Ce que OVH appelle le Firewall, c'est l'activation du module Apache "ModSecurity". Ce module analyse les requêtes HTTP reçues par le serveur à la recherche de tentatives de hacking par exemple via une injection SQL ou autre élément probablement malveillant. Si un URL reçu répond à certains critères, la requête se termine avec un 403 Forbidden. Exemple: présenter un User-Agent tel que "wget" (alors que "Firefox" fonctionne)
L'ensemble de règles est consolidé chez https://coreruleset.org/ C'est quelque chose qui est bien maintenu, et OVH ne documente pas s'ils utilisent cet ensemble de règle "standardisé" ni à quelle version récente ou ancienne.
En tout état de chose vous devez accepter d'utiliser ce Firewall (ou plutôt WAF) tel qu'il vous est proposé, ou bien ne pas l'utiliser.
Le WAF est notoirement connu pour casser certaines opérations qui impliquent des URL longs, complexes ou avec beaucoup de paramètres, tels que des plugins de migration, conversion, installation de modules.
Dans ce cas qu'ils ne disent pas que l'on peut développer du nodejs dessus… Puisque ce n'est pas le cas. Je ne connais aucune app node js qui fonctionne sans requête put ou delete. Donc je vais demander un remboursement… Que faire de plus…
Désactiver le pare-feu tout simplement (dans 90% des cas il est pas utile car pas de contrôle dessus). A la base ce WAF est conçu pour les applications php.