Integração, API ou robô bloqueados pelo Imunify360

Este artigo é para quem tem um sistema, ERP, webhook, aplicativo ou robô que acessa o site ou o painel e recebe bloqueio, enquanto no navegador tudo funciona. Na ValueHost, isso normalmente é a proteção contra bots do Imunify360.

Como reconhecer

A automação recebe uma destas respostas:

• a mensagem Access denied by Imunify360 bot-protection. IPs used for automation should be whitelisted;
• uma página "One moment, please" ou "Please wait while your request is being verified", que pede verificação do navegador;
• erro HTTP 403 ou 429 em chamadas de API, webhooks ou na API do cPanel e do WHM.

O navegador passa no desafio porque executa JavaScript. Programas e scripts não passam, e por isso são bloqueados.

As duas soluções

A equipe oferece duas saídas:

1. Incluir os IPs da automação na lista branca. Funciona quando a automação sai sempre pelos mesmos IPs fixos. Informe os IPs de saída do servidor, VPS ou serviço que faz as chamadas.
2. Desativar a proteção contra bots (WebShield) só no domínio. Indicada quando a automação não tem IP fixo. As demais proteções do servidor continuam ativas. Informe quais domínios devem ficar sem essa proteção.

IPs que mudam o tempo todo, como proxies rotativos, não são uma boa opção para lista branca: o mesmo IP pode ser usado por outras pessoas. Prefira um IP de saída fixo e exclusivo.

Sites WordPress: plugin Imunify Security

Nos sites WordPress, o Imunify360 instala automaticamente o plugin Imunify Security, que também tem limite de requisições e proteção anti-bot. Ele pode bloquear integrações que chamam o WordPress (REST API, webhooks de pagamento, sincronização de loja).

Se a falha acontece só em um site WordPress, desative o plugin Imunify Security nesse site e teste de novo. Se o bloqueio parar, informe a equipe para avaliar a melhor forma de manter a proteção.

O que enviar no ticket

• o domínio que recebe as chamadas;
• os IPs de saída da automação, se forem fixos;
• a URL ou rota chamada (por exemplo, /wp-json/... ou /api/...);
• a mensagem de erro completa e o horário de uma tentativa;
• se prefere lista branca de IP ou desativar o WebShield no domínio.

Se não resolver

Se depois da liberação a integração continuar falhando, envie no ticket o horário de um teste novo e a resposta completa recebida pela automação. Não envie senhas nem tokens de API.