[{"data":1,"prerenderedAt":224},["ShallowReactive",2],{"seo-verification":3,"blog-cloudflare-site-client-agence-cache-ssl-reglages-fr":6},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-cloudflare-site-client-agence-cache-ssl-reglages-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":162,"ctaBody":163,"ctaButton":164,"ctaUrl":165,"relatedPosts":166},549,"cloudflare-site-client-agence-cache-ssl-reglages",{"fr":10,"en":12,"ar":13,"es":14},"cloudflare-client-site-agency-cache-ssl-settings","إعدادات-cloudflare-موقع-العميل-الكاش-ssl","cloudflare-sitio-cliente-agencia-cache-ssl-ajustes","Cloudflare pour un site client : SSL Full (strict) et cache","Placez le site d'un client derrière Cloudflare sans boucle de redirection ni page privée en cache : mode Full (strict), règles de cache, vérifications.",10,0,false,"2026-10-31T00:00:00+00:00","2026-10-31T19:07:30+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fcloudflare-site-client-agence-cache-ssl-reglages-poster.svg","Vous mettez en ligne ou reprenez le site d'un client, vous activez le proxy Cloudflare pour le CDN et l'anti-DDoS, et le lendemain le client appelle : boucle de redirection, panier partagé entre deux visiteurs, back-office figé sur une ancienne version. Ces pannes ne viennent pas de Cloudflare mais de deux réglages laissés par défaut, le mode SSL\u002FTLS et les règles de cache. Ce guide pose un réglage standard, vérifiable par commande, que vous répétez d'un site à l'autre.",[35,39,49,52,80,105,108,117,132,135,145,148,155,159],{"type":36,"title":37,"body":38},"h2","Pourquoi deux réglages décident de tout","Cloudflare se branche en quelques clics, et c'est précisément pour cela qu'on le laisse tel quel. Or deux pannes coûtent un client. La première touche le chiffrement : en mode Flexible, Cloudflare parle en HTTP clair à l'origine ; si l'origine redirige déjà tout vers HTTPS, la requête repart en boucle et le navigateur affiche ERR_TOO_MANY_REDIRECTS. La seconde touche le cache : dès qu'une règle trop large rend du HTML éligible, une page personnalisée peut être servie à un autre visiteur. La réponse n'est pas de désactiver Cloudflare, mais de répartir les rôles. L'agence tient la relation client et les réglages de la zone ; l'hébergeur tient l'origine, c'est-à-dire un certificat valide, les redirections et les en-têtes de cache.",{"type":40,"title":41,"items":42},"ul","Ce que ce réglage standard vous évite",[43,44,45,46,47,48],"**Boucle de redirection** — le mode Flexible combiné à une redirection HTTP vers HTTPS sur l'origine, que le navigateur signale par ERR_TOO_MANY_REDIRECTS.","**Page connectée servie à un autre visiteur** — une règle « tout mettre en cache » sans exception pour le panier, le compte ou l'administration.","**Back-office figé** — l'administration affiche une ancienne version parce qu'une réponse dynamique a été conservée.","**Erreurs 525 et 526** — le handshake TLS échoue ou le certificat d'origine ne passe pas la validation, dès que vous basculez en Full ou Full (strict).","**Chiffrement de façade** — en Flexible, le visiteur voit le cadenas alors que le tronçon entre Cloudflare et l'origine circule en clair.","**Réglages différents d'un site à l'autre** — une liste d'étapes unique remplace les décisions prises au cas par cas, donc les oublis.",{"type":36,"title":50,"body":51},"Prérequis à vérifier avant de toucher à la zone","Quatre points, aucun ne se devine. Un certificat valide à l'origine : non expiré, non révoqué, au nom du site, avec la chaîne complète (certificat final et intermédiaires). La documentation Cloudflare accepte un certificat d'une autorité publique comme Let's Encrypt, ou un certificat Cloudflare Origin CA, qui ne vaut toutefois que tant que l'enregistrement reste proxifié. Le port 443 ouvert vers l'origine, avec SNI pris en charge. Un accès à la zone DNS du client. Enfin la liste des URL dynamiques du site : administration, panier, paiement, compte.