Erro 429 Too Many Requests no WordPress: como corrigir

Tipo Erro HTTP

Nome do erro Erro 429 Too Many Requests EN: 429 Too Many Requests

Severidade Grave

Descrição O erro 429 Too Many Requests é um código HTTP que indica que o cliente enviou requisições demais em pouco tempo e o servidor aplicou rate limiting. No WordPress, costuma vir de um plugin de segurança, do limite do host ou de bots martelando o wp-login.php.

O que é o erro 429 no WordPress?

O 429 Too Many Requests é um código de status HTTP em que o servidor recusa novas requisições porque o cliente excedeu um limite de taxa (rate limit) em uma janela de tempo. A resposta costuma trazer o cabeçalho Retry-After indicando quantos segundos esperar. No WordPress, o gatilho mais comum é um plugin de segurança ou o firewall do host barrando um IP que fez muitos acessos seguidos, ou bots de força bruta inundando o wp-login.php e o xmlrpc.php.

Como identificar

Mensagem “429 Too Many Requests” ou “Error 429: Rate limit exceeded” no navegador.
O erro aparece ao recarregar o wp-admin várias vezes seguidas ou ao salvar muitos posts em sequência.
Um cabeçalho “Retry-After” na resposta indicando o tempo de espera antes de tentar de novo.
Picos de acesso ao wp-login.php e ao xmlrpc.php no log do servidor logo antes do bloqueio.

Antes de começar: Antes de afrouxar limites de tentativas de login, confirme que o tráfego excessivo é legítimo. Se forem bots de força bruta, o caminho é bloquear a origem, não liberar o limite, que enfraqueceria a proteção do login.

Como prevenir

Use limite de tentativas de login com allowlist do IP de administração desde o início
Bloqueie ou proteja xmlrpc.php e wp-login.php quando não houver dependência deles
Configure Rate Limiting no Cloudflare com exceção para administradores e rotas internas

Causa

Plugin de segurança com rate limiting agressivo bloqueando o IP do próprio administrador.
Firewall ou limite de requisições do host disparando ao detectar muitos acessos no curto prazo.
Bots de força bruta martelando o wp-login.php e o xmlrpc.php, estourando o limite global.
Plugin ou tema disparando muitas chamadas à API REST ou ao admin-ajax.php em loop.
Cloudflare com uma regra de Rate Limiting Rules ativa devolvendo 429 antes de chegar ao site.

Como resolver

Espere o tempo do Retry-After: se o bloqueio for temporário, a resposta traz um cabeçalho Retry-After. Aguarde esse intervalo antes de recarregar; insistir só renova a contagem e prolonga o bloqueio.
Identifique a origem do rate limit: verifique se o 429 vem de um plugin de segurança (mensagem com o nome dele), do host (página do servidor) ou do Cloudflare (tela cinza da Cloudflare). Cada origem se ajusta em um lugar diferente.
Libere seu IP no plugin de segurança: via FTP, desative o plugin renomeando a pasta em wp-content/plugins para sair do bloqueio, depois reative e adicione seu IP de administração à allowlist e afrouxe o limite de tentativas.
Bloqueie o xmlrpc.php se não o usar: o xmlrpc.php é alvo clássico de bots. Se você não usa apps que dependem dele, bloqueie o acesso pelo .htaccess para cortar a maior fonte de requisições abusivas.
Ajuste a regra de Rate Limiting no Cloudflare: no painel do Cloudflare, em Security > Rate Limiting Rules, revise o limite e crie uma exceção para o seu IP, evitando que o 429 atinja a administração do site.

APACHE

# .htaccess - bloqueia o xmlrpc.php, alvo classico de abuso que gera 429
<Files xmlrpc.php>
    Require all denied
</Files>

# Libera o IP do admin antes de qualquer regra restritiva de acesso
<RequireAny>
    Require ip 203.0.113.10
</RequireAny>

Perguntas frequentes

O que significa o erro 429 Too Many Requests?

Significa que o cliente enviou requisições demais em pouco tempo e o servidor aplicou um limite de taxa, recusando novos acessos temporariamente. A resposta costuma trazer um Retry-After indicando quantos segundos esperar antes de tentar de novo.

Por que eu mesmo, o administrador, recebo 429?

