ERR_TOO_MANY_REDIRECTS

Ce que signifie cette erreur et comment la reconnaître

• Le navigateur affiche « Cette page ne fonctionne pas — [domain] vous a redirigé un trop grand nombre de fois » ou le code d’erreur ERR_TOO_MANY_REDIRECTS.
• La barre d’adresse bascule plusieurs fois entre HTTP et HTTPS, ou entre les hostnames www et non-www, avant que le navigateur cesse le chargement.
• L’ensemble du site peut être indisponible, ou le problème peut être limité à une URL, à la zone d’administration, aux sessions connectées ou à certains appareils.
• Le problème apparaît souvent après l’activation de HTTPS, l’ajout d’un CDN ou d’un reverse proxy, la modification du hostname canonique ou l’installation d’un plugin de redirection ou SSL.
• La suppression des cookies peut modifier temporairement le comportement lorsque l’authentification ou la logique de session est impliquée, mais elle ne corrige pas un conflit de redirections côté serveur.

Causes principales, classées par probabilité

1. Règles HTTP/HTTPS contradictoires — une couche redirige HTTP vers HTTPS tandis qu’une autre redirige incorrectement HTTPS vers HTTP. Cela se produit fréquemment lorsqu’un proxy ou un CDN termine TLS, mais que l’origine ne reconnaît pas que la requête initiale était sécurisée.
2. Incompatibilité du mode SSL/TLS du CDN — un CDN peut utiliser HTTP pour se connecter à une origine qui force HTTPS. L’origine redirige vers HTTPS, mais le CDN répète la requête HTTP vers l’origine, créant ainsi une boucle.
3. Règles canoniques www et non-www concurrentes — le CDN, le serveur web, le CMS ou un plugin peuvent ne pas être d’accord sur le hostname canonique.
4. Gestion incorrecte du proxy ou du protocole transmis — l’application peut ne pas faire confiance au proxy configuré ou ne pas traiter correctement X-Forwarded-Proto ou un en-tête équivalent. Elle considère alors à répétition une requête sécurisée comme une requête HTTP.
5. Mise en cache obsolète des redirections — un navigateur, un CDN, un reverse proxy ou un cache de pages peut encore servir une redirection datant d’avant la correction de la configuration.
6. Règles en double dans l’application ou les plugins — les plugins de forçage SSL, de connexion, de maintenance ou de redirection peuvent entrer en conflit avec les règles du serveur.
7. Problèmes de configuration des cookies ou des sessions — des paramètres Secure, de domaine ou de chemin incorrects peuvent provoquer des redirections d’authentification pour certains utilisateurs seulement, notamment les visiteurs connectés.

Comment corriger le problème

1. Capturez d’abord la chaîne de redirections

Utilisez une requête en lecture seule depuis un terminal, en remplaçant le placeholder par le hostname concerné :

curl -IL https://[your-hostname]

Cette commande demande les en-têtes et suit les redirections. Notez chaque valeur Location: et chaque code de statut HTTP. Testez l’URL exacte en échec, sa version HTTP ainsi que les formes www et non-www lorsque cela est pertinent. Le panneau Network d’un navigateur fournit des informations similaires.

Recherchez notamment les schémas suivants :

• HTTPS → HTTP → HTTPS
• non-www → www → non-www
• une URL qui se redirige indéfiniment vers elle-même
• une redirection vers une URL de connexion ou une URL canonique qui redirige immédiatement en retour

Ne commencez pas par vider les caches ou modifier plusieurs paramètres à la fois. La chaîne permet d’identifier la couche qui nécessite une intervention.

2. Corrigez une boucle HTTP/HTTPS ou liée au CDN

Si un CDN ou un reverse proxy gère la connexion HTTPS publique, examinez son mode SSL/TLS ainsi que le certificat et la configuration HTTPS de l’origine. Le mode de connexion entre le CDN et l’origine doit correspondre à ce que l’origine prend en charge. Avec Cloudflare, une origine qui prend correctement en charge HTTPS nécessite généralement Full ou Full (strict) plutôt que Flexible lorsqu’elle force elle-même HTTPS.