\n\nSur un hébergement ServOrbit, le certificat SSL Let's Encrypt est inclus, avec un renouvellement automatique : l'origine remplit donc le premier point, et le mode Full (strict) devient possible. Le contrôle de renouvellement derrière le proxy figure dans la dernière étape.",{"type":53,"title":54,"headers":55,"rows":59},"comparison","Les modes SSL\u002FTLS de Cloudflare, de Off à Full (strict)",[56,57,58],"Mode","Entre Cloudflare et l'origine","Verdict pour un site client",[60,64,68,72,76],[61,62,63],"Off","Tout circule en HTTP clair, des deux côtés.","À proscrire.",[65,66,67],"Flexible","Le visiteur peut utiliser HTTPS ; le trajet de Cloudflare vers l'origine n'est pas chiffré.","Dépannage temporaire. Boucle assurée si l'origine redirige vers HTTPS.",[69,70,71],"Full","HTTPS vers l'origine, sans validation du certificat : un certificat auto-signé ou invalide est accepté.","Palier de transition, le temps de corriger le certificat.",[73,74,75],"Full (strict)","HTTPS avec validation du certificat d'origine (autorité publique ou Origin CA).","Cible standard de tous vos sites.",[77,78,79],"Automatic SSL\u002FTLS","Le recommandeur choisit le mode le plus sûr que l'origine supporte, sans jamais en choisir un moins sûr.","Réglage par défaut : fixez tout de même le mode explicitement pour savoir ce qui s'applique.",{"type":81,"title":82,"steps":83},"steps","Ordre d'opérations sans coupure",[84,87,90,93,96,99,102],{"title":85,"body":86},"Contrôlez le certificat de l'origine","Depuis votre poste, interrogez l'origine directement avec son adresse (IP_ORIGINE est un modèle à remplacer) :\n\n`openssl s_client -connect IP_ORIGINE:443 -servername mondomaine.com \u003C\u002Fdev\u002Fnull | openssl x509 -noout -subject -dates`\n\nLe sujet doit porter le nom du site et les dates doivent encadrer aujourd'hui. Complétez par `curl -sI --resolve mondomaine.com:443:IP_ORIGINE https:\u002F\u002Fmondomaine.com\u002F` : une réponse HTTP valide prouve que le certificat est accepté.",{"title":88,"body":89},"Relevez les redirections de l'origine","Testez le port 80 de l'origine : `curl -sI --resolve mondomaine.com:80:IP_ORIGINE http:\u002F\u002Fmondomaine.com\u002F`. Si la réponse contient un en-tête Location vers https:\u002F\u002F, l'origine redirige tout vers HTTPS. C'est la cause de la boucle en mode Flexible, et ce n'est pas un défaut : c'est un bon réglage d'origine.",{"title":91,"body":92},"Gardez l'enregistrement en DNS seul","Tant que les deux contrôles précédents ne sont pas verts, le proxy reste désactivé sur l'enregistrement. Le trafic va directement à l'origine, comme avant.",{"title":94,"body":95},"Passez le mode SSL\u002FTLS en Full (strict)","Dans le tableau de bord de la zone, ouvrez SSL\u002FTLS, Vue d'ensemble, puis choisissez le mode personnalisé Full (strict). Tant que l'enregistrement n'est pas proxifié, rien ne change pour le visiteur.",{"title":97,"body":98},"Activez le proxy en dernier","Passez l'enregistrement A, AAAA ou CNAME du site en mode proxifié. Le geste, enregistrement par enregistrement, est décrit dans \u003Ca href=\"\u002Fblog\u002Factiver-desactiver-proxy-cloudflare-enregistrement\">Activer ou couper le proxy Cloudflare d'un enregistrement DNS\u003C\u002Fa>.",{"title":100,"body":101},"Imposez HTTPS à la périphérie","Une fois en Full (strict), activez « Always Use HTTPS » ou une règle de redirection côté Cloudflare, et retirez si possible la redirection côté origine : la documentation Cloudflare cite ce choix parmi les remèdes à la boucle.",{"title":103,"body":104},"Contrôlez