שגיאה 429 Too Many Requests: מי מגביל אותך (השרת, Cloudflare או תוסף) ואיך מתקנים

עודכן לאחרונה: 07.11.2026 · מאת עשהאל דרייר

בקצרה: שגיאה 429 Too Many Requests אומרת ששלחתם יותר מדי בקשות בזמן קצר, ומישהו בדרך החליט להגביל אתכם. המגביל הוא בדרך כלל אחד מארבעה: כלל Rate Limiting ב-Cloudflare, הגנת DoS של השרת, תוסף אבטחה בוורדפרס, או API חיצוני שהאתר פונה אליו. כותרות התשובה ודף השגיאה מגלים מי זה תוך דקה.

⏱ זמן אבחון: 5–15 דקות · רמת קושי: בינוני · נבדק לאחרונה מול האתר שלנו: 07.11.2026

מה זה שגיאה 429 Too Many Requests?

429 הוא קוד HTTP שהוגדר ב-RFC 6585 בשביל מצב אחד: הלקוח שלח יותר מדי בקשות בפרק זמן מסוים. זו הגבלת קצב (Rate Limiting), מנגנון שמגן על השרת מעומס, מסקרייפרים וממתקפות ניחוש סיסמאות.

לפי MDN, התשובה יכולה לכלול כותרת Retry-After שאומרת כמה זמן לחכות. בניגוד ל-403, החסימה זמנית: מחכים, מורידים את הקצב, והגישה חוזרת. אם הגישה לא חוזרת גם אחרי המתנה, כנראה שזו חסימה קבועה, וכדאי לקרוא את המדריך לשגיאה 403.

איך יודעים מי מגביל אתכם?

באותה שיטה שבה אנחנו מאבחנים 403: קוראים את כותרות התשובה ואת כותרת הדף. באתר שמאחורי Cloudflare, הכלל הוא פשוט: יש cf-cache-status, הבקשה עברה את Cloudflare והגיעה לשרת. אין, Cloudflare ענה בעצמו.

curl -s -o /dev/null -D - "https://example.co.il/path?t=1" | grep -iE "^(HTTP|cf-cache-status|server|retry-after|x-ratelimit)"
curl -s "https://example.co.il/path?t=1" | grep -ioE "<title>[^<]*|1015|rate limited"

מה רואים	מי הגביל	מה עושים
429 עם דף 1015 של Cloudflare	כלל Rate Limiting ב-Cloudflare	בודקים באירועי האבטחה איזה כלל תפס, ומגדילים סף או חלון זמן
הפניה לדף בדיקה או Challenge מהשרת	הגנת DoS או Anti-Bot של השרת	בודקים ב-Security של השרת בפאנל
429 עם cf-cache-status ודף בעיצוב האתר	וורדפרס או תוסף אבטחה	בודקים את הגדרות ההגבלה בתוסף
האתר תקין, ופעולה מסוימת נכשלת	API חיצוני	קוראים את יומן השגיאות ואת כותרות X-RateLimit של השירות

למה Cloudflare מחזיר 429 ודף 1015?

כי בעל האתר הגדיר כלל Rate Limiting, והבקשות שלכם עברו את הסף. לפי התיעוד של Cloudflare, קוד התשובה של כלל חסימה הוא 429 כברירת מחדל, ואפשר לשנות אותו לכל קוד בין 400 ל-499.

הגולש רואה את דף שגיאה 1015. Cloudflare עצמה מציינת שהיא לא מחליטה מי מוגבל, אלא בעל האתר. ההמלצה לגולש היא לחכות, כי ניסיונות חוזרים מהירים רק מאריכים את החסימה.

לבעלי אתרים: כללי Rate Limiting זמינים בכל התוכניות. בתוכנית החינמית מקבלים כלל אחד, עם חלון ספירה קבוע של 10 שניות, שמתאים בדיוק להגנה על נתיב אחד כמו עמוד ההתחברות. אם כלל חוסם גולשים אמיתיים, Cloudflare ממליצה להאריך את החלון, למשל משנייה אחת ל-10 שניות, במקום לוותר על הכלל. איפה רואים את האירועים, הסברנו במדריך לאירועי האבטחה ב-Cloudflare.

האם השרת בקלאודוויז יכול להגביל אתכם?

כן, בשכבת האבטחה של השרת. לפי המדריך של קלאודוויז לניהול אבטחת שרת, ההגנה מבוססת על Imunify360, וכוללת Enhanced DoS Protection: היא סופרת בקשות מכל IP בחלונות של 30 שניות, ו-IP שעובר את הסף נכנס לרשימה אפורה ומופנה לבדיקת Anti-Bot. את הסף אפשר לכוונן.

שימו לב לניסוח: המקור מדבר על הפניה לבדיקה, לא על קוד 429 דווקא. לא מדדנו איזה קוד חוזר בפועל, ולכן לא נבטיח אותו. מה שכן ברור: אירועים כאלה מופיעים בלשונית Security של השרת, ב-Incidents, ומשם אפשר להכניס IP לרשימה לבנה. באותו מקור כתוב גם ש-Bot Protection של MalCare הוסר מכל הפלטפורמה. מה נשאר ומה מתאים לכם, פירטנו במדריך להגנה מבוטים בקלאודוויז.

מה עושים כש-429 מגיע מתוסף בוורדפרס?

