La giornata del 18 novembre 2025 verrà ricordata come uno degli incidenti più significativi nella storia recente di Cloudflare, con un impatto immediato su migliaia di siti e servizi web. Intorno alle 12:20 italiane (11:20 UTC), molti utenti hanno iniziato a vedere pagine di errore attribuite a problemi interni della rete Cloudflare. L’evento ha generato disservizi a catena, rallentamenti diffusi e l’impossibilità di accedere a piattaforme che dipendono dalla rete dell’azienda statunitense.
Cloudflare ha pubblicato un’analisi dettagliata di quanto accaduto, chiarendo che non si è trattato di un attacco informatico, né di un evento legato a un DDoS. L’origine del blackout è dipesa da un errore interno, una modifica imprevista nella gestione dei permessi di un database che ha compromesso il funzionamento del sistema di Bot Management.
Un file anomalo alla base del problema
Il malfunzionamento è partito da un cambiamento nella configurazione dei permessi di un cluster ClickHouse. L’aggiornamento ha portato il database a generare un file dedicato al sistema di Bot Management con un numero eccessivo di voci duplicate. La dimensione del file è raddoppiata rispetto agli standard previsti.
Quel file viene distribuito automaticamente a tutti i nodi della rete Cloudflare perché contiene informazioni essenziali per determinare i punteggi di rischio dei bot. Le macchine coinvolte hanno caricato il file senza poter gestire la dimensione inattesa. Il software dedicato alla gestione del traffico ha superato il limite massimo di funzionalità, provocando un errore interno che ha bloccato la capacità di inoltrare correttamente le richieste.
Le prime conseguenze si sono manifestate con picchi anomali di errori HTTP 5xx, visibili agli utenti come una classica pagina Cloudflare di errore. Il problema appariva intermittente in un primo momento, perché il file veniva rigenerato ogni cinque minuti e solo parte dei nodi restituiva versioni “sane”. La situazione è peggiorata quando l’intero cluster ha iniziato a produrre esclusivamente file difettosi.
Perché l’incidente si è complicato
La natura del disservizio ha reso le diagnosi iniziali difficili. Alcuni sistemi di Cloudflare hanno iniziato a comportarsi come durante un attacco DDoS, il che ha orientato il team verso una pista errata nelle prime fasi. Persino la pagina ufficiale dello status di Cloudflare, ospitata su infrastrutture esterne, ha smesso di funzionare per motivi non direttamente collegati all’incidente. Una coincidenza che ha ulteriormente alimentato il sospetto di un attacco coordinato.
Quando i tecnici hanno individuato l’origine interna del guasto, la priorità è stata bloccare la propagazione del file danneggiato e reinserire una versione precedente e funzionante. Le operazioni di rollback sono iniziate nel primo pomeriggio e verso le 15:30 italiane il traffico principale ha ricominciato a funzionare quasi ovunque.
Quali servizi Cloudflare sono stati colpiti
L’errore ha coinvolto numerosi servizi centrali. La parte più visibile per gli utenti è stata la difficoltà ad accedere a siti protetti da Cloudflare, che restituivano HTTP 5xx. Il blocco ha interessato anche:
- Turnstile, il sistema di validazione umana utilizzato anche per il login alla dashboard di Cloudflare.
- Workers KV, il sistema di archiviazione distribuita utilizzato da molte funzioni interne.
- Access, la piattaforma Zero Trust per l’autenticazione.
- La dashboard, che mostrava difficoltà nel login a causa del malfunzionamento di Turnstile.
Cloudflare ha applicato un bypass per alcuni sistemi, riducendo parzialmente i disservizi già dalle 14:05 italiane. L’intero ecosistema è tornato pienamente operativo alle 18:06, quando tutte le propagazioni e i riavvii sono andati a buon fine.
Perché il Cloudflare down è stato così impattante
Cloudflare gestisce una parte rilevante delle infrastrutture che permettono a siti e applicazioni di caricarsi velocemente e in sicurezza. La sua rete svolge funzioni avanzate di CDN, firewall, protezione anti-DDoS e gestione del traffico in tempo reale. Un problema interno a un componente chiave significa una ripercussione immediata su migliaia di domini, anche di grandi dimensioni, inclusi servizi governativi, media e piattaforme e-commerce.
L’azienda ha riconosciuto apertamente la gravità dell’incidente e lo ha definito il blackout più importante dal 2019. La causa, pur essendo un errore di configurazione, ha evidenziato un punto di vulnerabilità nella gestione dei file interni e nella capacità di isolare anomalie locali prima che raggiungano l’intera rete.
Le contromisure avviate da Cloudflare
Il report ufficiale indica che Cloudflare ha già avviato un processo di revisione tecnica. I punti principali riguardano il rafforzamento dei controlli sui file di configurazione, l’introduzione di interruttori globali per bloccare rapidamente funzioni errate e una revisione dei limiti di memoria e dei meccanismi che generano i file destinati al sistema di Bot Management.
L’obiettivo è ridurre la possibilità di un errore simile, con l’introduzione di controlli più granulari e validazioni più rigide prima della distribuzione dei dati su tutta la rete globale.
Aiutaci a crescere: lasciaci un like :)