le résultat","Lancez `curl -sI https:\u002F\u002Fmondomaine.com\u002F` : vous attendez une réponse 200 ou la redirection prévue, et l'en-tête server: cloudflare. Vérifiez aussi que le renouvellement du certificat d'origine passe encore derrière le proxy : l'hébergeur documente le renouvellement automatique, pas son comportement derrière Cloudflare. Relisez la date de fin du certificat avec l'étape 1 après le prochain renouvellement, et revenez en Full si le certificat expire. Passez ensuite à la section cache avant de déclarer le site livré.",{"type":36,"title":106,"body":107},"Ce que Cloudflare met en cache par défaut, et où le risque apparaît","Cloudflare décide du cache d'après l'extension du fichier, pas d'après son type MIME : archives, images, vidéos, polices, documents, feuilles CSS et scripts JS sont éligibles. La documentation précise que le CDN ne met pas en cache le HTML ni le JSON par défaut. Elle ajoute qu'il ne conserve pas une réponse accompagnée d'un en-tête Set-Cookie, ni une réponse dont Cache-Control vaut private, no-store, no-cache ou max-age=0, ni une requête qui n'est pas en GET. Le risque apparaît donc le jour où quelqu'un ajoute une règle de cache sur tout le site. Cette règle rend le HTML éligible, et si l'origine ne signale rien, une page de panier ou de compte peut rejoindre le cache.",{"type":40,"title":109,"items":110},"Chemins à ne jamais laisser en cache sur un site dynamique",[111,112,113,114,115,116],"**Administration et connexion** — `\u002Fwp-admin` et `\u002Fwp-login.php` pour WordPress, ou l'équivalent de votre CMS.","**Panier et paiement** — `\u002Fcart`, `\u002Fcheckout` et leurs variantes traduites sur une boutique WooCommerce.","**Compte client** — `\u002Fmy-account` et toute page qui affiche des données propres au visiteur.","**Cookies de session** — par exemple `wordpress_logged_in_` ou `woocommerce_items_in_cart` : une requête qui les porte doit toujours aller à l'origine.","**Prévisualisations** — les URL avec `?preview=true`, que seul l'auteur connecté doit voir.","**API authentifiées** — `\u002Fwp-json` quand la réponse dépend de l'utilisateur connecté.",{"type":81,"title":118,"steps":119},"Créer la règle de contournement avec les Cache Rules",[120,123,126,129],{"title":121,"body":122},"Ouvrez les Cache Rules","Dans la zone, ouvrez Caching puis Cache Rules, et créez une règle. Les Cache Rules exigent que l'enregistrement du domaine ou du sous-domaine soit proxifié.",{"title":124,"body":125},"Écrivez le filtre","Choisissez Edit expression et saisissez, en l'adaptant à votre CMS : `(http.request.uri.path contains \"\u002Fwp-admin\") or (http.request.uri.path contains \"\u002Fwp-login.php\") or (http.request.uri.path contains \"\u002Fcart\") or (http.cookie contains \"wordpress_logged_in_\")`",{"title":127,"body":128},"Choisissez Bypass cache","Sous « Then », dans Cache eligibility, sélectionnez Bypass cache : les requêtes correspondantes ne sont plus éligibles au cache.",{"title":130,"body":131},"Placez et testez la règle","Choisissez son rang avec « Place at », enregistrez, puis utilisez le Rules simulator de Cloudflare pour vérifier que la règle se déclenche bien sur une URL d'administration ou de panier.",{"type":36,"title":133,"body":134},"Vérifier le cache réellement appliqué","Une règle bien écrite ne prouve rien tant qu'on n'a pas lu la réponse. L'en-tête cf-cache-status dit ce que Cloudflare a fait de chaque requête. Pour l'administration : `curl -sI https:\u002F\u002Fmondomaine.com\u002Fwp-admin\u002F | grep -i cf-cache-status`. Pour une page avec un cookie de connexion simulé : `curl -sI -H \"Cookie: wordpress_logged_in_test=1\" https:\u002F\u002Fmondomaine.com\u002F | grep -i cf-cache-status`. Sur