תוספי אבטחה רבים מגבילים ניסיונות התחברות, בקשות ל-REST API או גלישה מהירה. הסימן: הבקשה הגיעה לשרת (יש cf-cache-status), ודף השגיאה בעיצוב של האתר.

1. נסו מרשת אחרת, למשל מהנייד, כדי לבדוק אם רק ה-IP שלכם מוגבל.
2. בדקו בהגדרות התוסף את סעיף ההגבלות, והכניסו את ה-IP של המשרד או של כלי הניטור לרשימה לבנה.
3. אם אין גישה ללוח הניהול, השביתו את התוסף זמנית דרך SFTP: שנו את שם התיקייה שלו ב-wp-content/plugins.
4. אחרי שהגישה חזרה, הפעילו את התוסף מחדש עם סף מתון יותר. לא משאירים את האתר בלי הגנה.

אצלנו אין תוסף אבטחה שמגביל קצב. בדקנו את רשימת התוספים הפעילים ב-7.11.2026, וההגנה כולה יושבת ב-Cloudflare ובשרת. זו בחירה מכוונת: הגבלה בשכבה שלפני וורדפרס לא צורכת PHP.

למה האתר מקבל 429 משירות חיצוני?

כי גם האתר שלכם הוא לקוח. תוסף שמושך שערי מטבע, משלוחים, מלאי או תוכן מ-API יכול לעבור את המכסה של אותו שירות, ואז פעולה מסוימת נכשלת בזמן שהאתר עצמו עובד.

דוגמה שבדקנו: GitHub מגביל בקשות בלי הזדהות ל-60 בשעה, וכל תשובה מגיעה עם כותרות X-RateLimit-Limit ו-X-RateLimit-Remaining (התיעוד של GitHub). ב-7.11.2026 קיבלנו מהם Limit של 60 ו-Remaining של 57. שירותים רבים עובדים כך. הפתרון הוא קאש לתשובות, משימת Cron במקום קריאה בכל טעינת עמוד, ומפתח API עם מכסה גבוהה יותר.

האם כדאי להחזיר 429 לבוטים ולגוגל?

רק כצעד זמני. לפי Google Search Central, כשהסורק של גוגל פוגש הרבה תשובות 429, 500 או 503, הוא מוריד את קצב הסריקה של כל שם המארח. זה עוזר בעומס של יום או יומיים, אבל הגבלה ממושכת פוגעת בסריקה ובאינדוקס.

בוטים של AI ושל סקרייפרים הם סיפור אחר. אם הם מעמיסים על השרת, עדיף להגביל אותם בכלל ממוקד ב-Cloudflare ולא לפגוע בכולם. מדדנו את העומס והצענו כללים במדריך לעומס של סורקי AI על השרת.

טעויות נפוצות ב-429

מרעננים שוב ושוב: כל רענון נספר כבקשה, ולפעמים מאריך את החסימה. מחכים כמה דקות, או לפי Retry-After אם היא מופיעה.

מכבים את כל ההגנות: כלל Rate Limiting על עמוד ההתחברות מונע ניחוש סיסמאות. מכוונים את הסף, לא מוחקים את הכלל.

שוכחים את כלי הניטור: כלי Uptime שבודק כל דקה מכמה מיקומים יכול להיתפס בכלל. הכניסו את כתובות ה-IP שלו לרשימה לבנה.

מגבילים בתוך וורדפרס בלבד: כל בקשה שנחסמת בתוסף כבר הריצה PHP. בעומס אמיתי, ההגבלה צריכה לקרות לפני השרת, ב-Cloudflare. מחירי Cloudflare Enterprise ושאר התוספים של קלאודוויז מופיעים במחירון התוספים.

שאלות נפוצות

מדריכים קשורים

• הגנה מבוטים בקלאודוויז
• אירועי אבטחה ב-Cloudflare: איך קוראים אותם
• שגיאה 403 Forbidden: איך יודעים מי חוסם
• סורקי AI ועומס על השרת
• מחירי התוספים בקלאודוויז · הגירה חינם לקלאודוויז

מקורות

• RFC 6585: Additional HTTP Status Codes – IETF
• 429 Too Many Requests – MDN Web Docs
• Rate limiting rules ו-Rate limiting parameters – Cloudflare Docs
• Error 1015 – Cloudflare Docs
• A Brief Guide to Server Security Management – Cloudways KB
• Reduce the Google crawl rate – Google Search Central
• Rate limits for the REST API – GitHub Docs

המדידה: curl ממחשב בישראל, 7.11.2026. 40 בקשות רצופות לדף הבית של cw-servers.co.il (כ-25 שניות), 15 בקשות לא שמורות ל-REST API (cf-cache-status: DYNAMIC), ובקשה אחת עם User-Agent של סקריפט Python. כולן החזירו 200. רשימת התוספים נבדקה בקריאה בלבד דרך Novamira. לא הפעלנו עומס גבוה בכוונה, כדי לא להפעיל את ההגנות שלנו.

מקור רשמי: A Brief Guide to Server Security Management (Cloudways Knowledge Base). העמוד נכתב ונבדק על ידי עשהאל דרייר · עודכן: 07.11.2026

גילוי נאות: זהו אתר עצמאי ואינו האתר הרשמי של Cloudways. חלק מהקישורים באתר הם קישורי שותפים – אם תירשמו דרכם נקבל עמלה, בלי עלות נוספת לכם. לפרטים המלאים