Em geral um plugin de segurança com rate limiting agressivo contou seus acessos rápidos como suspeitos e bloqueou seu IP. Desative o plugin via FTP para sair do bloqueio e adicione seu IP de administração à allowlist antes de reativar.

O 429 está vindo de bots no wp-login.php. Como cortar?

Bots de força bruta inundam o wp-login.php e o xmlrpc.php, estourando o limite global. Bloqueie o xmlrpc.php pelo .htaccess se não o usar e proteja o wp-login com limite de tentativas e, se possível, com 2FA.

Devo só aumentar o limite de requisições para resolver?

Não, se a causa for abuso. Aumentar o limite enfraquece a proteção e o tráfego malicioso continua. Identifique a origem: se for bot, bloqueie; se for um plugin chamando a API em loop, corrija o plugin.

O 429 veio do Cloudflare. Onde ajusto?

No painel do Cloudflare, em Security > Rate Limiting Rules. Revise o limite configurado e crie uma exceção para o seu IP de administração. O Cloudflare devolve o 429 antes de a requisição chegar ao servidor de origem.

Um plugin pode disparar o 429 sozinho?

Pode. Plugins ou temas que fazem muitas chamadas à API REST ou ao admin-ajax.php em loop estouram o rate limit. Desative os plugins um a um via FTP para encontrar o que gera o excesso de requisições.

Grave

Como corrigir erro 521 Web Server is Down

O erro 521 Web Server is Down é um código específico do Cloudflare que indica que ele não conseguiu abrir conexão com o servidor de origem do site. No WordPress, costuma vir do servidor offline, do IP de origem bloqueando os IPs do Cloudflare ou do serviço web parado.

Crítico

Como corrigir o erro 503 Service Unavailable

O erro 503 Service Unavailable é um código HTTP que indica que o servidor está temporariamente incapaz de atender à requisição. No WordPress, costuma aparecer quando uma atualização trava o site no arquivo .maintenance, quando o servidor está sobrecarregado ou quando um plugin/tema consome recursos demais.

Grave

Como corrigir o erro 404 Not Found no WordPress

O erro 404 Not Found é um código HTTP que indica que o servidor respondeu, mas não encontrou nenhum conteúdo na URL pedida. No WordPress, costuma surgir quando os permalinks quebram após uma migração, quando o .htaccess perde as regras de rewrite ou quando um post/página foi removido ou teve o slug alterado.

Grave

Como corrigir erro 522 Connection Timed Out (Cloudflare)

O erro 522 Connection Timed Out é um código do Cloudflare que indica que a conexão com o servidor de origem expirou: o handshake começou mas não foi concluído a tempo. No WordPress, costuma vir de origem sobrecarregada, firewall lento ou faixa de IPs do Cloudflare bloqueada.

Crítico

Como corrigir o erro 502 Bad Gateway no WordPress

O erro 502 Bad Gateway é um código HTTP que indica que um servidor atuando como gateway ou proxy recebeu uma resposta inválida do servidor de origem. No WordPress, costuma vir do PHP-FPM travado ou reiniciando, do servidor sobrecarregado ou de uma camada de CDN/proxy como o Cloudflare sem resposta válida do host.

Crítico

Como corrigir o erro 500 Internal Server Error

O erro 500 Internal Server Error é um código HTTP genérico que indica que algo falhou no servidor sem dizer o quê. No WordPress, costuma vir de .htaccess corrompido, limite de memória PHP esgotado, um plugin ou tema com erro fatal, ou permissões de arquivo erradas.

Setores

Extensões

Integrações

Como corrigir o erro 429 Too Many Requests

O que é o erro 429 no WordPress?

Como identificar

Como prevenir

Causa

Como resolver

Perguntas frequentes

Itens relacionados

Como corrigir erro 521 Web Server is Down

Como corrigir o erro 503 Service Unavailable

Como corrigir o erro 404 Not Found no WordPress

Como corrigir erro 522 Connection Timed Out (Cloudflare)

Como corrigir o erro 502 Bad Gateway no WordPress

Como corrigir o erro 500 Internal Server Error

Setores

Extensões

Integrações

Extensões

Hero Sections

Seções de CTA

Login

Blog

Cabeçalhos

Seções de FAQ

Cadastro

Blog individual

Rodapés

Seções de contato

Seções de preços

Faixas

Portfólio

Seções de equipe

Números

Logotipos