ces deux URL, la valeur ne doit jamais être HIT. Faites aussi le test sur une page publique, deux fois de suite, pour voir passer un MISS puis un HIT si vous avez choisi de la mettre en cache.",{"type":40,"title":136,"items":137},"Lire les valeurs de cf-cache-status",[138,139,140,141,142,143,144],"**HIT** — la ressource a été trouvée dans le cache de Cloudflare et servie depuis celui-ci.","**MISS** — la réponse était éligible, mais absente du cache à cet instant : l'origine l'a servie.","**EXPIRED** — une copie existait mais elle était périmée ; l'origine a servi une réponse fraîche.","**BYPASS** — la requête pouvait être mise en cache, mais la réponse de l'origine ne l'était finalement pas.","**DYNAMIC** — Cloudflare a jugé à la requête que la ressource n'est pas éligible et a interrogé l'origine directement.","**REVALIDATED** — l'origine a confirmé par une requête conditionnelle que la copie en cache était toujours valable.","**STALE** — une copie périmée a été servie parce que l'origine n'a pas pu être jointe.",{"type":36,"title":146,"body":147},"Dépannage : les erreurs qui reviennent","Cinq symptômes couvrent la plupart des appels de clients après une mise derrière Cloudflare. Pour chacun, la documentation Cloudflare décrit la cause ; la correction se joue presque toujours à l'origine, donc chez l'hébergeur, ou dans le mode SSL\u002FTLS de la zone.",{"type":40,"items":149},[150,151,152,153,154],"**ERR_TOO_MANY_REDIRECTS (Chrome), « La page ne redirige pas correctement » (Firefox)** — cause : mode Flexible et origine qui redirige HTTP vers HTTPS. Remède : passer en Full ou Full (strict), ce qui exige un certificat d'origine, ou retirer la redirection côté origine et imposer HTTPS à la périphérie. Vérifiez aussi « Always Use HTTPS », HSTS et les règles de redirection qui se contredisent.","**Erreur 525, SSL handshake failed** — le handshake TLS échoue alors que la zone est en Full ou Full (strict). Causes citées : aucun certificat valide installé, port 443 fermé, SNI non pris en charge, suites de chiffrement incompatibles. Remède : rejouer l'étape 1 et consulter le journal d'erreurs nginx ou Apache de l'origine.","**Erreur 526, invalid SSL certificate** — en Full (strict), Cloudflare ne peut pas valider le certificat d'origine : expiré, révoqué, mauvais nom ou chaîne incomplète, l'origine devant servir le certificat final et les intermédiaires. Repli temporaire : Full, le temps de corriger.","**Erreurs 521 et 522, web server is down et connection timed out** — ce ne sont pas des erreurs de certificat : l'origine est hors service ou ne répond pas à temps. Vérifiez le pare-feu de l'origine, puis transmettez à l'hébergeur le code, l'heure avec son fuseau et l'URL touchée.","**Panier ou compte d'un visiteur vu par un autre** — une règle de cache trop large. Désactivez-la, ajoutez la règle de contournement, purgez le cache, puis relisez cf-cache-status sur les chemins sensibles.",{"type":156,"title":157,"body":158},"tip","Le retour arrière, avant qu'on vous le demande","Notez l'état de départ : mode SSL\u002FTLS, enregistrements proxifiés, règles existantes. Si le site se dégrade après la bascule, repassez l'enregistrement en DNS seul : le trafic retourne directement à l'origine. Un piège : un certificat Cloudflare Origin CA n'est reconnu que par Cloudflare, et la documentation avertit qu'en coupant le proxy le visiteur voit une erreur de certificat non fiable. Gardez donc un certificat d'une autorité publique à l'origine.",{"type":36,"title":160,"body":161},"Qui tient quoi, et par où continuer","Une fois la liste rodée, elle tient sur une page par site : certificat contrôlé, Full (strict), proxy activé, règle de contournement testée, cf-cache-status relu. Le partage reste