPs e com que frequência. Caminhos que você não reconhece e muitas tentativas de um mesmo IP são varredura de robôs.

## Ainda não tem conta no painel?

As contas são criadas pela equipe da Edgium. Conte o seu domínio e a gente prepara o acesso e um teste com o seu site.

[Falar com a Edgium](https://edgium.net/contato#formulario)