Vercel-Firewall für das eigene Monitoring umgehen

So sieht die Blockade aus

Ihre Checks kommen als „Übersprungen“ zurück statt als bestanden oder fehlgeschlagen — mit dem Hinweis, dass die Website HTTP 403 geliefert hat oder eine Bot-Schutz-Prüfung nicht abgeschlossen wurde. Relvato speichert einen Screenshot dessen, was der Browser tatsächlich empfangen hat, sodass Sie es in den Run-Details selbst prüfen können.

Der Screenshot zeigt Vercels Zwischenseite: ein Ladesymbol über „We're verifying your browser“, darunter „Vercel Security Checkpoint“ und eine Request-ID. Wird die Prüfung gar nicht abgeschlossen, erscheint stattdessen „Failed to verify your browser“ mit einem kurzen Code — dieselbe Blockade, nur einen Schritt weiter.

Mit Ihrer Website ist alles in Ordnung. Echte Besucher sind nicht betroffen; die Prüfung trifft nur automatisierte Anfragen.

Warum Vercel ein Monitoring abweist, Ihre Besucher aber nicht

Vercels Firewall bewertet jede Anfrage danach, wie sehr sie nach einem echten Menschen aussieht. Relvatos Browser-Checks verlieren gleich doppelt: Sie laufen headless und aus dem IP-Bereich eines Cloud-Anbieters statt aus einem Privat- oder Mobilfunkanschluss.

Deshalb ist die Blockade selektiv. Checks, die eine URL per einfachem HTTP abrufen — defekte Links, SEO- und Metadaten-Scans, Mixed Content — kommen meist durch, während die Checks mit echtem Browser (Visuelle Regression, Core Web Vitals, Struktur-Drift) abgewiesen werden. Wenn nur die browserbasierten Checks scheitern, ist das der Grund.

Es kann auch sporadisch auftreten: Ein einzelner Check läuft durch, während ein kompletter „Alle Checks ausführen“-Durchlauf mittendrin abgewiesen wird — denn ein Schwall von Seitenaufrufen wird schlechter bewertet als ein einzelner.

Vercel-Firewall umgehen: die eine Regel

Jede Anfrage von Relvato an Ihre Website trägt einen festen Header: X-Relvato-Token. Sein Wert ist für Ihre Website einzigartig und wird aus deren Signing Secret abgeleitet — er ändert sich nie und ist nicht erratbar, lässt sich also gefahrlos in einer Firewall-Regel abgleichen. Kopieren Sie ihn in Relvato unter Ihre Website → Einstellungen → „Hinter Cloudflare oder einer Firewall?“.

Öffnen Sie im Vercel-Dashboard Ihr Projekt → Firewall → Custom Rules → New Rule. Legen Sie eine Bedingung an, bei der Request Header x-relvato-token dem kopierten Wert entspricht, und setzen Sie die Aktion auf Bypass. Speichern und ausrollen — Vercel übernimmt Firewall-Änderungen in Sekunden.

Führen Sie den Check erneut aus. Die übersprungenen Checks sollten jetzt normal durchlaufen und in den Run-Details echte Ergebnisse statt eines Checkpoint-Screenshots zeigen.

Wenn Sie den Attack Challenge Mode nutzen

Der Attack Challenge Mode fordert jeden Besucher heraus — also auch Relvato. Er ist als vorübergehende Reaktion auf einen laufenden Angriff gedacht: Wenn er schlicht aktiviert geblieben ist, stellt das Ausschalten das normale Monitoring sofort wieder her.

Wenn Sie ihn eingeschaltet lassen müssen, legen Sie die obige Regel an und führen Sie einen Check erneut aus, um zu prüfen, ob Relvato durchgelassen wird. Erscheint der Checkpoint weiterhin, hat der Attack Challenge Mode Vorrang vor Ihrer Regel — dann müssen Sie ihn so lange deaktivieren, bis Relvato eine Baseline aufnehmen konnte.

Immer noch blockiert? Die Last verteilen

Wenn Sie keine Firewall-Regel anlegen können — etwa im Projekt eines Kunden oder in einem Tarif ohne Custom Rules — lässt sich reduzieren, wie viel Browser-Traffic Relvato auf einmal erzeugt.

Unter Ihre Website → Einstellungen pausiert „Checks entzerren“ zwischen den Checks, damit „Alle ausführen“ kein durchgehender Strom von Seitenaufrufen ist. Und wenn Sie bei der visuellen Regression nur einen Browser statt mehrerer überwachen, halbieren Sie die Seitenaufrufe des aufwendigsten Checks.

Betrachten Sie das als Abmilderung, nicht als Garantie: Es senkt die Wahrscheinlichkeit einer Abweisung, beseitigt sie aber nicht. Die Firewall-Regel ist die verlässliche Lösung.