Une partie des clients reçoit « 403 Forbidden » en validant leur commande sur la boutique

La boutique MasterLinux est publiée derrière l'Application Gateway v2 agw-boutique-prod (groupe rg-boutique-reseau), protégée par la stratégie WAF wafpol-boutique-prod (OWASP CRS 3.2). Depuis trois mois, le WAF était en mode Detection : il journalisait sans bloquer.

Hier à 18:30, après l'audit de sécurité annuel, l'équipe sécurité a demandé de « durcir le WAF » ; le changement CHG-4410 a été appliqué dans la soirée. Ce matin, le service client a reçu 37 appels : au moment de valider la commande (formulaire POST /commande/valider), la page affiche 403 Forbidden. Les clients concernés ont réessayé, changé de navigateur, de carte… sans succès. D'autres commandent normalement.

Le panier moyen est de 640 dirhams et les commandes du matin ont baissé de 22 %. La responsable e-commerce veut une solution aujourd'hui, et la sécurité refuse qu'on « enlève le WAF ».

Vous êtes sur votre poste avec Azure CLI ; l'espace Log Analytics law-masterlinux-prod (ID 4b7e2c19-0d8a-4f63-9e51-a2c6b8f3d074) reçoit les journaux de l'Application Gateway.