Avant de modifier le mode, vérifiez que vous êtes autorisé à modifier le CDN et que l’origine possède un certificat valide pour le hostname lorsque la validation stricte du certificat est utilisée. La modification des paramètres TLS du CDN peut affecter le trafic en production ; suivez donc le processus de changement approuvé ou les exigences liées à une fenêtre de maintenance.

3. Corrigez la détection de HTTPS par le proxy

Si l’application force HTTPS alors qu’elle s’exécute derrière un proxy, configurez l’application ou le framework pour faire confiance au proxy prévu et reconnaître le protocole transmis. Selon la plateforme, ces paramètres peuvent s’appeler trust proxy, trusted proxies ou paramètres force-SSL.

Faites uniquement confiance aux en-têtes de protocole transmis provenant d’un chemin de proxy connu et contrôlé. Ne faites pas aveuglément confiance aux en-têtes fournis par le client sur une origine directement exposée. Consultez la documentation de la plateforme pour utiliser le paramètre approprié, puis retestez la chaîne de redirections.

4. Résolvez le désaccord entre www et non-www

Choisissez un hostname canonique et documentez-le. Examinez le CDN, la configuration du serveur web, les règles .htaccess lorsque cela s’applique, les paramètres d’URL du CMS et les plugins de redirection.

Conservez une seule redirection faisant autorité pour le hostname — par exemple de non-www vers www ou de www vers non-www — et supprimez les règles en double ou opposées. Vérifiez toutes les variantes HTTP et HTTPS après la modification. Un paramètre d’URL canonique différent de la cible du serveur web peut recréer la boucle même lorsque HTTPS est correctement configuré.

5. Examinez le comportement de l’application, de la connexion et des cookies

Si les utilisateurs anonymes peuvent charger la page mais pas les utilisateurs connectés, comparez la chaîne de redirections avec et sans cookie de session à l’aide d’un compte de test autorisé ou d’une fenêtre privée. Examinez les plugins de forçage SSL, de connexion, d’adhésion et de redirection, ainsi que l’URL du site configurée dans l’application.

Vérifiez que les cookies de session utilisent les attributs Secure, de domaine et de chemin appropriés pour le hostname HTTPS choisi. Désactivez ou modifiez un seul plugin suspect à la fois, conformément au processus de contrôle des changements. Ne supprimez pas les contrôles d’authentification ou de sécurité d’un site en production sans prévoir de retour arrière.

6. Purgez les redirections obsolètes et retestez

Après avoir corrigé la configuration, purgez les entrées concernées du CDN, du reverse proxy et du cache de pages si vous êtes autorisé à le faire. Les redirections du navigateur peuvent également persister ; retestez donc avec curl, une fenêtre privée et, si nécessaire, un autre réseau ou appareil.

Un test réussi doit atteindre la page prévue sans séquence Location répétée. Vérifiez le hostname canonique, le comportement HTTP vers HTTPS, le parcours de connexion et plusieurs URL internes représentatives, plutôt que de tester uniquement la page d’accueil.

Prévention et vérification du correctif

• Documentez le hostname canonique et le comportement HTTP vers HTTPS attendu avant d’ajouter un CDN, un reverse proxy, un plugin de CMS ou une règle serveur.
• Faites en sorte que chaque décision de redirection soit prise par une seule couche de référence lorsque cela est possible, et vérifiez que les autres couches n’émettent pas de règle opposée.
• Lorsqu’un site est placé derrière un proxy, configurez délibérément la gestion du proxy de confiance et du protocole transmis ; n’acceptez pas sans discernement les en-têtes de transmission fournis par le client.
• Testez la chaîne complète de redirections après toute modification de HTTPS, du hostname, du CDN, du CMS ou d’un plugin, en utilisant les URL exactes auxquelles les utilisateurs accèdent.
• Incluez dans les contrôles de déploiement des tests anonymes, connectés, www, non-www, HTTP et HTTPS lorsque ces chemins sont pris en charge.
• Purgez ou versionnez les caches concernés après toute modification des redirections, puis vérifiez le résultat depuis une fenêtre privée ou un client vierge.

Questions fréquentes