simple : à l'agence la zone du client et ses réglages, à l'hébergeur l'origine. Pour les gestes voisins, voyez \u003Ca href=\"\u002Fblog\u002Factiver-dns-manage-cloudflare-domaine\">Activer le DNS managé Cloudflare sur un domaine\u003C\u002Fa>, et \u003Ca href=\"\u002Fblog\u002Fmigrer-site-wordpress-client-nouvel-hebergeur-sans-coupure\">Migrer un site WordPress client sans coupure\u003C\u002Fa> si le site change d'origine avant d'être placé derrière Cloudflare.","Un parc de sites clients, un seul endroit","Une agence qui standardise ses sites a besoin d'une origine au certificat valide et suivi, et d'un seul endroit pour retrouver domaines et hébergements de ses clients.","Voir la page professionnels","\u002Fsolutions\u002Fprofessionnels",[167,188,201],{"id":168,"slug":169,"slugs":170,"title":174,"excerpt":175,"readTime":176,"views":177,"isPinned":19,"publishedAt":178,"updatedAt":179,"category":180,"categories":185,"featuredImage":30,"bgImage":31,"posterImage":187,"relatedSolution":30},448,"activer-desactiver-proxy-cloudflare-enregistrement",{"fr":169,"en":171,"ar":172,"es":173},"enable-disable-cloudflare-proxy-dns-record","تفعيل-أو-تعطيل-بروكسي-cloudflare-لسجل-dns","activar-desactivar-proxy-cloudflare-registro","Activer ou couper le proxy Cloudflare d'un enregistrement DNS","Activez ou coupez le proxy Cloudflare (CDN + anti-DDoS) d'un enregistrement A, AAAA ou CNAME, et sachez quand le laisser en DNS seul.",2,1,"2026-10-16T00:00:00+00:00","2026-10-16T01:57:35+00:00",{"id":181,"name":182,"slug":183,"color":184,"icon":183},12,"Guides","guides","bg-emerald-500\u002F10 text-emerald-400",[186],{"id":181,"name":182,"slug":183,"color":184,"icon":183},"\u002Fblog\u002Fcovers\u002Factiver-desactiver-proxy-cloudflare-enregistrement-poster.svg",{"id":189,"slug":190,"slugs":191,"title":195,"excerpt":196,"readTime":176,"views":177,"isPinned":19,"publishedAt":178,"updatedAt":179,"category":197,"categories":198,"featuredImage":30,"bgImage":31,"posterImage":200,"relatedSolution":30},446,"activer-dns-manage-cloudflare-domaine",{"fr":190,"en":192,"ar":193,"es":194},"activate-managed-cloudflare-dns-domain","تفعيل-dns-المدار-cloudflare-على-النطاق","activar-dns-gestionado-cloudflare-dominio","Activer le DNS managé Cloudflare sur un domaine","Activez le DNS managé (Cloudflare) d'un domaine depuis votre espace client : import des enregistrements, délégation des serveurs de noms et vérification.",{"id":181,"name":182,"slug":183,"color":184,"icon":183},[199],{"id":181,"name":182,"slug":183,"color":184,"icon":183},"\u002Fblog\u002Fcovers\u002Factiver-dns-manage-cloudflare-domaine-poster.svg",{"id":202,"slug":203,"slugs":204,"title":208,"excerpt":209,"readTime":210,"views":18,"isPinned":19,"publishedAt":211,"updatedAt":212,"category":213,"categories":218,"featuredImage":30,"bgImage":31,"posterImage":220,"relatedSolution":221},538,"migrer-site-wordpress-client-nouvel-hebergeur-sans-coupure",{"fr":203,"en":205,"ar":206,"es":207},"migrate-client-wordpress-site-new-host-no-downtime","نقل-موقع-ووردبريس-عميل-استضافة-جديدة-دون-توقف","migrar-sitio-wordpress-cliente-nuevo-hosting-sin-cortes","Migrer un site WordPress client sans coupure : la méthode","Copie, test par fichier hosts avant le DNS, gel des commandes, search-replace, bascule et retour arrière : la méthode pour migrer un WordPress client.",11,"2026-10-30T00:00:00+00:00","2026-10-31T01:54:05+00:00",{"id":214,"name":215,"slug":216,"color":217,"icon":216},3,"Déploiement","deploiement","bg-success\u002F10 text-success",[219],{"id":214,"name":215,"slug":216,"color":217,"icon":216},"\u002Fblog\u002Fcovers\u002Fmigrer-site-wordpress-client-nouvel-hebergeur-sans-coupure-poster.svg",{"categorySlug":222,"appSlug":223},"cms","wordpress",1793480188983]