Bloqueios do WAF: TooManyRequests (429) e acesso por país (403)
O WAF (Web Application Firewall) é a proteção na frente dos sistemas Demander. Dois bloqueios comuns confundem o suporte: o 429 (muitas requisições do mesmo IP) e o 403 por país (origem geográfica). Este artigo cobre os dois.
Erro 429 — WAF: TooManyRequests
Seção intitulada “Erro 429 — WAF: TooManyRequests”Ao acessar a Loja Virtual B2B ou o Demander Web, às vezes aparece uma tela (em geral preta) com um JSON parecido com isto:
{ "erro": "WAF: TooManyRequests." }O status HTTP costuma ser 429. O acesso volta sozinho depois de alguns minutos. Em muitos casos, usar outra rede ou uma VPN faz a tela abrir normalmente.
O que esse erro significa?
Seção intitulada “O que esse erro significa?”O WAF limita quantas requisições um mesmo IP público pode fazer em pouco tempo. Quando o limite é ultrapassado, ele bloqueia temporariamente aquele IP e devolve WAF: TooManyRequests. Isso protege o ambiente contra abuso automático, sobrecarga e padrões que parecem ataque.
Onde aparece?
Seção intitulada “Onde aparece?”O erro pode ocorrer em:
- Loja Virtual B2B (domínios como
*.pedido.lae equivalentes da loja) - Painel do Demander Web (
https://sistema.demander.com.br)
Na prática, o mesmo IP público da empresa atinge a proteção na frente desses serviços. Por isso, no horário de pico, vários usuários do escritório podem ficar sem acesso ao mesmo tempo.
Por que acontece?
Seção intitulada “Por que acontece?”Situações comuns:
| Situação | Por que estoura o limite |
|---|---|
| Muitos usuários no mesmo escritório | Todos saem pelo mesmo IP público |
| Horário de pico | Volume alto de cliques, atualizações e navegações |
| Atualizar a página várias vezes seguidas | Gera muitas requisições em poucos segundos |
| Integrações, robôs ou scripts | Podem disparar muitas chamadas sem parecer “navegação humana” |
| Outra rede / VPN | Muda o IP — por isso o acesso “volta” na VPN |
O que fazer quando o erro 429 aparece
Seção intitulada “O que fazer quando o erro 429 aparece”Para quem está usando a loja ou o painel
Seção intitulada “Para quem está usando a loja ou o painel”- Aguarde alguns minutos e tente de novo — o bloqueio é temporário.
- Evite ficar atualizando a página em loop enquanto o erro estiver ativo.
- Se precisar trabalhar na hora, teste em outra rede (dados móveis) só para confirmar que o problema é o IP da rede atual.
- Anote horário, URL e, se possível, um print da tela com o JSON.
Para o administrador / suporte Demander
Seção intitulada “Para o administrador / suporte Demander”- Peça o IP público da rede no momento do erro (por exemplo em meuip.com.br ou whatismyipaddress.com).
- Informe também o hostname da loja (ex.:
empresa.pedido.la) e se o erro aconteceu só na loja, só no Demander Web ou nos dois. - Com esses dados, a equipe técnica analisa os bloqueios no WAF e, quando fizer sentido (escritório com muitos usuários no mesmo IP), pode incluir o IP na allowlist.
Bloqueio de acesso por país (HTTP 403)
Seção intitulada “Bloqueio de acesso por país (HTTP 403)”Em alguns países, o acesso a https://sistema.demander.com.br fica bloqueado pelo WAF. Isso vale para o painel web e também para a sincronização do app mobile, que usa o mesmo endereço.
Quando o bloqueio acontece, a resposta é HTTP 403 (acesso negado). No app, costuma aparecer uma mensagem de bloqueio do WAF — não é erro de senha nem falha “comum” de sincronização.
Por que existe?
Seção intitulada “Por que existe?”É uma regra de segurança: se a conexão vem de um país da lista abaixo, o acesso a sistema.demander.com.br não é liberado.
O que fazer?
Seção intitulada “O que fazer?”- Confirme se a pessoa está em um dos países da lista (ou usando rede/VPN que “parece” vir de lá).
- Se for viagem legítima de vendedor ou acesso esperado do cliente, abra um chamado interno para a equipe avaliar liberação pontual ou ajuste da lista.
- Não confundir com o 429 (excesso de requisições) nem com usuário bloqueado por senha.
Países bloqueados
Seção intitulada “Países bloqueados”Lista atual (49 países, referência 11/09/2026). A África do Sul foi removida nessa data para não impedir sincronização de vendedor em viagem internacional.
| Código | País |
|---|---|
| AE | Emirados Árabes Unidos |
| AF | Afeganistão |
| AL | Albânia |
| AM | Armênia |
| BD | Bangladesh |
| BG | Bulgária |
| CN | China |
| CZ | Chéquia |
| DE | Alemanha |
| DK | Dinamarca |
| DO | República Dominicana |
| EG | Egito |
| ES | Espanha |
| FR | França |
| GE | Geórgia |
| GH | Gana |
| HK | Hong Kong |
| HR | Croácia |
| HU | Hungria |
| ID | Indonésia |
| IL | Israel |
| IN | Índia |
| IQ | Iraque |
| IR | Irã |
| IT | Itália |
| JP | Japão |
| KE | Quênia |
| KP | Coreia do Norte |
| KR | Coreia do Sul |
| KZ | Cazaquistão |
| LB | Líbano |
| LY | Líbia |
| NG | Nigéria |
| NL | Países Baixos |
| NP | Nepal |
| PH | Filipinas |
| PL | Polônia |
| PS | Palestina |
| RU | Rússia |
| RW | Ruanda |
| SE | Suécia |
| SG | Singapura |
| SK | Eslováquia |
| SY | Síria |
| TH | Tailândia |
| TR | Turquia |
| TW | Taiwan |
| UA | Ucrânia |
| VN | Vietnã |
Resumo rápido
Seção intitulada “Resumo rápido”| Pergunta | 429 (TooManyRequests) | 403 (país) |
|---|---|---|
| O que é? | Bloqueio temporário por excesso de requisições do mesmo IP | Bloqueio de sistema.demander.com.br conforme o país de origem |
| Status HTTP | 429 | 403 |
| Some sozinho? | Sim, em geral após alguns minutos | Não — enquanto a origem estiver na lista |
| Afeta o app? | Indireto (mesmo IP / painel) | Sim — a sincronização usa o mesmo host |
| É senha / usuário bloqueado? | Não | Não |
| O que fazer no suporte? | IP público + horário; avaliar allowlist | Confirmar país/VPN; avaliar liberação pontual |