Bloqueos del WAF: TooManyRequests (429) y acceso por país (403)
El WAF (Web Application Firewall) es la protección delante de los sistemas Demander. Dos bloqueos comunes confunden al soporte: el 429 (demasiadas solicitudes del mismo IP) y el 403 por país (origen geográfico). Este artículo cubre ambos.
Error 429 — WAF: TooManyRequests
Sección titulada «Error 429 — WAF: TooManyRequests»Al abrir la Tienda Virtual B2B o Demander Web, a veces aparece una pantalla (en general negra) con un JSON parecido a esto:
{ "erro": "WAF: TooManyRequests." }El estado HTTP suele ser 429. El acceso vuelve solo después de algunos minutos. En muchos casos, usar otra red o una VPN hace que la pantalla abra con normalidad.
¿Qué significa este error?
Sección titulada «¿Qué significa este error?»El WAF limita cuántas solicitudes puede hacer el mismo IP público en poco tiempo. Cuando se supera el límite, bloquea temporalmente ese IP y devuelve WAF: TooManyRequests. Eso protege el entorno contra abuso automático, sobrecarga y patrones que parecen un ataque.
¿Dónde aparece?
Sección titulada «¿Dónde aparece?»El error puede ocurrir en:
- Tienda Virtual B2B (dominios como
*.pedido.lay equivalentes de la tienda) - Panel de Demander Web (
https://sistema.demander.com.br)
En la práctica, el mismo IP público de la empresa alcanza la protección delante de estos servicios. Por eso, en horario pico, varios usuarios de la oficina pueden quedarse sin acceso al mismo tiempo.
¿Por qué ocurre?
Sección titulada «¿Por qué ocurre?»Situaciones comunes:
| Situación | Por qué se estalla el límite |
|---|---|
| Muchos usuarios en la misma oficina | Todos salen por el mismo IP público |
| Horario pico | Alto volumen de clics, actualizaciones y navegación |
| Actualizar la página varias veces seguidas | Genera muchas solicitudes en pocos segundos |
| Integraciones, bots o scripts | Pueden disparar muchas llamadas sin parecer navegación humana |
| Otra red / VPN | Cambia el IP — por eso el acceso “vuelve” con VPN |
Qué hacer cuando aparece el error 429
Sección titulada «Qué hacer cuando aparece el error 429»Para quien usa la tienda o el panel
Sección titulada «Para quien usa la tienda o el panel»- Espere unos minutos e intente de nuevo — el bloqueo es temporal.
- Evite actualizar la página en bucle mientras el error esté activo.
- Si necesita trabajar de inmediato, pruebe en otra red (datos móviles) solo para confirmar que el problema es el IP de la red actual.
- Anote horario, URL y, si es posible, una captura de la pantalla con el JSON.
Para el administrador / soporte Demander
Sección titulada «Para el administrador / soporte Demander»- Pida el IP público de la red en el momento del error (por ejemplo en meuip.com.br o whatismyipaddress.com).
- Informe también el hostname de la tienda (ej.:
empresa.pedido.la) y si el error ocurrió solo en la tienda, solo en Demander Web o en ambos. - Con esos datos, el equipo técnico analiza los bloqueos en el WAF y, cuando tenga sentido (oficina con muchos usuarios en el mismo IP), puede incluir el IP en la allowlist.
Bloqueo de acceso por país (HTTP 403)
Sección titulada «Bloqueo de acceso por país (HTTP 403)»En algunos países, el acceso a https://sistema.demander.com.br queda bloqueado por el WAF. Esto vale para el panel web y también para la sincronización de la app mobile, que usa la misma dirección.
Cuando ocurre el bloqueo, la respuesta es HTTP 403 (acceso denegado). En la app, suele aparecer un mensaje de bloqueo del WAF — no es error de contraseña ni una falla “común” de sincronización.
¿Por qué existe?
Sección titulada «¿Por qué existe?»Es una regla de seguridad: si la conexión viene de un país de la lista abajo, el acceso a sistema.demander.com.br no se libera.
¿Qué hacer?
Sección titulada «¿Qué hacer?»- Confirme si la persona está en uno de los países de la lista (o usando red/VPN que “parece” venir de allí).
- Si es un viaje legítimo de vendedor o un acceso esperado del cliente, abra un llamado interno para que el equipo evalúe una liberación puntual o un ajuste de la lista.
- No confundir con el 429 (exceso de solicitudes) ni con usuario bloqueado por contraseña.
Países bloqueados
Sección titulada «Países bloqueados»Lista actual (49 países, referencia 11/09/2026). Sudáfrica fue removida en esa fecha para no impedir la sincronización de un vendedor en viaje internacional.
| Código | País |
|---|---|
| AE | Emiratos Árabes Unidos |
| AF | Afganistán |
| AL | Albania |
| AM | Armenia |
| BD | Bangladesh |
| BG | Bulgaria |
| CN | China |
| CZ | Chequia |
| DE | Alemania |
| DK | Dinamarca |
| DO | República Dominicana |
| EG | Egipto |
| ES | España |
| FR | Francia |
| GE | Georgia |
| GH | Ghana |
| HK | Hong Kong |
| HR | Croacia |
| HU | Hungría |
| ID | Indonesia |
| IL | Israel |
| IN | India |
| IQ | Irak |
| IR | Irán |
| IT | Italia |
| JP | Japón |
| KE | Kenia |
| KP | Corea del Norte |
| KR | Corea del Sur |
| KZ | Kazajistán |
| LB | Líbano |
| LY | Libia |
| NG | Nigeria |
| NL | Países Bajos |
| NP | Nepal |
| PH | Filipinas |
| PL | Polonia |
| PS | Palestina |
| RU | Rusia |
| RW | Ruanda |
| SE | Suecia |
| SG | Singapur |
| SK | Eslovaquia |
| SY | Siria |
| TH | Tailandia |
| TR | Turquía |
| TW | Taiwán |
| UA | Ucrania |
| VN | Vietnam |
Resumen rápido
Sección titulada «Resumen rápido»| Pregunta | 429 (TooManyRequests) | 403 (país) |
|---|---|---|
| ¿Qué es? | Bloqueo temporal por exceso de solicitudes del mismo IP | Bloqueo de sistema.demander.com.br según el país de origen |
| Estado HTTP | 429 | 403 |
| ¿Desaparece solo? | Sí, en general después de algunos minutos | No — mientras el origen esté en la lista |
| ¿Afecta la app? | Indirecto (mismo IP / panel) | Sí — la sincronización usa el mismo host |
| ¿Es contraseña / usuario bloqueado? | No | No |
| ¿Qué hacer en soporte? | IP público + horario; evaluar allowlist | Confirmar país/VPN; evaluar liberación puntual |